Solana Mobile entfernt gefälschte 'SKR Claim'-App nach Sicherheitslücke im Store-Spotlight
Solana Mobile hat die bösartige App 'SKR Claim' aus seinem dApp Store entfernt, nachdem sie am 1. November rund eine Stunde lang im App Spotlight erschienen war. Die App war darauf ausgelegt, Seed-Phrasen von Nutzern zu sammeln, und das Unternehmen hat die Schwachstelle geschlossen, durch die eine nicht veröffentlichte App kuratierte Platzierung erhalten konnte.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 2 angegebenen Quellen. So arbeiten wir
Was am 1. November geschah
Die bösartige App 'SKR Claim' war am 1. November etwa eine Stunde lang im App Spotlight des dApp Store von Solana Mobile zu sehen, bevor das Unternehmen sie entfernte. Solana Mobile erklärte, die App sei dort platziert worden, nachdem sich ein Angreifer unbefugten Zugang zum dApp Publishing Portal verschafft und damit eine nicht veröffentlichte Anwendung in einen kuratierten Bereich des Stores gesetzt habe.
Die App war darauf ausgelegt, Seed-Phrasen von Nutzern zu sammeln, die glaubten, einen Airdrop zu beanspruchen. Eine Seed-Phrase gewährt die volle Kontrolle über das Wallet, aus dem sie generiert wurde. Wer sie in die App eingab, hätte somit die Gelder dieses Wallets offengelegt. Solana Mobile erklärte, sein Team fordere im Rahmen eines Airdrops niemals Seed-Phrasen oder Wallet-Verbindungen von Nutzern an.
Die zugrunde liegende Schwachstelle
Laut den Ingenieuren von Solana Mobile waren die Publishing-Pipeline des Stores und die Kuratierungsebene nicht vollständig aufeinander abgestimmt. Unter bestimmten Bedingungen konnten Apps, die nie formal veröffentlicht worden waren, in Spotlight-Funktionen gelangen, also in Platzierungen, die Nutzer tendenziell als geprüft betrachten. Das Unternehmen hat diese Lücke geschlossen und führt eine umfassendere Sicherheitsprüfung durch, um ähnliche Schwachstellen aufzuspüren.
Die beiden Berichte über den Vorfall unterscheiden sich in der Beschreibung des Mechanismus. The Defiant schreibt, das Unternehmen habe gesagt, der Fehler habe es ermöglicht, dass Links zu nicht vollständig veröffentlichten Apps sichtbar wurden. Crypto Briefing beschreibt einen Fehler, durch den unveröffentlichte Apps in kuratierte Bereiche aufgenommen werden konnten. Beide Darstellungen stimmen im Kernproblem überein, dass eine unveröffentlichte App einen kuratierten Platz erreichte. Die Quellen beschreiben den Ausnutzungspfad jedoch nicht identisch, und keine der beiden Darstellungen wurde unabhängig anhand der technischen Offenlegung des Unternehmens überprüft.
Umfang der Auswirkungen
Solana Mobile erklärte, der Vorfall habe weder die Gerätesicherheit, das Seed-Vault-Hardware-Wallet noch On-Chain-Systeme kompromittiert. Das Unternehmen entfernt die App von Geräten, auf denen sie im betreffenden Zeitfenster möglicherweise installiert wurde. Die Berichte nennen keine Zahl betroffener Nutzer oder leergeräumter Wallets, und das Unternehmen hat in den verfügbaren Unterlagen keine solche Zahl veröffentlicht.
Für Nutzer, die am 1. November eine Seed-Phrase in 'SKR Claim' eingegeben haben, lautet die praktische Empfehlung, das betreffende Wallet als kompromittiert zu betrachten und die Gelder in ein neues Wallet mit einer neuen Seed-Phrase zu verschieben. Nutzer, die die App lediglich gesehen, aber nicht damit interagiert oder sie nie heruntergeladen haben, sind laut dem Unternehmen nicht gefährdet.
Kontext und offene Fragen
Der dApp Store hat die Marke von 1.000 Apps überschritten, und der Vorfall fällt in eine Phase wachsenden Katalogs und Vertriebs. Solana Mobile betreibt seit August außerdem ein Bug-Bounty-Programm, das sich auf den Seed Vault konzentriert. Die Berichte lassen offen, ob diese Schwachstelle in den Umfang dieses Programms fiel und ob ein Forscher den Fehler gemeldet hatte, bevor der Angreifer ihn ausnutzte. Diese Fragen bleiben bis zu weiteren Angaben des Unternehmens unbeantwortet.
Warum das wichtig ist
Für Trader
Wallets, in die eine Seed-Phrase in die gefälschte App eingegeben wurde, sollten als kompromittiert gelten. Bestände auf diesen Wallets sind daher kurzfristig einem Abfluss-Risiko ausgesetzt.
Für Investoren
Sicherheitsversagen auf der Vertriebsebene eines Stores kann das Vertrauen in die Kuratierung einer Plattform schmälern. Dieser Faktor sollte neben dem Wachstum des Ökosystems berücksichtigt werden.
Für Entwickler
Publishing- und Kuratierungs-Pipelines müssen denselben Veröffentlichungsstatus durchsetzen, damit unveröffentlichte Artefakte nicht in hervorgehobene Platzierungen gelangen können.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
