中文 EN

扫描报告

扫描新文件

⚠ 低风险 — 风险评分 20/100
上次扫描：10 小时前 重新扫描
20 /100
TronLink Wallet Skills
AI Agent技能集，用于TRON网络钱包管理、TRC-20代币查询、市场数据、DEX交换、Energy/Bandwidth资源管理和TRX质押
TronLink钱包技能核心功能为纯只读操作，代码干净无恶意行为；install.sh中的curl|sh是文档化的安装机制，存在理论风险但来源可信。
技能名称TronLink Wallet Skills
分析耗时82.8s
引擎pi
✓
可以安装
可安全使用。建议：1) 优先使用本地git clone而非curl|sh；2) 安装前检查install.sh哈希；3) 确认TRONGRID_API_KEY仅用于API认证不外泄。

安全发现 2 项

严重性 安全发现 位置
中危
远程脚本执行安装机制 供应链
README.md推荐使用curl|sh从GitHub raw URL安装，install.sh可执行git clone、文件复制、rm -rf等操作。虽然来源可信(TronLink官方仓库)且已文档化，但存在供应链攻击理论风险。
curl -sSL https://raw.githubusercontent.com/TronLink/tronlink-skills/main/install.sh | sh
→ 建议用户使用git clone替代curl|sh；安装前验证脚本哈希；关注仓库安全状态
 README.md:16
低危
安装脚本执行本地文件操作 权限提升
install.sh执行rm -rf $INSTALL_DIR、cp -R、ln -sf、写入CLAUDE.md等操作，用于AI环境适配。虽为合法安装机制，但超出SKILL.md声明的只读范围。
rm -rf "$INSTALL_DIR" && cp -R "$LOCAL_SRC" "$INSTALL_DIR"
→ 文档中已明确说明安装行为，非隐蔽越权
 install.sh:54
资源类型声明权限推断权限状态证据
文件系统 NONE READ ✓ 一致 SKILL.md声明只读，但install.sh执行文件操作用于安装
网络访问 READ READ ✓ 一致 tron_api.mjs:48-56 仅调用TronGrid/TronScan/CoinGecko公开API
命令执行 NONE NONE — tron_api.mjs无subprocess调用；mcp_server.mjs仅execFile运行tron_api.mjs
环境变量 NONE READ ✓ 一致 仅读取TRONGRID_API_KEY/TRON_NETWORK用于配置，无敏感信息外泄
2 严重 21 项发现
💀
严重 危险命令 危险 Shell 命令
curl -sSL https://raw.githubusercontent.com/TronLink/tronlink-skills/main/install.sh | sh
README.md:16
💀
严重 危险命令 危险 Shell 命令
curl -sSL https://raw.githubusercontent.com/TronLink/tronlink-skills/main/uninstall.sh | sh
README.md:28
🔗
中危 外部 URL 外部 URL
https://www.trongrid.io/dashboard
README.md:106
🔗
中危 外部 URL 外部 URL
https://api.trongrid.io
README.md:120
🔗
中危 外部 URL 外部 URL
https://api.shasta.trongrid.io
README.md:121
🔗
中危 外部 URL 外部 URL
https://nile.trongrid.io
README.md:122
🔗
中危 外部 URL 外部 URL
https://trongrid.io
SKILL.md:8
🔗
中危 外部 URL 外部 URL
https://www.trongrid.io/dashboard.
docs/claude-integration-guide.md:207
🔗
中危 外部 URL 外部 URL
https://nodejs.org
install.sh:271
🔗
中危 外部 URL 外部 URL
https://paulmillr.com/funding/
package-lock.json:55
🔗
中危 外部 URL 外部 URL
https://www.buymeacoffee.com/ricmoo
package-lock.json:281
🔗
中危 外部 URL 外部 URL
https://apilist.tronscanapi.com/api
scripts/tron_api.mjs:30
🔗
中危 外部 URL 外部 URL
https://docs.sun.io/developers/swap/smart-router
scripts/tron_api.mjs:35
🔗
中危 外部 URL 外部 URL
https://rot.endjgfsv.link
scripts/tron_api.mjs:37
🔗
中危 外部 URL 外部 URL
https://tnrouter.endjgfsv.link
scripts/tron_api.mjs:38
🔗
中危 外部 URL 外部 URL
https://api.coingecko.com/api/v3
scripts/tron_api.mjs:43
🔗
中危 外部 URL 外部 URL
https://tronscan.org/#/token20/$
scripts/tron_api.mjs:594
🔗
中危 外部 URL 外部 URL
https://sunswap.com
scripts/tron_api.mjs:766
🔗
中危 外部 URL 外部 URL
https://tronscan.org/#/transaction/$
scripts/tron_api.mjs:810
🔗
中危 外部 URL 外部 URL
https://tronnrg.com
scripts/tron_api.mjs:909
🔗
中危 外部 URL 外部 URL
https://justlend.org
scripts/tron_api.mjs:910

