Solana Mobile一小时内移除Solana(SOL)商店恶意SKR Claim应用

SKR Claim在推荐位停留约一小时

台北时间11月2日凌晨,Solana (SOL) Mobile从其dApp Store中移除了一款名为SKR Claim的恶意第三方应用。这款应用在商店的App Spotlight推荐区上架约一小时,期间要求用户输入钱包助记词。团队在官方声明中还原了事件经过:开发者提交应用的入口dApp Publishing Portal遭到未授权访问,随后App Spotlight推荐区和Quests任务界面均被改动。持有该访问权限的人利用它把恶意应用直接推到了商店已装机用户面前。这家商店是Solana移动设备的应用目录,属于Solana生态的一部分。对用户而言,推荐位与普通搜索结果分量不同:出现在App Spotlight里,往往被解读为商店自身完成过审核。助记词在自托管体系中处于凭证等级的最顶端,它能恢复钱包并掌控其中全部资金,因此任何要求把助记词输入应用或网站的请求,都符合典型的钓鱼模式。官方账号把突破口定位在发布门户这一管理层面,并未描述网络本身发生任何独立事故。这份公告只涉及商店安全与用户凭证,对Solana价格和任何市场影响未作表态。

修复漏洞与重申规则

应对措施在同一份披露中分为两部分。团队表示已排查事件,定位并修复了一个允许应用在发布流程尚未完成时即被关联的漏洞,并将这次修复定义为降低再次发生概率的手段。团队同时重申既有规则:Solana Mobile在空投领取过程中,绝不会要求用户提供助记词、支付加密货币,或把钱包连接到其他应用或网站。这份指引随后对凭证类型划出了界限。应用出现在推荐位本身,并不构成交出恢复短语的充分理由;助记词管的是钱包恢复与资产控制,属于与登录密码或日常钱包连接不同的另一类秘密。连接钱包意味着钱包暴露在用户批准的任何操作之下,而批准自己无法检查内容的行为,正是所谓的盲签;交出助记词则直接绕过了这层批准机制。声明对后果说得很明确:助记词一旦被输入并可能已经泄露,卸载应用或从设备删除它都无法收回该凭证。用户被要求把两个问题分开判断:恶意应用是否已从设备移除,以及钱包凭证是否仍然安全。换言之,商店侧的清理修好的是分发渠道,泄露本身并未因此消除。

记录中悬而未决的部分

这次事件展示了内容审核层能延伸到多远的安全边界。能够编辑App Spotlight的入侵者,等于继承了商店的背书,而一个小时的推荐时长足以让哪怕一小部分访问者交出助记词。事件记录对责任的划分很清楚:Solana (SOL) Mobile下架了应用、修复了门户漏洞并重申了规则,但它没有任何机制触达那些已经把助记词输入SKR Claim的人。对这些用户来说,补救步骤是更换新钱包、生成全新密钥,而不是等待商店更新;我们整理的11个最佳Solana钱包对比可以作为这一步的起点。