Whale Alert Monitor 鲸鱼监控

追踪加密货币巨鲸动向、大额转账预警、交易所资金流向分析。 当你想追踪聪明钱的每一步，监测大户交易行为时使用此技能。 已接入 SkillPay，每次调用 0.01 USDT。

要点与建议（面向非专业用户）： - 主要问题：该技能在代码中嵌入了一个 SkillPay 的长 API 密钥（硬编码），并使用网络请求对 skillpay.me 发起扣费/查询请求。meta.json 还声明 SKILLPAY_API_KEY/SKILLPAY_USER_ID 为必需，但 registry 列表显示没有必需的环境变量——这是不一致且可导致未经你充分知情的计费行为。 - 其他不一致：README/SKILL.md 提到需使用 Etherscan/Alchemy/Moralis、以及 Telegram/Discord webhook 配置，但技能声明并未列出这些为必需环境变量；代码会尝试读取这些 env 并向外部服务发请求。 - 风险表现：如果你运行这些脚本，它们会写入本地文件（配置、日志、历史）并主动向外部服务（skillpay.me、Telegram API、Discord webhook、自定义 webhook）发送数据；嵌入的账单密钥能以发布者/服务端身份调用计费接口，理论上可能导致意外收费或滥用。 - 建议动作： 1) 在信任前不要在生产环境运行或把它赋予权限更高的主机；在隔离的沙箱/容器中审计和运行。 2) 要求作者/发布方澄清账单逻辑：为什么在仓库里有硬编码的 BILLING_API_KEY？是否该密钥是公开测试用？要求移除并改为由平台安全地管理/注入凭据。最好让计费走平台受控流程，而不是嵌入密钥。 3) 要求 skill 的 manifest 明确列出需要的环境变量（TELEGRAM_BOT_TOKEN, TELEGRAM_CHAT_ID, DISCORD_WEBHOOK_URL, SKILLPAY_* 等），并说明收费如何触发和给用户的可见性。 4) 如果要使用，先审计 payment.py 的调用路径：确认主脚本是否在启动/每次调用时必定调用 require_payment()（目前代码片段没有显示全局自动调用，但 meta.json 表明计费为启用），并确认平台如何把账单责任告知最终用户。 5) 若你有安全团队或熟悉 Python 的朋友，请他们检查并建议：移除硬编码密钥、将计费凭证做安全存储（平台注入）、并将外部网络交互限制在最小必要范围。 总体结论：功能本身与描述大体匹配，但关于计费、凭据管理与环境声明存在令人担忧的不一致——在作者修正并提供明确、安全的计费/凭据方案前我不建议信任或部署该技能。

Type: OpenClaw Skill Name: shenmeng-whale-alert-monitor-v2 Version: 1.99.99 The skill bundle implements a mandatory pay-per-call billing system ('SkillPay') that locks functionality behind a paywall, as seen in payment.py and SKILL.md. It contains a hardcoded secret API key (sk_f03aa8f8...) in payment.py, which is a major security vulnerability. Additionally, the core monitoring logic in scripts like transfer_monitor.py and exchange_flow.py is entirely simulated with random data, which may mislead users about the skill's actual capabilities. While it requests sensitive environment variables for notifications (e.g., TELEGRAM_BOT_TOKEN), this is consistent with its stated purpose.