io.github.Choppaaahh/interline

需要 APV0_BUYER_PRIVATE_KEY 与 APV0_NETWORK；其中私钥属于高敏感凭证，一旦泄露可能导致链上资金或身份被直接滥用。材料未说明密钥存储、使用范围或隔离方式，因此应按高敏感凭证谨慎管理，但仅凭需要密钥本身不足以定为高风险。

远程端点未披露为固定 host，但“discover rails, then pay across them”表明工具功能本身大概率涉及网络交互。当前材料未明确会把哪些用户数据、交易元数据或地址信息发送到哪些服务，透明度不足；不过未见将数据外发到明显无关或可疑端点的具体证据。

系统检查项明确标记为 executes-code，说明该工具会在本机环境中运行代码/进程。这属于 MCP 工具的常规能力，应按最小权限运行；现有材料未显示其申请与声明功能明显不相称的系统级权限，因此不足以判为高风险。

提供材料未声明需要广泛文件系统访问、读写任意本地目录，或接触与支付路由无关的数据资源。除私钥环境变量与运行时输入外，暂无证据表明其存在过度数据访问或持久化采集行为。

来源为官方 Registry，且有可审计的开源仓库、近一年内更新，这些都是明显的降风险因素。另一方面，README 缺失、许可证未声明、社区采用度很低（0 star），导致可用安全信息有限，因此供应链维度更适合评为需留意而非完全低风险。