SlowMist đã phát đi cảnh báo về một gói npm độc hại có tên "@openclaw-ai/openclawai". Gói này giả danh là một công cụ dòng lệnh hợp pháp, OpenClaw Installe, nhưng thực chất được thiết kế để thực hiện một chuỗi tấn công đa lớp. Nó nhắm vào và đánh cắp thông tin nhạy cảm, bao gồm thông tin đăng nhập hệ thống, khóa riêng ví được mã hóa, dữ liệu trình duyệt, khóa SSH và cơ sở dữ liệu Apple Keychain. Người dùng được khuyên nên thận trọng và xác minh tính xác thực của các gói npm trước khi cài đặt.