> ## Documentation Index
> Fetch the complete documentation index at: https://docs.chainstream.io/llms.txt
> Use this file to discover all available pages before exploring further.

# 보안 고려사항

> OpenClaw 에이전트에서 ChainStream 사용을 위한 보안 검토, 리스크 플래그, 모범 사례.

## ClawHub 보안 검토

ClawHub에 게시된 ChainStream 스킬(`chainstream/chainstream-data`)은 ClawHub의 자동 보안 스캐너에 의해 **중간 신뢰도**로 **의심스러움(suspicious)** 플래그가 지정되었습니다.

<Warning>
  이 플래그는 스킬이 악성이라는 것을 의미하지 않습니다. 스킬의 일부 동작 패턴이 프로덕션 사용 전에 주의 깊게 검토할 필요가 있음을 나타냅니다.
</Warning>

### 플래그된 동작

스캐너가 경고를 트리거한 세 가지 동작을 식별했습니다:

| 동작                   | 위험 수준 | 설명                                                        |
| -------------------- | ----- | --------------------------------------------------------- |
| 프라이빗 키 저장을 포함한 지갑 생성 | 높음    | 스킬에 지갑 생성 및 프라이빗 키 저장 지침이 포함되어 있어, 민감한 암호화 자료가 노출될 수 있습니다 |
| x402 자동 결제           | 보통    | x402 결제 프로토콜은 자동으로 지출을 승인할 수 있어, 출금 거래의 가시성이 낮아질 수 있습니다   |
| 원격 npm 실행            | 낮음    | 스킬이 런타임에 npm에서 패키지를 가져와 실행하기 위해 `npx`를 사용합니다              |

### 의미

* **지갑 생성**: 일부 ChainStream 도구(`dex_swap`, `dex_create_token`, `transaction_send`)는 지갑 접근이 필요합니다. 스킬 문서에는 프라이빗 키 처리를 포함하는 지갑 설정 지침이 포함되어 있습니다.
* **x402 자동 결제**: x402 프로토콜은 기계 간 소액 결제를 가능하게 합니다. 활성화되면, 에이전트가 명시적인 거래별 승인 없이 소액 결제를 승인할 수 있습니다.
* **원격 npm 실행**: `npx @chainstream-io/mcp`를 사용하면 npm 레지스트리에서 패키지를 다운로드하고 실행합니다. 이는 일반적인 관행이지만, 공급망 의존성을 도입합니다.

## 모범 사례

프로덕션에서 OpenClaw 에이전트와 함께 ChainStream을 안전하게 사용하기 위한 가이드라인을 따르세요.

### 1. 지갑 생성보다 대시보드 API 키 사용

인증에는 [ChainStream 대시보드](https://app.chainstream.io)에서 생성한 API 키를 사용하세요. API 키는 지갑 생성이나 프라이빗 키 관리 없이 온체인 데이터에 대한 읽기 접근을 제공합니다.

```yaml theme={null}
skills:
  chainstream:
    type: mcp
    url: https://mcp.chainstream.io/mcp
    env:
      CHAINSTREAM_API_KEY: your-dashboard-key  # No wallet needed
```

<Tip>
  API 키는 모든 읽기 전용 도구에 충분합니다: 토큰 검색, 분석, 지갑 프로파일링, 시장 데이터, 거래 이력. 지갑 접근은 실행 도구(`dex_swap`, `dex_create_token`, `transaction_send`)에만 필요합니다.
</Tip>

### 2. 프로덕션 프라이빗 키 절대 가져오지 않기

사용 사례가 실행 도구를 필요로 하는 경우, 상당한 자금이 있는 지갑의 **프라이빗 키를 절대 가져오지 마세요**.

