Baru-baru ini ada berita yang cukup mengkhawatirkan tentang pasar plugin ClawHub dari OpenClaw. Peneliti keamanan berhasil mengidentifikasi lebih dari 1.184 skill berbahaya yang beredar di sana—jumlahnya lumayan gede untuk sebuah marketplace.

Yang paling memprihatinkan adalah scale serangannya. Seorang penyerang tunggal berhasil mengunggah 677 paket jahat, itu berarti hampir 57% dari semua malicious skill berasal dari satu sumber. Mereka menargetkan kunci SSH, dompet kripto, password browser, bahkan bisa membuka reverse shell. Jadi basically, kalau kamu punya skill dari platform ini, data sensitif bisa langsung terbuka.

Data menunjukkan kalau 36,8% dari total skill di ClawHub punya setidaknya satu vulnerability. Lebih gila lagi, ada 135.000+ instance OpenClaw yang terbuka di 82 negara. Artinya banyak banget orang yang potentially exposed.

Skill yang paling banyak didownload adalah 'What Would Elon Do'—ini yang paling berbahaya dengan 9 vulnerability, 2 di antaranya critical level. Skill ini dapat 4.000 download palsu, naik ke ranking pertama. Mereka mostly nyerang pengguna dan AI agents pake teknik ClickFix social engineering dan prompt injection attacks.

Untungnya, OpenClaw sudah bekerja sama dengan VirusTotal untuk scan semua skill dan clean up malicious list. Tapi kalau kamu pernah pake ClawHub, jangan santai—ganti semua credentials, revoke API keys, dan check security settings. Bener-bener perlu diperhatiin ini, terutama untuk crypto wallet security.