by 安全扫描
OpenClaw
可疑
medium confidence代码和运行时指令与 Binance 合约刷单机器人匹配，但包元数据缺少必需的凭证信息，且存在实现问题（QA 脚本运行交易脚本、workspace-path 读取、以及会下达真实订单的代码），使该包在未经仔细审查的情况下存在不一致性和风险。
评估建议
此包本质上是一个真实的 Binance 合约交易机器人，如果您使用具有交易权限的 API 密钥运行它，它将下达真实的市场订单。在安装或运行之前：1) 不要信任默认元数据——仓库需要 BINANCE_API_KEY 和 BINANCE_API_SECRET（可选 Telegram 值），请自行验证和配置密钥。2) 使用具有最小必要权限的 API 密钥（禁用提现功能，尽可能限制 IP），并使用小额余额或测试网密钥进行测试。3) 检查并修正 run_qa.sh（它当前运行交易脚本而非 qa_audit.py）以避免在仅期望检查时意外执行交易。4) 删除或避免在共享 workspace 路径中存储密钥（代码会读取 /root/.openclaw/workspace/*），或确保 workspace 不包含其他敏感的环境变量文件。5) 注意 qa_audit.py 会尝试测试订单（reduceOnly）——考虑禁用该功能或用非订单 API 调用替换测试。6) 由于包来源和主页未知，建议在隔离环境（VM/VPS）中运行，并在授予其真实 API 密钥之前审查所有代码更改。如有需要，我可以列出读取 w...详细分析 ▾
⚠ 用途与能力
该技能声称是 Binance 合约刷单机器人，代码也确实实现了交易、Telegram 告警和健康检查功能。然而，注册表元数据未列出任何必需的环境变量或主要凭证，尽管代码明确需要 BINANCE_API_KEY、BINANCE_API_SECRET（以及可选的 TELEGRAM_BOT_TOKEN/TELEGRAM_CHAT_ID）。声称的元数据与实际需求之间的这种不匹配是一种不一致，可能导致意外的凭证泄露或误用。
⚠ 指令范围
SKILL.md 指示用户创建环境文件并运行 setup/strategy/QA 脚本，这对于交易机器人来说是合适的。但存在有问题的指令/行为：run_qa.sh 实际上调用的是交易脚本（futures_auto_trade.py）而非 QA 审计脚本（qa_audit.py），因此运行 QA 任务可能会意外执行真实交易。Python 脚本还在 '/root/.openclaw/workspace/*' 中搜索环境文件，意味着它们会从仓库之外的 agent/workspace 位置获取环境文件——这增加了意外读取无关密钥的机会。
✓ 安装机制
未提供安装规范，也没有下载链接；这是一个本地运行的代码包。由于没有从外部 URL 获取任何内容，这降低了安装时的风险，但提供的代码在运行时会执行网络调用和交易操作。
⚠ 凭证需求
该技能需要具有读写交易权限的 Binance API 密钥和可选的 Telegram 令牌才能运行——这对于交易机器人来说是合适的。然而，注册表元数据未显示任何必需的 env 变量（不一致），代码还会从 agent workspace 路径读取环境文件，这可能会暴露存储在其他地方的密钥。QA 例程尝试 API 订单测试（下达 reduceOnly MARKET 订单），这是一个敏感操作，应该明确记录或设为可选。
✓ 持久化与权限
该技能不请求 'always: true' 或任何提升的平台权限。它不会修改其他技能的配置文件。其运行时行为仅限于包中的文件和外部网络调用（Binance、Telegram）。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/4/16
首个版本发布——用于 Binance Futures USDT-M 的自动化加密货币刷单机器人。支持六个交易对：BTC、ETH、SOL、BNB、XAU、XAG。包含 Scalper（RSI + EMA + 成交量）、布林带和 QA 系统策略。具备自动 SL/TP 管理和 Telegram 通知功能。提供系统健康监控，支持回测。包含 shell 脚本，便于轻松设置和操作。
● 无害
安装命令
点击复制官方npx clawhub@latest install crypto-scalper-bot
镜像加速npx clawhub@latest install crypto-scalper-bot --registry https://cn.longxiaskill.com
技能文档
用于 Binance Futures USDT-M 的自动化加密货币刷单机器人
描述
一个完整的加密货币交易机器人，包含多种策略：
- 刷单策略 (Scalper)：基于 RSI + EMA + 成交量的交易
- 布林带策略 (Bollinger Bands)：均值回归策略
- QA 系统：自动健康检查
功能特性
- 支持 6 个交易对：BTC、ETH、SOL、BNB、XAU、XAG
- 自动止损/止盈管理
- Telegram 通知
- 系统健康监控
- 支持回测
使用方法
# 设置凭证 nano binance.env nano telegram.env# 验证设置 bash setup.sh
# 运行策略 bash run_cycle.sh
# 刷单策略 bash run_mean_reversion.sh
# 布林带策略 bash run_qa.sh
需求
- Python 3.8+
- Binance Futures 账户
- VPS（推荐）
文档
请参阅 README.md 获取完整的安装指南。