安全决策报告
moltspay-skill
核心功能依赖未审查的外部 moltspay npm 包（黑盒），脚本本身无明显恶意代码但无法保证外部包行为安全，supply chain 风险显著。
最直接的威胁证据
01
用户安装 moltspay-skill，触发 postinstall 钩子 初始入口 · package.json
02
npm install -g moltspay（无版本锁定）拉取外部包，npm 包可执行任意 node 脚本 权限提升 · scripts/setup.js
03
moltspay init 生成钱包写入 ~/.moltspay/wallet.json，私钥材料暴露于磁盘 权限提升 · scripts/setup.sh
为什么得出这个结论
2/4 个维度触发 阻止
声明与实际能力
发现 1 项声明之外的能力或越权行为。
复核
隐藏执行与外联
提取到 7 个一般风险产物，需要结合上下文判断。
阻止
攻击链与高危发现
报告包含 5 步攻击链，另有 2 项高危或严重发现。
复核
依赖与供应链卫生
发现 1 项需要关注的依赖或供应链线索。
攻击链
01
用户安装 moltspay-skill，触发 postinstall 钩子
初始入口 · package.json:9
02
npm install -g moltspay（无版本锁定）拉取外部包，npm 包可执行任意 node 脚本
权限提升 · scripts/setup.js:26
03
moltspay init 生成钱包写入 ~/.moltspay/wallet.json，私钥材料暴露于磁盘
权限提升 · scripts/setup.sh:16
04
moltspay CLI 运行时向外部服务发送请求（域名 juai8.com/moltspay.com），网络行为和密钥传输无法审计
最终危害 · scripts/setup.js:42
05
若 moltspay npm 包被恶意替换或域名被劫持，可窃取钱包私钥并转移用户加密资产
最终危害 · node_modules/moltspay (外部包)
风险分是怎么被拉高的
外部 npm 包黑盒依赖 +35
核心功能完全在 moltspay npm 包中，代码未包含源码，无法审计其网络行为、密钥处理和支付逻辑
npm install 无版本锁定 +15
npm install -g moltspay 始终拉取 latest，可被依赖劫持攻击（dependency confusion）或包所有者替换恶意版本
wallet 私钥存储于磁盘 +5
~/.moltspay/wallet.json 存储私钥明文，无加密保护
最关键的证据
高危 供应链
外部 npm 包（moltspay）源码不可审计
技能脚本仅执行 npm install -g moltspay，所有核心功能（钱包生成、支付发现、服务购买）均运行在外部 moltspay 包中。该包未以源码形式包含在技能内，无法验证其网络通信目标、密钥存储方式或是否有数据外泄行为。
scripts/setup.js:26 要求 moltspay 包提供源码链接，或使用本地可审计的 CLI 二进制替代 npm 安装方式
高危 供应链
npm install 无版本锁定 — 依赖劫持风险
setup.sh 和 setup.js 中均使用 npm install -g moltspay 无 @version 限定，每次执行拉取最新版本。攻击者可发布恶意版本至 npm，或通过命名混淆（dependency confusion）使安装指向攻击者控制的包。
scripts/setup.sh:10 固定版本：npm install -g [email protected]，并在 skill-card.md 中记录已审核的具体版本哈希
中危 凭证窃取
钱包私钥以明文写入磁盘
moltspay init 生成的 wallet.json 包含 EVM 私钥和 Solana Ed25519 私钥，明文存储于 ~/.moltspay/wallet.json。若文件系统权限配置不当或被恶意进程读取，可导致加密资产被盗。
scripts/setup.sh:16 钱包文件应支持加密存储（如使用用户密码加密），并在 skill-card.md 中明确警告用户不要在共享环境中使用
中危 文档欺骗
声明能力 vs 实际能力不匹配 — 核心逻辑不可见
SKILL.md 详细描述了钱包创建、支付、余额查询等功能，但这些功能的实际代码运行在外部 moltspay npm 包中。用户/管理员无法通过审查技能源码验证声明行为的真实性。
SKILL.md:1 提供 moltspay 包源码仓库链接，或将 CLI 工具直接打包入技能内，使审计成为可能
低危 敏感访问
hardcoded 域名指向外部服务
技能 hardcoded 指向 juai8.com/zen7 和 moltspay.com，服务端行为不受技能控制，存在域名被劫持或服务提供方恶意行为的风险。
SKILL.md:72 在 skill-card.md 中明确告知用户这些外部服务 URL 不受本技能保护
声明能力 vs 实际能力
文件系统 通过
声明 WRITE
→ 推断 WRITE
scripts/setup.js:40 写入 ~/.moltspay/wallet.json 命令执行 通过
声明 WRITE
→ 推断 WRITE
scripts/setup.js:26 执行 npm install -g moltspay 环境变量 通过
声明 NONE
→ 推断 NONE
未访问环境变量 网络访问 阻止
声明 NONE
→ 推断 READ/WRITE
moltspay npm 包运行时可能存在网络通信，但代码中未声明 可疑产物与外联
中危 外部 URL
https://juai8.com/zen7 README.md:51
中危 外部 URL
https://moltspay.com README.md:58
中危 外部 URL
https://moltspay.com/docs README.md:78
中危 外部 URL
https://moltspay.com/services README.md:79
中危 外部 URL
https://discord.gg/QwCJgVBxVK README.md:80
中危 外部 URL
https://clawhub.ai/user/yaqing2023 skill-card.md:7
中危 外部 URL
https://clawhub.ai/yaqing2023/moltspay-skill skill-card.md:29
依赖与供应链
| 包名 | 版本 | 来源 | 漏洞 | 备注 |
|---|---|---|---|---|
| moltspay | * | npm | 否 | 无版本锁定；黑盒外部包，源码不可审计，核心功能（钱包/支付）全部运行于此包 |
文件构成
9 个文件 · 558 行
Markdown 3 个文件 · 365 行Shell 3 个文件 · 86 行JavaScript 1 个文件 · 66 行JSON 2 个文件 · 41 行
需关注文件 · 5
SKILL.md 声明能力 vs 实际能力不匹配 — 核心逻辑不可见 · hardcoded 域名指向外部服务
README.md https://juai8.com/zen7 · https://moltspay.com · https://moltspay.com/docs · https://moltspay.com/services · https://discord.gg/QwCJgVBxVK
skill-card.md https://clawhub.ai/user/yaqing2023 · https://clawhub.ai/yaqing2023/moltspay-skill
scripts/setup.js 外部 npm 包（moltspay）源码不可审计
scripts/setup.sh npm install 无版本锁定 — 依赖劫持风险 · 钱包私钥以明文写入磁盘
其他文件 · package.json · ensure-wallet.sh · pay-zen7-video.sh · _meta.json
安全亮点
skill-card.md 明确披露了钱包存储、Spending limits、CLI 全局安装等已知风险，并提供缓解措施
内置 Spending limits（$2/tx, $10/day）降低资金损失风险
脚本代码结构清晰，无混淆、无 base64 编码执行
未发现环境变量遍历、~/.ssh、~/.aws 等敏感路径访问
未发现隐藏的 HTML 注释指令或提示词注入
README.md 与 SKILL.md 内容一致，无明显文档欺骗