SlowMist alerta de versiones maliciosas de Axios (1.14.1 y 0.30.4) y riesgos en la instalación de OpenClaw desde npm

Según ME News, a fecha de 31 de marzo (UTC+8), la inteligencia pública ha confirmado que axios@1.14.1 y axios@0.30.4 son versiones maliciosas. Ambas incorporan una dependencia adicional, plaincryptojs@4.2.1, que ejecuta una carga maliciosa multiplataforma mediante un script postinstall. El posible impacto en OpenClaw depende del escenario: 1) Compilación desde código fuente: sin afectación. El lockfile de v2026.3.28 fija explícitamente axios@1.13.5 / 1.13.6, que no coinciden con las versiones maliciosas. 2) Instalación con npm install g openclaw@2026.3.28: existe riesgo de exposición histórica. Se explica por la cadena de dependencias: openclaw → @line/botsdk@10.6.0 → optionalDependencies.axios@^1.7.4. Durante la ventana en la que circularon las versiones maliciosas, algunas instalaciones pudieron resolver a axios@1.14.1. 3) Reinstalaciones actuales: npm ha vuelto a resolver axios@1.14.0. Aun así, los entornos instalados durante la ventana del ataque deben tratarse como comprometidos y revisarse en busca de IoCs. SlowMist añade que la presencia de un directorio plaincryptojs —aunque se haya eliminado su package.json— debe considerarse un artefacto de ejecución de alto riesgo. En cualquier host que ejecutara npm install o npm install g openclaw@2026.3.28 durante la ventana del ataque, recomienda rotar credenciales de inmediato y realizar una investigación del sistema. (Fuente: ODAILY)