Arnaque Phishing GitHub Vise OpenClaw et Wallets

Imaginez-vous en train de scroller tranquillement votre fil GitHub habituel quand soudain un message vous interpelle : vous avez été sélectionné pour recevoir 5 000 dollars en tokens CLAW grâce au projet OpenClaw. Trop beau pour être vrai ? C’est exactement ce que des centaines de développeurs ont reçu ces derniers jours… et beaucoup ont failli y laisser leurs économies crypto.

En mars 2026, une nouvelle campagne de phishing particulièrement vicieuse cible la communauté des développeurs via la plateforme GitHub. Les attaquants exploitent la notoriété grandissante d’OpenClaw, un projet open source qui fait beaucoup parler de lui depuis l’annonce de son pivot stratégique. Derrière ces faux messages se cache une mécanique bien rodée visant à vider les portefeuilles crypto des victimes imprudentes.

Une campagne phishing qui cible les développeurs crypto

GitHub n’est plus seulement un outil pour partager du code : c’est aussi devenu un terrain de chasse privilégié pour les escrocs du web3. Cette nouvelle vague d’attaques montre à quel point les scammers s’adaptent rapidement aux tendances du moment.

OpenClaw au cœur de l’escroquerie

OpenClaw connaît depuis quelques mois une visibilité exceptionnelle dans l’écosystème tech et crypto. Le projet, initialement lancé comme un outil d’IA personnelle, a pris une dimension beaucoup plus large après l’implication indirecte de figures influentes du monde de la tech. Cette soudaine popularité attire malheureusement aussi les prédateurs.

Les attaquants ont parfaitement compris l’effet d’aubaine : ils créent de faux comptes GitHub qui imitent l’identité officielle du projet, ouvrent des issues dans des dépôts qu’ils contrôlent, et taguent massivement des développeurs ayant déjà interagi avec des repositories liés à OpenClaw.

« Vous avez été sélectionné pour une allocation exclusive OpenClaw – 5 000 $ en $CLAW vous attendent ! Connectez simplement votre wallet ici pour réclamer votre récompense. »

Exemple typique de message reçu par les développeurs ciblés

Le message est toujours très bien écrit, professionnel, et utilise le jargon exact du projet pour gagner en crédibilité. Une fois que la curiosité (ou l’appât du gain) prend le dessus, la victime clique sur le lien fourni.

Le piège ultime : un site cloné ultra-réaliste

Le lien mène vers une copie quasi-parfaite du site officiel openclaw.ai. Seuls quelques détails discrets trahissent la supercherie : un domaine légèrement différent (token-claw[.]xyz ou des variantes similaires), et surtout… le bouton « Connect your wallet » qui n’a rien d’innocent.

En cliquant dessus, la victime autorise un smart contract malveillant qui dispose ensuite de droits illimités sur ses actifs. En quelques secondes, les fonds sont transférés vers un wallet contrôlé par les attaquants. Technique classique, mais terriblement efficace quand elle est combinée à une ingénierie sociale de haut niveau.

Dans la majorité des cas, une seule de ces conditions suffit pour qu’il s’agisse d’une arnaque. Si plusieurs sont réunies, fuyez immédiatement.

Techniques avancées de furtivité employées par les attaquants

Selon le rapport publié par OX Security, les hackers ne se contentent pas d’un simple site de phishing basique. Ils utilisent des techniques d’obfuscation JavaScript sophistiquées pour dissimuler leur code malveillant.

Un fichier nommé « eleven.js » (ou des variantes proches) est chargé dynamiquement. Ce script contient une fonction « nuke » qui efface les traces dans le localStorage du navigateur une fois l’opération terminée, rendant la détection post-mortem beaucoup plus complexe.

Le malware envoie également des informations précises au serveur C2 (command & control) des attaquants : adresse wallet, montant des transactions tentées, statut (PromptTx, Approved, Declined), le tout encodé pour compliquer l’analyse.

Pourquoi GitHub est devenu un vecteur privilégié

GitHub dispose d’une fonctionnalité de « stars » qui permet de suivre l’intérêt des développeurs pour un projet. Les attaquants scrutent les profils ayant étoilé des dépôts OpenClaw, ce qui leur permet de personnaliser leurs attaques et de gagner considérablement en crédibilité.

Ils savent que la personne ciblée s’intéresse déjà au projet. Ils savent aussi qu’elle est probablement familière avec les wallets crypto et les interactions web3. C’est donc un ciblage d’une précision redoutable.

