中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 10/100
上次扫描：2 天前 重新扫描
10 /100
dao-governance
Web3 DAO治理助手，使用Degov Agent API提供准确的DAO活动、提案和治理信息
DAO治理工具，代码无恶意行为，预扫描IOC为AES-GCM标准解密误报，能力与声明一致，密钥仅本地存储不外传。
技能名称dao-governance
分析耗时42.4s
引擎pi
✓
可以安装
可直接使用，无需修改。

安全发现 2 项

严重性 安全发现 位置
提示
预扫描IOC澄清：Buffer.from + base64非恶意代码
预扫描标记wallet-store.ts:208-216的Buffer.from(cryptoPayload.*,'base64')为'Base64编码执行/代码混淆'并标记为critical。但这些是AES-256-GCM对称解密的必要步骤：salt/iv/authTag/ciphertext以base64编码存储于JSON，Buffer.from将其解码为Buffer供crypto.createDecipheriv使用。这是node.js crypto模块的标准用法，非代码混淆或命令执行。
Buffer.from(cryptoPayload.salt, 'base64'), Buffer.from(cryptoPayload.iv, 'base64'), Buffer.from(cryptoPayload.authTag, 'base64'), Buffer.from(cryptoPayload.ciphertext, 'base64')
→ 可忽略此IOC，属标准密码学操作
 scripts/wallet-store.ts:208-216
提示
依赖版本宽松但可信
package.json中@x402/evm和@x402/fetch使用^2.6.0，viem使用^2.37.5，无锁定具体版本。但这些为知名Web3支付库（x402协议官方SDK），而非可疑PyPI包。
"@x402/evm": "^2.6.0", "@x402/fetch": "^2.6.0", "viem": "^2.37.5"
→ 可接受，建议生产环境锁定具体版本
 scripts/package.json:16-21
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 wallet-store.ts:55 — fs.existsSync/wallet.json读取；无写入敏感目录行为
网络访问 READ READ ✓ 一致 degov-client.ts:88 — fetchWithPayment至degov-agent-api.degov.ai
命令执行 NONE NONE — 无subprocess/spawn/exec调用，pnpm exec tsx仅用于本地CLI工具
环境变量 NONE NONE — 仅读取DEGOV_AGENT_WALLET_PATH/DEGOV_AGENT_WALLET_PASSPHRASE等自身相关变量，无凭证扫描
剪贴板 NONE NONE — 无clipboard相关代码
浏览器 NONE NONE — 无浏览器自动化代码
数据库 NONE NONE — 无数据库操作
技能调用 NONE NONE — 无动态技能调用
4 严重 8 项发现
🔒
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.salt, 'base64'
scripts/wallet-store.ts:208
🔒
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.iv, 'base64'
scripts/wallet-store.ts:212
🔒
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.authTag, 'base64'
scripts/wallet-store.ts:214
🔒
严重 编码执行 Base64 编码执行（代码混淆）
Buffer.from(cryptoPayload.ciphertext, 'base64'
scripts/wallet-store.ts:216
🔗
中危 外部 URL 外部 URL
https://agent-api.degov.ai
scripts/README.md:32
🔗
中危 外部 URL 外部 URL
https://mainnet.base.org
scripts/degov-client.ts:87
🔗
中危 外部 URL 外部 URL
https://basescan.org/tx/$
scripts/degov-client.ts:160
💰
中危 钱包地址 加密货币钱包地址
0x833589fCD6eDb6E08f4c7C32D4f71b54bdA02913
scripts/wallet-store.ts:18

目录结构

8 文件 · 63.5 KB · 2010 行
TypeScript 2f · 883L YAML 1f · 737L Markdown 2f · 344L JSON 3f · 46L
├─ ▾ 📁 scripts
│ ├─ 📜 degov-client.ts TypeScript 499L · 14.8 KB
│ ├─ 📋 package.json JSON 27L · 1.1 KB
│ ├─ 📋 pnpm-lock.yaml YAML 737L · 22.0 KB
│ ├─ 📝 README.md Markdown 87L · 2.7 KB
│ ├─ 📋 tsconfig.json JSON 14L · 290 B
│ └─ 📜 wallet-store.ts TypeScript 384L · 10.4 KB
├─ 📋 _meta.json JSON 5L · 137 B
└─ 📝 SKILL.md Markdown 257L · 12.1 KB

依赖分析 3 项

包名版本来源已知漏洞备注
@x402/evm ^2.6.0 npm 否 x402协议官方EVM客户端SDK，用于签署链上支付请求
@x402/fetch ^2.6.0 npm 否 x402协议官方fetch包装器，处理支付请求头
viem ^2.37.5 npm 否 知名Web3库，用于Base链交互和钱包操作

安全亮点

✓ 私钥使用AES-256-GCM+scrypt加密存储，永不外传
✓ 钱包文件权限强制设置为0o600，防止其他用户读取
✓ Guardrails明确禁止索要用户私钥
✓ x402支付机制由官方SDK实现，非自实现加密
✓ 文档完整，声明的能力与代码实现完全一致
✓ 无shell执行、无凭证扫描、无远程代码加载
✓ 网络请求目标明确（degov-agent-api.degov.ai + Base主网），无意外IP访问