SlowMist: Atención a la detección de las versiones maliciosas de axios 1.14.1 / 0.30.4 y al riesgo de exposición en el historial de instalaciones globales de npm de OpenClaw

ME News, 31 de marzo (UTC+8), a 31 de marzo de 2026, la información pública indica que las versiones axios@1.14.1 y axios@0.30.4 ya han sido confirmadas como versiones maliciosas. Ambas han sido modificadas con dependencias adicionales plain-crypto-js@4.2.1, la cual puede entregar cargas maliciosas multiplataforma mediante un script postinstall. El impacto del incidente en OpenClaw debe juzgarse por escenarios: 1) escenario de compilación a partir del código: no se ve afectado. El archivo de bloqueo real en v2026.3.28 bloquea axios@1.13.5 / 1.13.6, sin llegar a las versiones maliciosas. 2) escenario: npm install -g openclaw@2026.3.28: existe un riesgo de exposición histórica. La razón es que en la cadena de dependencias hay: openclaw -> @line/bot-sdk@10.6.0 -> optionalDependencies.axios@^1.7.4. Dentro de la ventana de tiempo en la que las versiones maliciosas aún estaban en línea, podrían resolverse hacia axios@1.14.1. 3) resultado de reinstalación actual: npm ha revertido la resolución a axios@1.14.0, pero en los entornos en los que se instaló dentro de la ventana de ataque, aún se recomienda tratarlos como escenarios afectados y revisar los IoC. Además, SlowMist advierte que si se encuentra un directorio plain-crypto-js, incluso si su package.json ha sido limpiado, debe considerarse como una huella de ejecución de alto riesgo. Para los hosts en los que se ejecutó npm install o npm install -g openclaw@2026.3.28 dentro de la ventana de ataque, se recomienda rotar credenciales de inmediato y realizar una investigación en el lado del host. (Fuente: ODAILY)