AI助手竟成黑客帮凶：Web3创始人遭钓鱼攻击，配置文件让病毒“死而复生”

作者：Zeno ; 编辑：Zeno

出品 | Bitkoala考拉财经

看似无害的文本文件，正在成为攻击Web3开发者的新暗器。

当Web3项目Numa Lunah的联合创始人在X平台上发出“我被黑了”的警告时，整个加密圈都倒吸了一口凉气。攻击的源头，竟然指向了他日常使用的AI助手Claude。

一次看似“合法”的对话

事故的起因很日常：Lunah在搭建工作环境时，向Claude询问了一款语音转写应用的下载地址。Claude迅速给出了一个链接，一切看起来都很正常，他随即通过终端指令完成了安装。

然而，这并非通往官方应用的通道，而是一个精心仿冒的钓鱼网站。就在软件安装的那一刻，一款信息窃取程序已悄然潜伏进他的工作笔记本。这类恶意软件的猎取目标十分明确：密码、交易所账户凭证，以及热钱包私钥。

系统重装也无效的“复活术”

Lunah的反应足够迅速，察觉异常后立即隔离设备并彻底重装了操作系统。按照常规剧本，危机应该到此解除。但更隐蔽的杀招还在后头。

在恢复备份文件时，Lunah发现了一个被篡改的“内鬼”——SKILL.md文件。这是一份他用于个人AI使用指南的配置文件。

攻击者修改了这个文本文件的结构和内容。当这份被投毒的配置被同步到任何一台“干净”的新电脑时，它会自动连接攻击者控制的服务器，再次下载信息窃取程序，重新启动凭证窃取流程。仅靠重装系统，根本无法斩草除根。

同类攻击早已有之：

OpenClaw开发者的“空投陷阱”

这并非孤例。早在今年3月，开源AI代理项目OpenClaw的开发者群体就遭遇过一场针对性的钓鱼攻击。

攻击者创建虚假GitHub账号，在仓库中发起议题并@数十名开发者，声称他们赢得了5000美元的CLAW代币奖励。诱导链接指向一个与openclaw.ai几乎一模一样的克隆网站，唯一多出的“连接钱包”按钮，正是为了窃取连接者的加密资产。恶意代码藏匿在深度混淆的JavaScript文件中，具备清除浏览器数据以阻碍取证的功能，并将钱包地址等信息编码传回C2服务器。OpenClaw因其在GitHub上超过32.4万颗星标的巨大影响力，成为了攻击者的靶心。

更深的阴影：

LiteLLM 195TB数据大泄露

如果将攻击范围从“开发者个人”放大到“AI供应链”，情况更加触目惊心。

今年3月，开源AI API网关LiteLLM遭遇投毒攻击。攻击者没有直接攻击LiteLLM本身，而是盯上了其CI/CD流水线中用到的安全扫描工具Trivy，通过篡改Git标签将恶意代码塞入版本包。LiteLLM的流水线每次拉取最新版，恶意代码就这样混入了构建环境，窃取了PyPI发布令牌，随后向PyPI推送了两个带毒版本。

在不到3小时的上传窗口期内，恶意版本被下载超过11.9万次。最终，约2500家企业的195TB凭据数据被卷走，英伟达等科技巨头也在受影响之列。泄露的数据包括AWS、Azure、GCP的访问密钥，GitHub私有仓库Token，SSH私钥，以及OpenAI、Anthropic等AI服务商的API Key。

安全范式必须彻底转变

这三起事件——从AI推荐钓鱼链接，到GitHub社区精准设局，再到AI基础设施供应链大规模投毒——共同指向一个结论：AI驱动下的Web3安全防线，已经出现了系统性裂缝。

NEAR Protocol联合创始人Illia Polosukhin对此高度关注。他指出，近期利用“上下文投毒”（context poisoning）发起的攻击正在激增，保障AI Agent基础设施安全已刻不容缓。

对于Web3开发者而言，以下安全习惯亟待更新：

第一，.md和.json这类AI技能配置文件，不应再被视作“无害文本”，而应按接近可执行代码的风险级别进行管理。在环境迁移或恢复备份时，务必检查文件结构是否异常，是否具备可疑的外部连接能力。

第二，面对GitHub上的“空投”“奖励”通知保持警惕，即使是来自看似正常的仓库议题。攻击者已深度嵌入开发者日常协作场景。

第三，在CI/CD流水线中锁定所有依赖的具体版本号，避免“每次都拉最新版”的默认行为——这正是LiteLLM被攻破的关键漏洞。

毕竟，在私钥即一切的Web3世界，一次配置文件的疏忽，或一个流水线版本号的“默认设置”，代价可能就是全部资产的归零。

---------------------

2026年，考拉财经全球行启程：香港（已完成），武汉（已完成）、杭州（已完成）、南宁（已完成），香港（Web3嘉年华*边会，已完成），成都，上海，越南（已完成），韩国（已完成）、深圳、澳门，新加坡、马来西亚、越南，泰国，印尼，日本，沙特，迪拜、南非，埃塞俄比亚，澳洲，美国、加拿大——与全球创新者同行，为科技变革发声！