mcpField
O
okx-security

okx-security

github.com/okxセキュリティ3456.5k 回インストール1 日前に更新
リポジトリ

okx-security について

トークン、DApp、トランザクション、署名、承認のリスクを調べる Onchain OS スキルです。5種類のセキュリティコマンドを備え、リスク検出時やスキャン失敗時のエージェントの対応も定めています。

主な機能

  1. 01トークンのリスクとハニーポットをスキャン
  2. 02DAppとURLのフィッシングを確認
  3. 03実行前にトランザクションを評価
  4. 04EVMメッセージ署名をスキャン
  5. 05トークンとPermit2の承認を照会

活用シーン

  1. 01購入前にトークンを確認
  2. 02操作前にDAppのURLを評価
  3. 03送信前にトランザクションを確認
  4. 04承認や署名のリスクを調査

MCP 対応

入力では `onchainos` CLIを使うスキルとして説明されており、MCPとの接続については記載されていません。

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/okx/onchainos-skills --skill okx-security

インストール後、Claude Code で/okx-securityを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

_shared/
preflight.md
references/
risk-approval-monitoring.md
risk-domain-detection.md
risk-token-detection.md
risk-transaction-detection.md

詳細

Onchain OS のセキュリティ

トークンのリスク分析、DApp のフィッシング検出、トランザクション実行前のセキュリティ、署名の安全性、承認管理を行う 5 つのコマンドです。

事前チェック

../okx-agentic-wallet/_shared/preflight.md を読みます。そのファイルが存在しない場合は、代わりに _shared/preflight.md を読みます。

フェイルセーフの原則（重要）

スキャン完了 — リスクを検出

セキュリティスキャンが正常に完了し、action: "block" または action: "warn" が返された場合は、以下のリスクアクション優先ルールに従ってください。エージェントはリスク判定を覆してはなりません。

スキャン失敗 — インフラストラクチャエラー

セキュリティスキャンが完了しなかった場合（ネットワークエラー、API タイムアウト、レート制限、不正な形式のレスポンス）、エージェントは以下を行う必要があります。

  • エラーをユーザーに明確に報告します。
  • スキャンを再試行するか、スキャン結果なしで続行するかをユーザーに確認します。
  • ユーザーが続行を選択した場合、次の警告を表示します。

    "⚠️ Security scan could not be completed. Proceeding without verification — please ensure you trust this operation."

  • 監査可能性を確保するため、スキップしたスキャンを記録します。

完了しなかったセキュリティスキャンは「合格」ではありません。必ずユーザーに知らせ、明示的に判断してもらってください。

リスクアクション優先ルール

tx-scan / sig-scan（トランザクションと署名のスキャン）

block > warn > safe（空）。トップレベルの action フィールドには、riskItemDetail の中で最も優先度の高い値が反映されます。

action の値リスクレベルエージェントの動作
（空/null）低リスク安全に続行できます
warn中リスクリスクの詳細を表示し、ユーザーに明示的な確認を求めます
block高リスク続行せず、リスクの詳細を表示してキャンセルを推奨します
  • シミュレーションに失敗した場合でも、リスクスキャンの結果は有効です（simulator.revertReason に失敗理由が含まれる場合があります）。
  • warnings フィールドに値が設定されている場合、スキャンは完了していますが、一部のデータが不完全な可能性があります。利用可能なリスク情報は引き続き提示してください。
  • 成功した API レスポンスの action が空/null の場合、「リスクは検出されなかった」ことを意味します。ただし、API 呼び出しが失敗した場合、action が存在しないことは安全を意味しません。フェイルセーフの原則を適用してください。
token-scan（トークンリスクラベルのスキャン）

token-scan は、すべてのブール型ラベル、税率のしきい値、追加のシグナル（オフチェーンインテリジェンス、ML モデル）からサーバー側で算出される、トークン全体のリスクを示す riskLevel フィールド（CRITICAL、HIGH、MEDIUM、LOW）を返します。エージェントはこのフィールドを直接使用し、購入と売却で異なる対応を適用します。

riskLevel購入時の対応売却時の対応
CRITICALblock — 購入を拒否warn — リスクを表示し、売却を許可
HIGHwarn + 一時停止 — 明示的な yes/no の確認が必要warn — リスクを表示し、売却を許可
MEDIUMwarn — 情報通知を表示して続行warn — 情報通知を表示して続行
LOWsafe — 続行safe — 続行

ラベルの一覧、税率のしきい値ルール、表示形式は references/risk-token-detection.md で定義されています。token-scan を実行する前に、必ずこのリファレンスを読み込んでください。

