中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 10/100
Last scan:2 days ago Rescan
10 /100
dao-governance
Web3 DAO治理助手，使用Degov Agent API提供准确的DAO活动、提案和治理信息
DAO治理工具，代码无恶意行为，预扫描IOC为AES-GCM标准解密误报，能力与声明一致，密钥仅本地存储不外传。
Skill Namedao-governance
Duration42.4s
Enginepi
✓
Safe to install
可直接使用，无需修改。

Findings 2 items

Severity Finding Location
Info
预扫描IOC澄清：Buffer.from + base64非恶意代码
预扫描标记wallet-store.ts:208-216的Buffer.from(cryptoPayload.*,'base64')为'Base64编码执行/代码混淆'并标记为critical。但这些是AES-256-GCM对称解密的必要步骤：salt/iv/authTag/ciphertext以base64编码存储于JSON，Buffer.from将其解码为Buffer供crypto.createDecipheriv使用。这是node.js crypto模块的标准用法，非代码混淆或命令执行。
Buffer.from(cryptoPayload.salt, 'base64'), Buffer.from(cryptoPayload.iv, 'base64'), Buffer.from(cryptoPayload.authTag, 'base64'), Buffer.from(cryptoPayload.ciphertext, 'base64')
→ 可忽略此IOC，属标准密码学操作
 scripts/wallet-store.ts:208-216
Info
依赖版本宽松但可信
package.json中@x402/evm和@x402/fetch使用^2.6.0，viem使用^2.37.5，无锁定具体版本。但这些为知名Web3支付库（x402协议官方SDK），而非可疑PyPI包。
"@x402/evm": "^2.6.0", "@x402/fetch": "^2.6.0", "viem": "^2.37.5"
→ 可接受，建议生产环境锁定具体版本
 scripts/package.json:16-21
ResourceDeclaredInferredStatusEvidence
Filesystem READ READ ✓ Aligned wallet-store.ts:55 — fs.existsSync/wallet.json读取；无写入敏感目录行为
Network READ READ ✓ Aligned degov-client.ts:88 — fetchWithPayment至degov-agent-api.degov.ai
Shell NONE NONE — 无subprocess/spawn/exec调用，pnpm exec tsx仅用于本地CLI工具
Environment NONE NONE — 仅读取DEGOV_AGENT_WALLET_PATH/DEGOV_AGENT_WALLET_PASSPHRASE等自身相关变量，无凭证扫描
Clipboard NONE NONE — 无clipboard相关代码
Browser NONE NONE — 无浏览器自动化代码
Database NONE NONE — 无数据库操作
Skill Invoke NONE NONE — 无动态技能调用
4 Critical 8 findings
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.salt, 'base64'
scripts/wallet-store.ts:208
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.iv, 'base64'
scripts/wallet-store.ts:212
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.authTag, 'base64'
scripts/wallet-store.ts:214
🔒
Critical Encoded Execution Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.ciphertext, 'base64'
scripts/wallet-store.ts:216
🔗
Medium External URL 外部 URL
https://agent-api.degov.ai
scripts/README.md:32
🔗
Medium External URL 外部 URL
https://mainnet.base.org
scripts/degov-client.ts:87
🔗
Medium External URL 外部 URL
https://basescan.org/tx/$
scripts/degov-client.ts:160
💰
Medium Wallet Address 加密货币钱包地址
0x833589fCD6eDb6E08f4c7C32D4f71b54bdA02913
scripts/wallet-store.ts:18

File Tree

8 files · 63.5 KB · 2010 lines
TypeScript 2f · 883L YAML 1f · 737L Markdown 2f · 344L JSON 3f · 46L
├─ ▾ 📁 scripts
│ ├─ 📜 degov-client.ts TypeScript 499L · 14.8 KB
│ ├─ 📋 package.json JSON 27L · 1.1 KB
│ ├─ 📋 pnpm-lock.yaml YAML 737L · 22.0 KB
│ ├─ 📝 README.md Markdown 87L · 2.7 KB
│ ├─ 📋 tsconfig.json JSON 14L · 290 B
│ └─ 📜 wallet-store.ts TypeScript 384L · 10.4 KB
├─ 📋 _meta.json JSON 5L · 137 B
└─ 📝 SKILL.md Markdown 257L · 12.1 KB

Dependencies 3 items

PackageVersionSourceKnown VulnsNotes
@x402/evm ^2.6.0 npm No x402协议官方EVM客户端SDK，用于签署链上支付请求
@x402/fetch ^2.6.0 npm No x402协议官方fetch包装器，处理支付请求头
viem ^2.37.5 npm No 知名Web3库，用于Base链交互和钱包操作

Security Positives

✓ 私钥使用AES-256-GCM+scrypt加密存储，永不外传
✓ 钱包文件权限强制设置为0o600，防止其他用户读取
✓ Guardrails明确禁止索要用户私钥
✓ x402支付机制由官方SDK实现，非自实现加密
✓ 文档完整，声明的能力与代码实现完全一致
✓ 无shell执行、无凭证扫描、无远程代码加载
✓ 网络请求目标明确（degov-agent-api.degov.ai + Base主网），无意外IP访问