ME News 報導，2024年2月20日 (UTC+8)，根據 GoPlus 的監控資料，曾經登上 ClawHub 下載榜單的技能「What Would Elon Do」實際上是一個特洛伊木馬程式。攻擊者利用機器人增加流量，操縱排名和其他手段，將其推向熱門，促使大量用戶安裝。

安裝後，這個惡意技能將竊取用戶的 SSH 密鑰、加密貨幣錢包的私鑰和瀏覽器的 Cookie 文件，並在攻擊者的伺服器上安裝反向殼層，已經導致用戶資產的實際損失。此事件揭示了技能生態系統中供應鏈攻擊的一種嚴重新型態。GoPlus 提醒用戶，切勿在未保護的情況下運行 OpenClaw。

此外，根據 chiefofautism 的資料，ClawHub 市場上共發現 1184 個惡意技能，其中 677 個惡意套件被同一名攻擊者上傳。