Solana Mobile elimina la falsa app 'SKR Claim' tras una brecha en su App Spotlight
Solana Mobile retiró de su dApp Store una aplicación maliciosa llamada 'SKR Claim' después de que apareciera en el App Spotlight durante aproximadamente una hora el 1 de noviembre. La app estaba diseñada para recopilar las frases semilla de los usuarios, y la empresa ha corregido la falla que permitió que una aplicación no publicada llegara a una ubicación curada.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Qué ocurrió el 1 de noviembre
Una aplicación maliciosa llamada 'SKR Claim' estuvo activa en el App Spotlight de la dApp Store de Solana Mobile durante aproximadamente una hora el 1 de noviembre, antes de que la empresa la eliminara. Solana Mobile afirmó que la aplicación apareció tras de que un atacante obtuviera acceso no autorizado al portal de publicación de dApps y la utilizara para colocar una aplicación no publicada en una sección curada de la tienda.
La aplicación estaba diseñada para recopilar frases semilla de usuarios que creían estar reclamando un airdrop. Una frase semilla otorga control total sobre la billetera que genera, por lo que quien la introdujera en la aplicación habría expuesto los fondos de esa billetera. Solana Mobile afirmó que su equipo nunca pide frases semilla ni conexiones de billetera como parte de ningún proceso de airdrop.
La falla subyacente
Según los ingenieros de Solana Mobile, el sistema de publicación y la capa de curación de la tienda no estaban completamente alineados. Bajo ciertas condiciones, aplicaciones que nunca habían sido publicadas formalmente podían incluirse en las funciones de destacados, ubicaciones que los usuarios tienden a considerar verificadas. La empresa ha corregido esa brecha y realiza una revisión de seguridad más amplia para encontrar debilidades similares.
Los dos informes que cubren el incidente difieren en el mecanismo. The Defiant describe que la empresa afirmó que la falla permitió que se mostraran enlaces a aplicaciones que no estaban completamente publicadas, mientras que Crypto Briefing describe una falla que permitió que aplicaciones no publicadas fueran incluidas en secciones curadas. Ambos relatos coinciden en la falla central, una aplicación no publicada que llega a un espacio curado, pero las fuentes no describen la ruta de explotación de forma idéntica, y ninguna ha sido verificada de forma independiente frente a la divulgación técnica de la empresa.
Alcance del impacto
Solana Mobile afirmó que el incidente no comprometió la seguridad de los dispositivos, la billetera de hardware Seed Vault ni ningún sistema on-chain. La empresa está eliminando la aplicación de los dispositivos que pudieron haberla instalado durante la ventana de tiempo. Los informes no ofrecen un recuento de usuarios afectados ni de billeteras vaciadas, y la empresa no ha publicado ninguno en el material disponible.
Para los usuarios que introdujeron una frase semilla en 'SKR Claim' el 1 de noviembre, la recomendación práctica es tratar esa billetera como comprometida y trasladar los fondos a una nueva billetera con una frase semilla nueva. Según la empresa, los usuarios que vieron la aplicación pero no interactuaron con ella, o que nunca la descargaron, no corren riesgo.
Contexto y preguntas abiertas
La dApp Store ha superado las 1.000 aplicaciones, y el incidente se produce en un periodo de expansión del catálogo y de la distribución. Solana Mobile también ejecuta desde agosto un programa de recompensas por errores centrado en el Seed Vault. Los informes no establecen si esta falla quedaba dentro del alcance de ese programa ni si un investigador la reportó antes de que el atacante la explotara. Estas cuestiones siguen sin respuesta a la espera de nuevas divulgaciones de la empresa.
Por qué importa
Para los traders
Las billeteras que introdujeron una frase semilla en la falsa aplicación deben tratarse como comprometidas, de modo que cualquier tenencia en esas billeteras enfrenta un riesgo inmediato de vaciado.
Para los inversores
Los fallos de seguridad a nivel de tienda en la capa de distribución de una plataforma pueden erosionar la confianza en su curación, un factor que debe considerarse junto con el crecimiento del ecosistema.
Para los desarrolladores
Los sistemas de publicación y curación deben aplicar el mismo estado de publicación, de modo que los artefactos no publicados no puedan llegar a las ubicaciones destacadas.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
