by 安全扫描
OpenClaw
可疑
medium confidence技能指令与目的相符，但需要高敏感秘钥（私钥），未在元数据中声明，且包含风险指南（打印和存储私钥在环境变量中）。使用前请谨慎验证实现。
评估建议
技能如声称般工作，但 SKILL.md 需要私钥（AGENTICMONEY_PRIVATE_KEY）和证明 UID，尽管元数据未声明凭证。安装/运行前：（1）不要使用主网私钥，优先使用硬件钱包、WalletConnect 或签名服务；（2）仅在测试网（Sepolia）上测试小额；（3）在 GitHub/npm 上检查 @ethcf/agenticmoney 包源代码；（4）请求技能作者更新元数据，声明所需环境变量，替换安全签名流；（5）如果必须使用私钥，保持最小资金，交易前双重确认。...详细分析 ▾
ℹ 用途与能力
技能名称/描述与 SKILL.md 运行时指令一致，使用以太坊 SDK、签署交易、注册代理、发现/雇佣代理。但元数据未声明所需环境变量/凭证，而 SKILL.md 明确需要私钥和证明 UID，这一不一致应由作者解决。
ℹ 指令范围
指令在预期域内（区块链交互、注册/雇佣代理）。显式需要钱包访问和 RPC/网络调用。问题：指导包括打印私钥到 stdout 的示例命令，推荐在环境变量中存储私钥——这两种做法不安全，会增加风险。SKILL.md 包括安全规则（签署前确认、显示网络/金额/收件人、支出上限），这是好的，但示例中暴露私钥是问题。
✓ 安装机制
元数据中无安装规格（仅指令技能）。SKILL.md 建议通过 npm 安装 @ethcf/agenticmoney 和 ethers，这是 Node.js 基础以太坊 SDK 的标准做法。指令中无来自未知服务器的下载或提取操作。
⚠ 凭证需求
技能需要直接签署能力（私钥）执行链上操作，与声明目的成比例。但元数据未列出所需环境变量，而 SKILL.md 指示用户设置 AGENTICMONEY_PRIVATE_KEY 和 MY_ATTESTATION_UID。请求原始私钥是高敏感，应由更安全的替代方案（硬件钱包、Wallet Connect 或委托签名）证明。指令还建议使用环境变量作为存储机制，显示打印私钥的命令，如果用户遵循，这是风险和不成比例的。
✓ 持久化与权限
技能不请求永久存在（always:false），也不尝试修改其他技能配置。它执行按需操作，需要代理运行 SDK 调用，这是区块链集成技能的预期。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/2/9
初始发布
● 无害
安装命令
点击复制官方npx clawhub@latest install agentic-money
镜像加速npx clawhub@latest install agentic-money --registry https://cn.longxiaskill.com
技能文档
（由于原始内容过长，以下为简略版，保留关键结构和命令）