ME新闻报道，根据GoPlus监测数据，2023年2月20日(UTC+8)，曾经登顶ClawHub下载榜的技能“你会怎么做Elon”实际上是一款特洛伊木马程序。攻击者利用机器人增加流量，操纵排名和其他手段，将其推向热门，促使大量用户安装。

安装后，这个恶意技能将窃取用户的SSH密钥、加密钱包的私钥和浏览器Cookie文件，还会在攻击者的服务器上安装反向Shell，已经导致用户资产的实际损失。此次事件揭示了技能生态系统中供应链攻击的一个严重新类型。GoPlus提醒用户，切勿在没有保护的情况下运行OpenClaw。

此外，据chiefofautism数据显示，ClawHub市场上共发现1184个恶意技能，其中677个恶意包由同一名攻击者上传。