SlowMist：悪意のあるバージョンのaxios（1.14.1／0.30.4）およびOpenClawのnpmグローバルインストール履歴による情報漏洩リスクに注意

2026年3月31日現在、公開情報によると、[email protected] および [email protected] は悪意のあるバージョンであることが確認されています。これら2つには、追加の依存関係である [email protected] が組み込まれており、この依存関係を通じて postinstall スクリプトがクロスプラットフォームの悪意のあるペイロードを配信します。本件が OpenClaw に与える影響は、シナリオごとに判断する必要があります：1）ソースコードビルドのシナリオ：影響なし。v2026.3.28 のロックファイルが実際にロックしているのは [email protected] / 1.13.6 であり、悪意のあるバージョンには該当しません。2）npm install -g [email protected] シナリオ：過去の露出リスクが存在する。その理由は、依存関係チェーンに openclaw -> @line/[email protected] -> optionalDependencies.axios@^1.7.4 が存在するためである。悪意のあるバージョンがオンラインであった期間内は、[email protected] に解決される可能性があった。3）現在の再インストール結果：npmは[email protected]但在攻击窗口内安装过的环境への解決にロールバック済みですが、影響を受けるシナリオに従って処理し、IoCを調査することを推奨します。さらに、SlowMistは、plain-crypto-jsディレクトリが存在する場合、その中のpackage.jsonが削除されていても、高リスクな実行痕跡とみなすべきであると指摘しています。攻撃の発生期間中にnpm installまたはnpm install -g [email protected]を実行したホストについては、直ちに認証情報を変更し、ホスト側の調査を実施することを推奨します。