フォーク側に溜まっていた 2 系統の変更をまとめて提出します。実装コードの変更はありません。

[tjackiet]

1. 秘密情報の誤コミット防止（pre-commit の gitleaks）

lefthook.yml / .gitignore / CONTRIBUTING.md / docs/dev/repo-security.md / .contrib/setup.sh

一度 commit すると鍵は git 履歴に残り、除去には履歴の書き換えと鍵の失効・再発行が要ります。CI（security.yml）の全履歴スキャンは最終防衛線ですが、そこで検知した時点で既に履歴に入っています。履歴に入る前に止められる唯一の場所が pre-commit なので、ここを本命の防御に据えました。

GitHub の Push protection も push 時点の網で、かつ bitbank は GitHub の secret scanning パートナーではないため bitbank API キー専用の検出器が存在しません（詳細は docs/dev/repo-security.md）。

• ステージ済みの「中身」を gitleaks で、ファイル名を secret-file-names で検査（.gitignore は git add -f と追跡済みファイルを防げないため 2 段構え）
• gitleaks 未導入の環境では警告のみでスキップし、コントリビュータの参入障壁にしない。LEFTHOOK_REQUIRE_GITLEAKS=1 でエラー、LEFTHOOK_SKIP_GITLEAKS=1 でスキップ
• ローカルは PATH 上の gitleaks を使うので、CI が SHA256 検証つきで固定する 8.30.1 とバージョンが一致するとは限りません。最終判定は CI 側が行います

あわせて .github/workflows/ci.yml の非ブロッキングな npm audit を削除し、security.yml（--audit-level=high・ブロッキング）に一本化しました。high は critical を含むため、ci.yml 側は部分集合にしかならず、非ブロッキングな audit を重ねると「チェックがある」ように見えて実際には止まりません。

2. README が実装に追従していなかったのを修正

README.md

コマンド一覧に bitbank tax（events / reconcile / pnl / verify-report）・balance-history・profile の 3 つが載っておらず、Agent Skills にも tax-report がありませんでした（カテゴリ小計が 7 + 1 + 2 + 2 = 12 本のまま。実数は 13 本）。

chaos s09 が検査するのは Skill の総数プローズだけで、README でそれに当たるディレクトリツリー注記は 13 本と正しかったため、カテゴリ小計のズレは検出されないまま残っていました。skills/INDEX.md と docs/skill-workflow.md は 3 つとも収録済みで、追従できていなかったのは README だけです。

税務まわりは注意点も明記しました（読み取り専用・private GET のみ / 参考損益の 4 つの表示ガード（ADR-006） / 販売所を使う場合の --brokerage-csv 必須）。

チェックリスト

• 目的 / 変更概要を記載した
• テストを追加・更新した（該当なし: ドキュメント・CI・フックのみ）
• npx vitest run が green（2191 passed）
• npx tsc --noEmit が green
• npx biome check cli/ が green
• chaos 規約・1 ファイル 100 行目安を満たす
• シークレット（API キー / secret 等）を含めていない
• 必要ならドキュメントを更新した

[bb-soda]

👍