主な原則：

  • riskLevel が正式な判定です：API はトークン全体のリスクレベルをサーバー側で返します。エージェントは riskLevel を直接参照します。個別のラベルからクライアント側で算出する必要はありません。
  • 購入時は売却時より厳格です：CRITICAL の場合、購入はブロックしますが、売却では警告のみを表示します（損切りによる売却を可能にするため）。
  • HIGH の購入では、ユーザーの明示的な確認（yes/no）が必要です。自動的に続行してはいけません。
  • 個別ラベルのレベルはユーザーに表示しません。表示するのは全体の riskLevel のみで、該当したラベルはレベルの接頭辞を付けずに列挙します。
  • isChainSupported: false の場合は警告を表示して検出をスキップし、ブロックしないでください。
  • API が失敗した場合は警告を表示しますが、ブロックしません。スワップ中に token-scan が失敗した場合は、時間に敏感な取引を妨げないよう、警告を表示して自動的に続行します。これは、ユーザーへの確認を求める一般的なフェイルセーフの動作より優先されます。

セキュリティコマンドの実行にウォレットへのログインは不要です。任意のアドレスで使用できます。

チェーン名のサポート

CLI は人が読みやすいチェーン名を受け付け、自動的に解決します。

チェーン名前chainIndex
XLayerxlayer196
Ethereumethereum または eth1
Solanasolana または sol501
BSCbsc または bnb56
Polygonpolygon または matic137
Arbitrumarbitrum または arb42161
Basebase8453
Avalancheavalanche または avax43114
Optimismoptimism または op10
zkSync Erazksync324
Linealinea59144
Scrollscroll534352

アドレス形式に関する注意：EVM アドレス（0x...）は Ethereum／BSC／Polygon／Arbitrum／Base などで使用できます。Solana アドレス（Base58）と Bitcoin アドレス（UTXO）は形式が異なります。チェーンの種類をまたいで形式を混在させないでください。

関連ワークフロー

次のいずれかのコマンドが使用された場合、結果を表示した後に関連するワークフローのヒントを表示します。

コマンドワークフローファイル
security token-scan新規トークンのスクリーニング~/.onchainos/workflows/new-token-screening.md
security token-scanスマートマネーのシグナル~/.onchainos/workflows/smart-money-signals.md
security token-scanトークン調査~/.onchainos/workflows/token-research.md
security token-scanウォレットモニター~/.onchainos/workflows/wallet-monitor.md

ヒントの形式："より包括的な結果を得るには、[ワークフロー名] ワークフローもお試しいただけます。試してみますか？"

コマンド一覧

#コマンド説明
1onchainos security token-scanトークンのリスク／ハニーポット検出（全チェーン）
2onchainos security dapp-scanDApp／URL のフィッシング検出（チェーン非依存）
3onchainos security tx-scanトランザクション実行前のセキュリティチェック（EVM + Solana）
4onchainos security sig-scanメッセージ署名のセキュリティチェック（EVM のみ）
5onchainos security approvalsトークン承認／Permit2 認可の照会（EVM のみ）

リファレンスの読み込みルール（必須）

セキュリティコマンドを実行する前に、対応するリファレンスドキュメントを skills/okx-security/references/ から必ず読み込んでください。以前の知識に頼らず、常に最初にリファレンスを読み込んでください。

ユーザーの意図最初に読むファイル
トークンの安全性、ハニーポット、このトークンは安全か、代币安全、蜜罐检测、貔貅盘references/risk-token-detection.md
DApp／URL のフィッシング、このサイトは安全か、钓鱼网站references/risk-domain-detection.md
トランザクションの安全性、トランザクション実行前のチェック、署名の安全性、承認の安全性、交易安全、签名安全references/risk-transaction-detection.md
承認、allowance、Permit2、取り消し、授权管理、授权查询、风险授权references/risk-approval-monitoring.md

ワークフローに複数のコマンドが含まれる場合（例：token-scan の後に tx-scan を実行する場合）、各コマンドを実行する前に対応するリファレンスを読み込んでください。

他のスキルとの連携

セキュリティスキャンは、他のウォレット操作の前提となることがよくあります。

  • コントラクトトークンを指定して wallet send を実行する前に、token-scan を実行してトークンの安全性を確認します
  • approve calldata を指定して wallet contract-call を実行する前に、tx-scan を実行して spender を確認します
  • DApp の URL にアクセスする前に、dapp-scan を実行します
  • EIP-712 メッセージに署名する前に、sig-scan を実行します

以降の send／contract-call 操作には okx-agentic-wallet スキルを使用してください。

コメント

Markdown 対応