目录结构

19 文件 · 150.7 KB · 4345 行
JavaScript 2f · 1703L Markdown 11f · 1432L JSON 3f · 660L Shell 3f · 550L
├─ ▾ 📁 docs
│ ├─ 📝 claude-integration-guide.md Markdown 210L · 6.7 KB
│ ├─ 🔧 integration-guide.sh Shell 61L · 2.9 KB
│ ├─ 📝 resource-model.md Markdown 93L · 3.5 KB
│ └─ 📝 staking-guide.md Markdown 115L · 3.9 KB
├─ ▾ 📁 scripts
│ ├─ 📜 mcp_server.mjs JavaScript 497L · 15.1 KB
│ └─ 📜 tron_api.mjs JavaScript 1206L · 45.6 KB
├─ ▾ 📁 skills
│ ├─ ▾ 📁 tron-market
│ │ └─ 📝 SKILL.md Markdown 116L · 3.2 KB
│ ├─ ▾ 📁 tron-resource
│ │ └─ 📝 SKILL.md Markdown 139L · 4.8 KB
│ ├─ ▾ 📁 tron-staking
│ │ └─ 📝 SKILL.md Markdown 100L · 3.6 KB
│ ├─ ▾ 📁 tron-swap
│ │ └─ 📝 SKILL.md Markdown 110L · 3.6 KB
│ ├─ ▾ 📁 tron-token
│ │ └─ 📝 SKILL.md Markdown 108L · 3.2 KB
│ └─ ▾ 📁 tron-wallet
│ └─ 📝 SKILL.md Markdown 119L · 3.8 KB
├─ 📋 _meta.json JSON 13L · 503 B
├─ 🔧 install.sh Shell 325L · 11.6 KB
├─ 📋 package-lock.json JSON 606L · 20.7 KB
├─ 📋 package.json JSON 41L · 1.3 KB
├─ 📝 README.md Markdown 203L · 6.0 KB
├─ 📝 SKILL.md Markdown 119L · 3.8 KB
└─ 🔧 uninstall.sh Shell 164L · 6.8 KB

依赖分析 3 项

包名版本来源已知漏洞备注
fetch native (Node.js 18+) built-in 否 无外部依赖
crypto native (Node.js) built-in 否 无外部依赖
package-lock.json N/A npm 否 仅Node.js内置模块，无第三方依赖

安全亮点

✓ tron_api.mjs核心功能为纯只读操作，无subprocess/child_process调用
✓ 使用Node.js原生模块(fetch/crypto)，零第三方依赖，无供应链风险
✓ 所有API调用指向合法公开端点(TronGrid/TronScan/CoinGecko)，无可疑网络目标
✓ Base58Check地址验证为本地实现，无eval/base64/混淆
✓ mcp_server.mjs仅execFile运行tron_api.mjs，无shell注入
✓ SKILL.md功能声明与实际代码完全一致，无阴影功能
✓ 不访问~/.ssh、.env等敏感路径，无凭证收割行为
✓ package.json声明空依赖，package-lock.json仅为Node.js内置依赖