TronLink Wallet Skills Security Report — Low Risk | ClawSafe

20 /100

TronLink Wallet Skills

AI Agent技能集，用于TRON网络钱包管理、TRC-20代币查询、市场数据、DEX交换、Energy/Bandwidth资源管理和TRX质押

TronLink钱包技能核心功能为纯只读操作，代码干净无恶意行为；install.sh中的curl|sh是文档化的安装机制，存在理论风险但来源可信。

Skill NameTronLink Wallet Skills

Duration82.8s

Enginepi

✓

Safe to install

可安全使用。建议：1) 优先使用本地git clone而非curl|sh；2) 安装前检查install.sh哈希；3) 确认TRONGRID_API_KEY仅用于API认证不外泄。

Findings 2 items

Severity	Finding	Location
Medium	远程脚本执行安装机制 Supply Chain README.md推荐使用curl\|sh从GitHub raw URL安装，install.sh可执行git clone、文件复制、rm -rf等操作。虽然来源可信(TronLink官方仓库)且已文档化，但存在供应链攻击理论风险。 `curl -sSL https://raw.githubusercontent.com/TronLink/tronlink-skills/main/install.sh \| sh` → 建议用户使用git clone替代curl\|sh；安装前验证脚本哈希；关注仓库安全状态	`README.md:16`
Low	安装脚本执行本地文件操作 Priv Escalation install.sh执行rm -rf $INSTALL_DIR、cp -R、ln -sf、写入CLAUDE.md等操作，用于AI环境适配。虽为合法安装机制，但超出SKILL.md声明的只读范围。 `rm -rf "$INSTALL_DIR" && cp -R "$LOCAL_SRC" "$INSTALL_DIR"` → 文档中已明确说明安装行为，非隐蔽越权	`install.sh:54`

Resource	Declared	Inferred	Status	Evidence
Filesystem	`NONE`	`READ`	✓ Aligned	SKILL.md声明只读，但install.sh执行文件操作用于安装
Network	`READ`	`READ`	✓ Aligned	tron_api.mjs:48-56 仅调用TronGrid/TronScan/CoinGecko公开API
Shell	`NONE`	`NONE`	—	tron_api.mjs无subprocess调用；mcp_server.mjs仅execFile运行tron_api.mjs
Environment	`NONE`	`READ`	✓ Aligned	仅读取TRONGRID_API_KEY/TRON_NETWORK用于配置，无敏感信息外泄

2 Critical 21 findings

💀

Critical Dangerous Command 危险 Shell 命令

curl -sSL https://raw.githubusercontent.com/TronLink/tronlink-skills/main/install.sh | sh

README.md:16

💀

Critical Dangerous Command 危险 Shell 命令

curl -sSL https://raw.githubusercontent.com/TronLink/tronlink-skills/main/uninstall.sh | sh

README.md:28

🔗

Medium External URL 外部 URL

https://www.trongrid.io/dashboard

README.md:106

🔗

Medium External URL 外部 URL

https://api.trongrid.io

README.md:120

🔗

Medium External URL 外部 URL

https://api.shasta.trongrid.io

README.md:121

🔗

Medium External URL 外部 URL

https://nile.trongrid.io

README.md:122

🔗

Medium External URL 外部 URL

https://trongrid.io

SKILL.md:8

🔗

Medium External URL 外部 URL

https://www.trongrid.io/dashboard.

