io.github.cyanheads/coingecko-mcp-server

材料显示需要 COINGECKO_API_KEY（敏感凭证）以及 MCP_LOG_LEVEL（非敏感配置）。API Key 若泄露，可能被他人冒用访问 CoinGecko 服务或消耗配额，但未见要求提供与其功能无关的高敏感系统凭证。

工具功能声明为获取 CoinGecko 加密市场数据，按其用途应存在到 CoinGecko 相关接口的正常联网请求。当前材料未列出具体远程 host，也未见将数据发送到不明或无关端点的证据，但因其依赖外部 API，仍需留意外发内容与请求范围。

系统检查项表明该 MCP 工具会在本机执行代码/运行进程，这是此类工具的常规能力。现有材料未显示其申请超出数据查询用途的系统级权限，也未描述可执行任意高危系统操作。

从材料可确认其至少会读取环境变量中的配置与 API Key。README 缺失，未明确声明会读写哪些本地文件或其他数据资源；基于现有证据，未见明显过度授权，但本地访问边界披露不足，透明度一般。

正面因素包括：官方 Registry 来源、开源仓库可审计、近一年有更新。需留意之处在于 README 基本缺失、许可证未声明、社区 star 很低，导致可用安全文档与社区验证有限；但这些不足尚不足以单独构成高风险红旗。