币安资金费率监控

币安资金费率套利监控工具 - 查看账户、持仓、盈亏统计，SkillPay收费版

Security Scan

Skill 声称是“监控”工具，但包含可下单的套利策略代码、对本地用户路径的硬编码访问、以及若干元数据与实现不一致，存在越权与意外执行风险。

Purpose & Capability

声明为“监控/查看账户、持仓、盈亏统计”的工具，但代码库包含完整的套利策略（FundingRateArbitrage）和开仓/平仓方法（open_position / close_position）——这些方法能使用 API Key 发起真实交易。监控用途需要访问账户信息，但下单能力超出“只读监控”声明。此外，skill.json 与 SKILL.md 声明需要 BINANCE_API_KEY/SECRET，但最顶层元信息（overview）显示“Required env vars: none”，存在元数据不一致。

Instruction Scope

SKILL.md 指导仅设置 Binance API 环境变量并按次付费，但仓库包含 start.sh，会 source 用户主目录下的 ~/.config/skillpay/env.sh 和 ~/.config/binance/env.sh，并且 funding_arbitrage.py 将日志写入硬编码路径 '/Users/zc/.openclaw/workspace/logs/funding_arbitrage.log'。这些启动/路径操作会读取或写入宿主用户的文件系统（未在声明中列出），超出 SKILL.md 明确的最小权限范围。

Install Mechanism

没有 install spec（即托管平台不会自动下载安装脚本），但存在 requirements.txt（mcp、requests、python-dotenv），表明运行需要在环境中安装第三方包（中等风险）。没有从未知 URL 下载可执行档的行为，但代码会在运行时写日志到硬编码目录，应留意文件系统访问权限与目录存在性。

Credentials

请求 BINANCE_API_KEY 和 BINANCE_API_SECRET（对接 Binance 合约 API 合理），但因代码中包含下单/杠杆设置逻辑，提供完整有交易权限的 API key 会让技能能发起交易（资金风险）。此外 start.sh 会从 ~/.config 下读取凭据文件，且 skill.json/README 与顶部元信息不一致，表明环境/凭据需求在不同位置并未统一声明。SKILL.md 与 server.py 中关于收费金额也不一致（SKILL.md/skill.json 标注 1 USDT/次，server.py 注释写 0.001 USDT），表明文档与实现不一致。

Persistence & Privilege

技能没有设置 always:true（无强制常驻），也不修改其它技能配置。风险点是：start.sh 假定特定目录结构并会执行 server.py，且代码会写入硬编码日志路径，造成对宿主文件系统的持久写入。技能能在运行时使用传入的 API 凭据执行有风险的操作（下单），因此提供凭据等同于授予行动能力。

What to consider before installing

关键发现与建议（简明）： - 核心问题：该技能对外宣称“监控/查看”账号数据，但代码包含能执行真实合约下单、设置杠杆、开/平仓的函数——如果你提供有交易权限的 Binance API Key，技能可能会下单并产生真实资金损失。 - 权限最小化：如果你只想用监控功能，只向该技能提供“只读/查询”类型的 API Key（若 Binance 支持），绝不要使用带下单/提现权限的 API Key。最好用一个测试账号且资金极少的 API Key 做试验。 - 本地文件访问：start.sh 会 source ~/.config 下的文件，代码硬编码了日志路径到 /Users/zc/…，安装或运行前请检查并修改这些路径，避免泄露或覆盖你本地敏感配置与日志。 - 支付逻辑与文档不一致：SKILL.md/skill.json 标注每次 1 USDT，而 server.py 注释写 0.001 USDT，且 server.py 在 SKILLPAY_API_KEY 为空时会跳过支付验证（开发模式），说明支付实现/验证可能并不可靠。不要以为“已付费就能安全使用”。 - 操作建议： 1) 在隔离环境（虚拟机或容器）中先审阅并运行代码，或仅审查代码后移除/注释掉 open_position/close_position 及任何修改状态的代码。 2) 若只要监控功能，删除或禁用交易相关方法，或确认 server.py 不会调用任何会下单的方法。 3) 使用最小权限的 API Key（只读），并在 Binance 上为该 Key 关闭提现和（如可能）下单权限；优先使用测试网账号。 4) 检查并修改 start.sh 与日志路径，避免自动读取你的主目录凭据或写到硬编码路径。 5) 仅在你完全信任发布者并已审核代码后，才向技能提供真实、权限较高的密钥。 總结：该包存在多项不一致与越权实现，安装前需手动审查并调整代码与凭据策略；在未完成这些检查前，将其归类为“可疑（suspicious）”。

Binance Funding Monitor (SkillPay)

币安资金费率套利监控工具 - 按次付费版

价格

• 每次调用: 1 USDT
• 支付方式: Crypto 钱包 (Web3)

前置要求

必需环境变量

• BINANCE_API_KEY - 币安 API Key
• BINANCE_API_SECRET - 币安 API Secret

可选环境变量

• SKILLPAY_API_KEY - SkillPay API Key（平台自动注入）
• SKILLPAY_ENDPOINT - SkillPay API 端点

功能

• get_account_summary - 账户总览（权益、保证金、余额）
• get_positions - 当前持仓列表
• get_funding_income - 近7天资金费收入
• get_full_report - 完整监控报告

配置示例

export BINANCE_API_KEY="your_api_key"
export BINANCE_API_SECRET="your_api_secret"

免责声明

本工具仅供监控使用，不构成投资建议。