* 최소한의 자금으로 전용 테스트 지갑을 생성하세요
* 특정 작업에 필요한 금액만 충전하세요
* AI 에이전트에 연결된 모든 지갑을 위험이 높은 핫 월렛으로 취급하세요

```
DO:    테스트 스왑을 위해 0.1 SOL로 새 지갑 생성
DON'T: 100 SOL이 있는 메인 지갑을 에이전트 설정에 가져오기
```

### 3. 실행 전 npm 패키지 검증

`npx @chainstream-io/mcp`를 실행하기 전에 패키지를 검증하세요:

```bash theme={null}
# Check package details on npm
npm view @chainstream-io/mcp

# Check the publisher
npm view @chainstream-io/mcp maintainers

# Pin a specific version instead of using latest
npx @chainstream-io/mcp@0.0.3
```

프로덕션 배포의 경우, `npx` 대신 고정 버전을 전역으로 설치하세요:

```bash theme={null}
npm install -g @chainstream-io/mcp@0.0.3
```

### 4. 격리된 환경에서 실행

MCP 서버와 OpenClaw 에이전트를 격리된 환경에서 실행하여 피해 범위를 제한하세요:

* 네트워크 접근이 제한된 **Docker 컨테이너**
* **전용 VM** 또는 클라우드 인스턴스
* 파일시스템 접근이 제한된 **샌드박스 에이전트 런타임**

```dockerfile theme={null}
FROM node:20-slim

# Non-root user
RUN useradd -m agent
USER agent

RUN npm install -g @chainstream-io/mcp@0.0.3

CMD ["chainstream-mcp"]
```

### 5. 결제 흐름에 대한 명시적 승인 요구

자금을 이동하는 모든 도구에 대해 사람의 확인(Human-in-the-loop)이 필요하도록 OpenClaw 에이전트를 구성하세요:

* `dex_swap` — 토큰 스왑 실행
* `dex_create_token` — 토큰 생성 (SOL이 필요할 수 있음)
* `transaction_send` — 서명된 트랜잭션 브로드캐스트

OpenClaw 에이전트 설정에서:

```yaml theme={null}
agent:
  confirmation_required:
    - dex_swap
    - dex_create_token
    - transaction_send
```

x402 자동 결제를 사용하는 경우, 명시적 지출 한도를 설정하세요:

```yaml theme={null}
agent:
  x402:
    max_per_transaction: 0.01  # USD
    max_daily: 1.00            # USD
    require_approval_above: 0.10  # USD
```

### 6. 지갑 트랜잭션 모니터링

에이전트에 지갑을 연결한 경우, 활동을 적극적으로 모니터링하세요:

* `webhooks_manage`를 사용하여 출금 거래에 대한 웹훅 알림을 설정하세요
* `wallets_activity`를 사용하여 정기적으로 지갑 활동을 검토하세요
* 블록 익스플로러를 사용하여 에이전트가 시작한 거래를 독립적으로 검증하세요

```bash theme={null}
# Example: Set up a webhook for wallet activity
# (via the agent or direct API call)
webhooks_manage action=create url=https://your-server.com/alerts events=["wallet_transfer"]
```

## 보안 체크리스트

프로덕션에서 OpenClaw와 함께 ChainStream을 배포하기 전에 이 체크리스트를 사용하세요:

* [ ] API 키가 코드나 설정 파일이 아닌 환경 변수에 저장되어 있음
* [ ] 에이전트 설정에 프로덕션 프라이빗 키가 가져와지지 않았음
* [ ] npm 패키지 버전이 고정되어 있음 (`latest` 미사용)
* [ ] 에이전트가 격리된 환경(Docker, VM, 샌드박스)에서 실행됨
* [ ] 실행 도구(`dex_swap`, `dex_create_token`, `transaction_send`)에 사람의 승인이 필요함
* [ ] x402 자동 결제가 비활성화되었거나 지출 한도가 설정됨
* [ ] 지갑 모니터링 및 알림이 구성됨
* [ ] 에이전트 거래 로그의 정기적 검토

## 이슈 보고

ChainStream MCP 서버 또는 ClawHub 스킬에서 보안 취약점을 발견한 경우:

* **ChainStream**: [security@chainstream.io](mailto:security@chainstream.io)로 이메일을 보내주세요
* **ClawHub**: [clawhub.ai/chainstream/chainstream-data](https://clawhub.ai/chainstream/chainstream-data)의 ClawHub 스킬 페이지를 통해 보고해 주세요

## 다음 단계

<CardGroup cols={2}>
  <Card title="설치 방법" icon="download" href="/ko/docs/ecosystem/openclaw/skills-install">
    보안 요구사항에 맞는 설치 방법을 선택하세요.
  </Card>

  <Card title="셀프 호스팅 설정" icon="server" href="/ko/docs/ai-agents/mcp-server/setup">
    최대한의 제어를 위해 자체 MCP 서버를 운영하세요.
  </Card>
</CardGroup>