La réponse d’OpenClaw face aux scams

Face à la multiplication des arnaques utilisant son nom, l’équipe d’OpenClaw a pris des mesures radicales. Toute mention de cryptomonnaies est désormais strictement interdite sur leur serveur Discord officiel. Les contrevenants sont bannis immédiatement.

« Nous ne sommes pas, n’avons jamais été et ne serons jamais impliqués dans un quelconque token crypto. Méfiez-vous des imposteurs. »

Peter Steinberger, créateur d’OpenClaw

Cette position très ferme fait suite à une précédente tentative d’arnaque massive lors du rebranding du projet, où un token frauduleux $CLAWD avait temporairement atteint 16 millions de dollars de capitalisation avant de s’effondrer complètement après le démenti officiel.

Comment se protéger efficacement en 2026 ?

Dans un écosystème où les arnaques évoluent aussi vite que les technologies, la vigilance reste la meilleure défense. Voici les réflexes à adopter immédiatement :

• Vérifiez toujours l’URL complète avant de cliquer sur « Connect Wallet »
• N’utilisez jamais votre wallet principal pour des interactions non vérifiées
• Préférez un wallet dédié « hot » avec très peu de fonds pour tester les nouveaux projets
• Installez une extension anti-phishing reconnue (comme Wallet Guard, Scam Sniffer, etc.)
• Méfiez-vous des comptes GitHub avec peu d’activité ou créés récemment
• Ne cliquez jamais sur des liens reçus par tag dans des issues ou discussions
• Utilisez un revendeur de domaine fiable pour vérifier la légitimité des URLs

OX Security recommande également de bloquer dès maintenant les domaines suivants connus pour être utilisés dans cette campagne :

• token-claw[.]xyz
• watery-compost[.]today
• openclaw-reward[.]net (et variantes)

Le coût humain et financier des phishing crypto

Même si aucun vol massif n’a encore été officiellement confirmé dans cette campagne précise, les précédents montrent que les pertes peuvent être très lourdes. En 2025, les scams de type wallet drainer ont fait perdre plus de 780 millions de dollars aux utilisateurs crypto selon les rapports Chainalysis.

Derrière ces chiffres se cachent souvent des histoires personnelles dramatiques : développeurs indépendants qui perdent leurs économies de plusieurs années, créateurs de contenu qui se retrouvent du jour au lendemain sans ressources, ou encore des passionnés qui financent leur projet personnel grâce à leurs holdings crypto.

Chaque wallet vidé, c’est aussi un créateur, un développeur ou un investisseur qui peut perdre confiance dans l’écosystème entier et s’en éloigner définitivement.

L’avenir des scams GitHub et comment la plateforme pourrait réagir

GitHub a déjà mis en place plusieurs mesures anti-abus ces dernières années : vérification des comptes, limitation des tags massifs, détection automatique des comportements anormaux. Mais les attaquants s’adaptent en fractionnant leurs campagnes, en espaçant les messages, en utilisant des comptes plus anciens volés ou achetés sur le dark web.

Certains experts estiment que GitHub pourrait à terme imposer une vérification renforcée pour pouvoir taguer des utilisateurs extérieurs à un projet, ou limiter drastiquement les possibilités de créer des issues dans des dépôts clonés.

En attendant, la responsabilité repose essentiellement sur l’utilisateur final. Dans le monde crypto de 2026, la règle d’or reste la même qu’en 2021 : si c’est trop beau pour être vrai, c’est probablement une arnaque.

Conclusion : restez vigilants, restez en sécurité

Cette campagne phishing OpenClaw n’est malheureusement qu’un épisode parmi tant d’autres dans la longue série d’attaques visant les utilisateurs crypto. Mais elle est particulièrement inquiétante par sa sophistication et son ciblage précis des développeurs.

Le message est clair : même les plus avertis peuvent se faire avoir si la mécanique sociale est suffisamment bien huilée. Prenez le temps de vérifier, protégez vos actifs, et surtout, ne laissez jamais l’appât du gain court-circuiter votre bon sens.

Dans un monde où l’innovation va de pair avec les risques, la prudence n’est pas une option : c’est une compétence essentielle.

Et vous, avez-vous déjà reçu un message suspect sur GitHub récemment ? Partagez votre expérience (sans cliquer sur les liens évidemment !) en commentaire.