by 安全扫描
OpenClaw
可疑
medium confidence技能声称的目的（获取币安市场数据）是合理的，但多个运行时指令（报告给飞书、跟踪账户资金/敞口、持续自动运行）与任何声明的凭证、配置或安装都不匹配——这种不一致值得警惕。
评估建议
该包在获取币安公开市场数据方面是一致的，但设计的多个部分假设了未声明的能力：(1) reporter 承诺飞书推送警报，但没有请求或描述飞书/webhook 凭证；(2) risk manager 声称跟踪账户敞口和累计盈亏，但没有声明账户/API 凭证或数据源；(3) 技能在 agent 启动后每分钟自动运行，并将重复访问网络端点并将数据同步到其他技能。在安装或启用此技能之前，请考虑以下事项：
- 不要向 agent 提供您的币安交易 API 密钥或其他敏感凭证，除非您明确信任该技能并了解这些密钥的存储和使用方式。SKILL.md 禁止交易和存储用户账户隐私数据，但该技能也期望进行账户级监控，却未声明如何获取该信息。
- 要求作者（或强制）明确声明任何外部集成：飞书 webhook URL/令牌、任何监控/账户连接器，以及「同步到相关技能」的确切端点。如果需要飞书或其他通知凭证，应将其列在 requires.env 中并描述如何保护。
- 如果您不提供账户数据，请验证该技能是否可以在只读、仅公开数据模式下运行（即它不应尝试查询私有账户端点）。
- 由于该技能每分钟自动运行，请考虑禁用...详细分析 ▾
⚠ 用途与能力
该技能声称仅获取币安市场数据（BTCUSDT/ETHUSDT），这通常不需要凭证，因此缺少声明的环境变量/二进制文件是合理的。然而，配套组件（风险管理器、报告器、执行器）描述了监控账户敞口、累计盈亏和推送飞书警报——这些能力需要额外输入（账户状态或飞书凭证），但未在任何地方声明。这种差距使整体能力声明不连贯。
⚠ 指令范围
SKILL.md 反复指示 agent 在启动时自动启动类似 cron 的任务，每分钟运行一次，获取并缓存数据，同步数据到相关技能，并推送警报（明确是飞书）。没有说明如何获取或保护凭证、飞书推送的目标地址（未声明端点或令牌），或「同步到相关技能」的范围——这赋予了 agent 广泛的自主网络和数据同步职责，但没有边界。
✓ 安装机制
这只是指令，没有安装规范或代码文件，因此技能本身不会向磁盘写入任何内容。这降低了安装风险。嵌入的「npx clawhub@latest install ...」行只是建议命令，不是注册表中的安装清单——没有安装时代码需要评估。
⚠ 凭证需求
没有声明环境变量或凭证，但文档期望飞书推送和账户/资金/敞口监控。监控未平仓头寸或推送飞书通常分别需要币安账户/API 凭证和飞书 webhook/API 令牌。缺少声明的必需密钥是一种不匹配，可能意味着该技能期望 agent 访问未指定的凭证或临时接收凭证——这是一个安全风险。
ℹ 持久化与权限
always:false 和自主调用是正常的。然而，该技能指示在 Agent 启动时自动启动并每分钟连续运行，24/7 全天候运行。如果 agent 稍后被授予凭证或「同步」目标配置错误，持续的自主网络访问会增加风险面（数据外泄、数据泄露）。该技能不请求提升的平台权限，也不声称修改其他技能的配置。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv1.0.02026/3/18
币安事件合约数据获取器 v1.0.0 — 初始版本 - 直接从币安官方 API 提供 100% 准确、实时的 BTCUSDT 和 ETHUSDT 数据；排除所有第三方来源。 - 每分钟自动获取并验证多个时间周期的 K 线、流动性和市场数据，24/7 全天候运行。 - 通过重试、警报和降级方案保持数据完整性；确保策略信号不中断。 - 将标准化数据同步到策略模块，用于事件合约信号计算和风险管理。 - 不访问用户账户、不交易、也不从非币安来源获取数据。
● 无害
安装命令
点击复制官方npx clawhub@latest install binance-event-contract
镜像加速npx clawhub@latest install binance-event-contract --registry https://cn.longxiaskill.com
技能文档
1. 场景定义
- 触发时机：Agent 启动后每分钟自动运行；也支持手动触发