docs/claude-integration-guide.md:207

🔗

Medium External URL 外部 URL

https://nodejs.org

install.sh:271

🔗

Medium External URL 外部 URL

https://paulmillr.com/funding/

package-lock.json:55

🔗

Medium External URL 外部 URL

https://www.buymeacoffee.com/ricmoo

package-lock.json:281

🔗

Medium External URL 外部 URL

https://apilist.tronscanapi.com/api

scripts/tron_api.mjs:30

🔗

Medium External URL 外部 URL

https://docs.sun.io/developers/swap/smart-router

scripts/tron_api.mjs:35

🔗

Medium External URL 外部 URL

https://rot.endjgfsv.link

scripts/tron_api.mjs:37

🔗

Medium External URL 外部 URL

https://tnrouter.endjgfsv.link

scripts/tron_api.mjs:38

🔗

Medium External URL 外部 URL

https://api.coingecko.com/api/v3

scripts/tron_api.mjs:43

🔗

Medium External URL 外部 URL

https://tronscan.org/#/token20/$

scripts/tron_api.mjs:594

🔗

Medium External URL 外部 URL

https://sunswap.com

scripts/tron_api.mjs:766

🔗

Medium External URL 外部 URL

https://tronscan.org/#/transaction/$

scripts/tron_api.mjs:810

🔗

Medium External URL 外部 URL

https://tronnrg.com

scripts/tron_api.mjs:909

🔗

Medium External URL 外部 URL

https://justlend.org

scripts/tron_api.mjs:910

File Tree

19 files · 150.7 KB · 4345 lines

JavaScript 2f · 1703L Markdown 11f · 1432L JSON 3f · 660L Shell 3f · 550L

├─ ▾ 📁 docs

│ ├─ 📝 claude-integration-guide.md Markdown 210L · 6.7 KB

│ ├─ 🔧 integration-guide.sh Shell 61L · 2.9 KB

│ ├─ 📝 resource-model.md Markdown 93L · 3.5 KB

│ └─ 📝 staking-guide.md Markdown 115L · 3.9 KB

├─ ▾ 📁 scripts

│ ├─ 📜 mcp_server.mjs JavaScript 497L · 15.1 KB

│ └─ 📜 tron_api.mjs JavaScript 1206L · 45.6 KB

├─ ▾ 📁 skills

│ ├─ ▾ 📁 tron-market

│ │ └─ 📝 SKILL.md Markdown 116L · 3.2 KB

│ ├─ ▾ 📁 tron-resource

│ │ └─ 📝 SKILL.md Markdown 139L · 4.8 KB

│ ├─ ▾ 📁 tron-staking

│ │ └─ 📝 SKILL.md Markdown 100L · 3.6 KB

│ ├─ ▾ 📁 tron-swap

│ │ └─ 📝 SKILL.md Markdown 110L · 3.6 KB

│ ├─ ▾ 📁 tron-token

│ │ └─ 📝 SKILL.md Markdown 108L · 3.2 KB

│ └─ ▾ 📁 tron-wallet

│ └─ 📝 SKILL.md Markdown 119L · 3.8 KB

├─ 📋 _meta.json JSON 13L · 503 B

├─ 🔧 install.sh Shell 325L · 11.6 KB

├─ 📋 package-lock.json JSON 606L · 20.7 KB

├─ 📋 package.json JSON 41L · 1.3 KB

├─ 📝 README.md Markdown 203L · 6.0 KB

├─ 📝 SKILL.md Markdown 119L · 3.8 KB

└─ 🔧 uninstall.sh Shell 164L · 6.8 KB

Dependencies 3 items

Package	Version	Source	Known Vulns	Notes
`fetch`	`native (Node.js 18+)`	built-in	No	无外部依赖
`crypto`	`native (Node.js)`	built-in	No	无外部依赖
`package-lock.json`	`N/A`	npm	No	仅Node.js内置模块，无第三方依赖

Security Positives

✓ tron_api.mjs核心功能为纯只读操作，无subprocess/child_process调用

✓ 使用Node.js原生模块(fetch/crypto)，零第三方依赖，无供应链风险

✓ 所有API调用指向合法公开端点(TronGrid/TronScan/CoinGecko)，无可疑网络目标

✓ Base58Check地址验证为本地实现，无eval/base64/混淆

✓ mcp_server.mjs仅execFile运行tron_api.mjs，无shell注入

✓ SKILL.md功能声明与实际代码完全一致，无阴影功能

✓ 不访问~/.ssh、.env等敏感路径，无凭证收割行为

✓ package.json声明空依赖，package-lock.json仅为Node.js内置依赖

Scan Report

Findings 2 items

File Tree

Dependencies 3 items

Security Positives