核心用法
ZKE AI Master Trader 是 ZKE 交易所官方推出的 OpenClaw (MCP) 交易技能，专为 AI 代理设计的高频、对话式加密货币交易工具。用户可通过自然语言指令执行市场深度查询、限价单/市价单下单、交易历史查询等操作。该技能采用本地 HMAC-SHA256 签名机制，所有敏感运算均在本地完成。
安装流程依赖自动化脚本 install_openclaw_plugin.sh，该脚本会创建 Python 虚拟环境、构建 TypeScript 桥接层，并将 API 凭证持久化存储至 ~/.zke-trading/config.json。技能运行时优先读取环境变量 ZKE_API_KEY 与 ZKE_SECRET_KEY，回退至本地配置文件。
显著优点
1. 官方背书：由 ZKE Exchange AI Division 直接开发维护，代码可信度高于社区第三方实现
2. 本地签名架构：私钥不出境，HMAC-SHA256 签名完全在本地执行，降低中间人攻击风险
3. 对话式交互：支持自然语言指令，如 "Place a limit sell order for 10 ASTER at 0.85"
4. 自动化部署：一键安装脚本处理复杂的环境依赖（Python venv + Node.js 桥接）
5. IP 白名单强制：ZKE 后端强制校验请求来源 IP，增加账户安全层级
潜在缺点与局限性
1. 明文存储风险：API 密钥以明文形式写入用户主目录下的 JSON 文件，依赖用户手动设置 chmod 600 权限
2. 凭证持久化悖论：为保证 AI 代理的连续性，密钥必须持久化存储，与"最小权限原则"存在张力
3. 单点依赖：技能深度绑定 ZKE 交易所，无法迁移至其他交易平台
4. 功能边界模糊：描述中未明确是否支持合约/杠杆交易，默认仅覆盖现货场景
5. MIT-0 许可证：零条款许可证意味着无任何担保或责任条款，商业使用风险自担
适合人群
- ZKE 交易所重度现货交易者，需频繁通过 AI 代理执行订单
- 量化策略开发者，寻求 MCP 兼容的交易基础设施
- 具备基础 Linux/CLI 操作能力，能正确配置文件权限和 IP 白名单的技术用户
- 可接受「禁用提币」API 密钥策略的保守型投资者
常规风险
| 风险类型 | 具体描述 |
|---------|---------|
| **凭证泄露** | 配置文件若未设 `600` 权限，其他用户/进程可读取密钥 |
| **IP 伪造限制** | 虽强制 IP 白名单，但静态 IP 环境（如云服务器）若被入侵，攻击者可复用白名单 IP |
| **供应链攻击** | 安装脚本 `install_openclaw_plugin.sh` 若为篡改版本，可能植入恶意代码 |
| **API 密钥滥用** | 即使禁用提币，攻击者仍可能通过高频交易或恶意挂单造成资金损失 |
| **MCP 协议风险** | OpenClaw/MCP 生态尚处早期，协议实现可能存在未公开漏洞 |