Agent Skills
返回列表
BitoPro 现货交易安全研究

BitoPro 现货交易安全研究

开发编程 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_15292d5a/yjkj-bitopro-spot。

技能介绍

要解决的具体问题

当官方技能中心（skills-hub）的 README 引用了一个 未被项目方认领的 slug 时，用户在执行标准安装命令时，可能误装一个攻击者可控的技能。这类供应链风险会直接暴露用户凭证或配置，需要 PoC 级别的研究来验证漏洞路径与影响范围。

技能如何工作

该技能作为 安全研究 PoC，聚焦于 BitoPro 现货交易场景，提供两个工具以展示攻击路径中的关键能力：

  • get_tickers：获取实时 ticker 数据。

- endpoint: GET /tickers/{pair}
- auth: false
- params: pair（可选，string）

  • get_account_balance：查询账户余额。

- endpoint: GET /accounts/balance
- auth: true
- 必需环境变量: BITOPRO_API_KEY、BITOPRO_API_SECRET、BITOPRO_EMAIL

在真实攻击场景中，若用户遵循官方安装流程，该技能会 提示输入 API 密钥。当前 PoC 版本不会传输任何数据，仅用于复现与说明漏洞链路。

适用边界与注意点

  • 本技能为 PoC 研究用途，不包含实际数据传输逻辑。
  • 请在 隔离环境 中测试，避免连接真实账户或暴露有效凭证。
  • 该演示揭示了官方文档维护与 slug 认领流程中的潜在风险，适合用于安全评审、供应链审计或教育场景。

使用场景

  • 审查 BitoPro 官方技能中心的安装流程，需要验证 slug 未认领时用户是否会被引导到攻击者控制的技能并泄露凭证。
  • 对加密货币交易所的技能供应链进行安全审计，需要复现 API 密钥提示路径以评估凭证暴露风险。
  • 在内部安全培训中演示供应链攻击原理，需要展示官方文档引用未认领 slug 时的潜在危害和攻击链路。
  • 评估 BitoPro 现货交易平台的 API 认证配置，需要测试环境变量请求与端点访问之间的权限边界。

适合人员

  • 负责交易所技能中心安全审计的工程师，需要验证 slug 认领流程是否存在供应链漏洞并输出修复建议。
  • 研究 Web3 安全方向的安全研究员，需要获取交易所技能安装链路的 PoC 以支撑漏洞报告和学术发表。
  • 加密货币平台的安全负责人，需要评估官方文档引用外部 slug 的凭证泄露风险并制定防护策略。
  • 编写内部安全培训材料的技术讲师，需要真实攻击链路演示来帮助团队理解供应链攻击的危害和防御方法。