/binance-fetch-data；24/7 全天候运行，与币安 7×24 交易时间对齐 - 核心意图：为 3 层共振策略提供 100% 准确、无延迟的币安官方原生数据；拒绝所有第三方数据源
- 上下文：仅针对 BTCUSDT 和 ETHUSDT 交易对；仅覆盖 10min/30min/60min 事件合约周期；为信号计算、ICT 识别和风险控制提供底层数据支持
2. 目标设定
每分钟内完成 1 秒以内的币安官方 API 数据获取；输出标准化的 BTC/ETH 全维度数据，100% 准确；价格数据完全匹配币安事件合约结算现货指数价格；为策略信号计算提供无误的数据源。
3. 执行规则
3.1 数据源规则
- 必须 仅连接币安官方 REST API 和 WebSocket API
- 必须 调用
https://api.binance.com（或适当的端点） - 禁止：调用任何第三方数据平台（火币、OKX 等）
3.2 固定获取交易对
- BTCUSDT（主要）
- ETHUSDT（次要）
3.3 强制获取数据维度
K线数据：
- 周期：1min / 10min / 30min / 1h / 4h
- 字段：open, high, low, close, volume, turnover
- 每个周期获取最近 200 根 K 线用于指标计算
流动性数据：
- BTC/ETH 现货订单簿前 10 档买卖深度
- 计算买卖总额
- 验证买卖总额是否 ≥ 500,000 USDT
市场数据：
- 最新现货指数价格（币安事件合约结算锚点）
- 24 小时价格变化
- 买卖价差
合约规则数据：
- 当前可用到期周期（10min/30min/1h）
- 单笔交易限额（5-250 USDT）
- 每日亏损限额规则
3.4 运行规则
- Agent 启动时自动启动 cron 任务
- 每分钟第 0 秒运行
- 获取后自动缓存数据
- 同步到所有相关技能供调用
3.5 数据验证规则
- 每次获取后自动验证数据完整性
- 接口超时或数据缺失时自动重试 3 次
- 重试失败触发异常警报
- 使用之前有效的缓存数据作为降级方案
- 如果缓存可用，不影响策略运行
4. 示例输出
✅ 正面示例（标准输出）
【 币安事件合约数据获取完成 | 2026-03-18 12:10:00 】
- 交易对：BTCUSDT
- 最新指数价格：68245.32 USDT
- 10min K线：开盘 68198.45 / 最高 68289.12 / 最低 68176.33 / 收盘 68245.32 / 成交量 128.34 BTC
- 流动性：买方深度 892,000 USDT | 卖方深度 945,000 USDT | 合格 ✓
- 可用周期：10min / 30min / 1h 事件合约 — 全部可用
- 交易对：ETHUSDT
- 最新指数价格：3842.18 USDT
- 10min K线：开盘 3839.76 / 最高 3845.22 / 最低 3838.11 / 收盘 3842.18 / 成交量 986.25 ETH
- 流动性：买方深度 627,000 USDT | 卖方深度 583,000 USDT | 合格 ✓
- 可用周期：10min / 30min / 1h 事件合约 — 全部可用
数据已同步到信号计算模块 | 缓存有效期 60s
❌ 负面示例（禁止输出）
- 从币安以外的交易所获取 BTC/ETH 数据（火币/OKX 等）
- 仅输出价格而不包含成交量、流动性或其他策略所需数据
- 使用延迟超过 1 分钟的过期 K 线数据
5. 边界定义
禁止操作
- 不调用币安交易 API 进行开仓/结算 — 仅进行数据获取和验证
- 不获取 BTC/ETH 以外交易对的数据
- 不存储用户账户隐私数据
异常处理
- 当币安 API 维护或触发限流时 → 立即推送警报，停止无效获取，API 恢复后自动重启
- 数据验证失败时，不向信号计算模块输出无效数据
降级策略
连续 3 次获取失败 → 立即推送「数据获取异常」警报，暂停信号生成直到数据恢复正常，避免因错误数据导致虚假信号
安装
npx clawhub@latest install binance-event-contract-data-fetcher --dir /workspace/skills
自动运行触发器
24/7 全天候运行，激活后每分钟自动运行