@xona-labs/xpay

Name: @xona-labs/xpay
Author: io.github.xona-labs

MCPcommunity

v0.2.36io.github.xona-labsUnknownAggiornato 7 g fanpm GitHub

Xona Wallet: agent wallet for AI agents. x402 payments, AgenC hires, 20k+ services

Funziona in

ClaudeCursorCopilotGemini

Dedotto dai trasporti dichiarati da questo annuncio (stdio). Un client che non compare qui non è escluso — semplicemente Forge non è in grado di confermarlo.

Indicizzato automaticamente da fonti pubbliche. Non ancora verificato dal suo sviluppatore su Forge.Rivendica questo annuncio →

7 g faUltimo aggiornamento

Legge queste credenziali

XPAY_PASSPHRASEChiave APIfacoltativa
Encrypts the auto-generated wallet at rest; also unlocks an existing encrypted profile
XPAY_SOLANA_SECRETChiave APIfacoltativa
Use an existing Solana secret key (base58) instead of the generated wallet
XPAY_EVM_KEYChiave APIfacoltativa
Use an existing EVM private key instead of the generated wallet

Dichiarato dall’autore nel registro MCP ufficiale. Forge does not store, broker, or ever see these values — the config below is scaffolded with placeholders you fill in locally.

Pacchetto

Autoreio.github.xona-labs

LicenzaUnknown

Versione0.2.36

Fontenpm+mcp-registry

npm@xona-labs/xpay

GitHubxona-labs/xpay

SBOMCycloneDX 1.6 ↓

Stato di fiducia

40/100Attenzione

✓Presente nell’indice di Forge+10/10

—Identità del publisher verificata+0/20

→ Publisher: esegui `forge publish` dal repo del pacchetto per rivendicarne la proprietà

—Firma di pubblicazione Ed25519+0/5

→ Inclusa automaticamente quando il publisher esegue `forge publish`

—Verifica del dominio+0/5

→ Publisher: ospita /.well-known/forge.json sulla homepage del pacchetto con { "publisher": "<github-login>" }

—npm Trusted Publishing (Sigstore)+0/5

→ Pubblica da GitHub Actions con --provenance perché l’attestation leghi questo pacchetto a questo repo

—Corrispondenza del maintainer npm+0/5

→ Si ottiene quando la tua identità è verificata qui sopra e quel login è maintainer npm di questo pacchetto

✓Analisi CVE · pulita+30/30

—Analisi statica · pulita+0/20

→ Rilevati script di installazione sospetti o codice offuscato

Incollalo in Claude Code, Cursor o qualsiasi assistente di IA per colmare tutte le lacune

StatoIndicizzato dalla community

PublisherNon verificato

FirmaNon firmato

Dominio—

Provenienza—

Dipendenze✓ 60 risolte+ · nessuna vulnerabile

Superficie di strumenti33 strumenti · nessuno privilegiato

Analisi di sicurezza⚠ Avvisi (1)v0.2.26 · 1 mesi faQuanto è efficace questa analisi?

CODE…t/trading/discovery.jsjavascript-obfuscator artifact (_0x identifiers)

ValutazioniNessuna

Indicizzato12 lug 2026

La verifica conferma l’identità del publisher (la proprietà del repo), non la sicurezza del codice. L’analisi di sicurezza copre i CVE noti e gli script di installazione sospetti.

Strumenti

33 strumenti · nessuno privilegiato

Estratto staticamente dal pacchetto pubblicatov0.2.26 · 1mo ago

Letto dal codice che npm distribuisce davvero, al momento dell’analisi. Il pacchetto non è mai stato eseguito. Gli strumenti registrati dinamicamente a runtime, o nascosti in codice impacchettato o minificato, possono sfuggire — quindi questo è un limite inferiore della superficie di strumenti, non un censimento completo.

Filtra gli strumentiSolo privilegiati

xpay_discoverNessuna descrizione pubblicata