by 安全扫描
OpenClaw
可疑
medium confidence该技能的指令对于本地钱包助手来说是连贯的，但存在元数据和来源缺口，并依赖于未在注册表中声明的敏感秘密（种子短语/私钥，RPC URL）——在安装或使用真实资金之前谨慎使用。
评估建议
["该技能似乎是一个合法的钱包工作流规范，但请谨慎：","1. 注册表元数据缺少声明的环境变量，而文档要求 RPC_URL、SEED_PHRASE 和 PRIVATE_KEY — 在提供这些秘密之前，验证将如何存储和访问它们。","2. 确认平台强制执行 SKILL.md 守护（代理必须在读取秘密之前提示同意，并且不得回显完整秘密）。","3. 确保 'viem' 和 Node.js 从官方源安装在运行时，并且平台不会默默地获取任意代码。","4. 由于技能源和主页未知，在测试流程在 testnet 上并验证秘密存储行为之前，请避免使用它与主网/真实资金。","5. 如果可能，查看代理将执行的任何运行时代码（或要求技能作者发布源代码）以确认没有隐藏的数据泄露步骤。如果无法验证这些点，请将技能视为不可信任的处理真实私钥或种子短语。"]...详细分析 ▾
ℹ 用途与能力
名称/描述和 SKILL.md 内容一致：该技能记录了钱包生成、导入、余额检查和通过 viem 发送。但注册表元数据未列出任何必需的环境变量或凭据，而 SKILL.md 明确要求 RPC_URL、SEED_PHRASE 和 PRIVATE_KEY；该元数据省略是一个应解决的不一致。
✓ 指令范围
运行时指令保持在声明的钱包目的范围内：它们描述了派生/导入/生成流程、余额读取和发送流程，并包括明确的守护（在读取秘密之前询问，永远不要打印完整秘密，要求对广播进行确认）。文档仅引用预期的文件/环境（process.env.* 示例）和标准 RPC 端点 — 没有意外的外部端点或数据泄露步骤。
ℹ 安装机制
这是仅指令的，没有安装规范。它需要 Node.js 18+ 和 'viem' 包，但不指定如何/在哪里安装依赖项。这本身不是恶意的，但这意味着运行时环境必须已经提供 viem，否则代理/平台需要安装它 — 使用前检查您的平台如何安装第三方包。
⚠ 凭证需求
SKILL.md 请求的敏感环境输入（RPC_URL、SEED_PHRASE、PRIVATE_KEY）适合钱包技能。担忧的是，注册表元数据没有声明任何必需的环境变量或主凭据，技能源是 '未知' 的，没有主页 — 这种不匹配和缺乏来源减少了信任，并增加了如果代理或平台不强制执行记录的守护，则秘密可能被不当处理的风险。
✓ 持久化与权限
该技能不请求永久始终启用的包含，并且不尝试修改其他技能或系统范围的设置。它指示将秘密存储在安全的秘密存储（保管库/密钥管理器）中，这是合适的；确认您的平台的安全存储机制将被使用，而不是临时持久性。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.12026/4/10
["添加了本地/令牌余额工作流的覆盖；新的余额技能位于 local-wallet/balance/SKILL.md。","更新了钱包技能映射和路由逻辑，以包括余额检查。","扩展了运行时和输入要求，以提高清晰度和安全性，包括明确的链/网络和秘密管理需求。","添加了标准响应合同，指定了所有钱包相关操作的输出。","增强了安全指南：默认为只读，若未指定链则使用 testnet，防止立即广播，并强制对敏感操作进行用户确认。","更新了技能和描述名称为 agent-wallet。"]
● 无害
安装命令 点击复制
官方npx clawhub@latest install agent-wallets
镜像加速npx clawhub@latest install agent-wallets --registry https://cn.clawhub-mirror.com
技能文档
（由于原始内容中未提供 SKILL.md 文档，以下为示例翻译，实际内容应根据真实 SKILL.md 进行翻译）
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制