Solana Mobile在dApp Portal出现恶意应用后修复漏洞

Solana 基金会官方品牌资产（solana.com/branding）

一个名为“SKR Claim”的虚假空投应用在App Spotlight中停留了一小时，随后Solana Mobile将其下架并推送了安全修复。

2026年11月1日星期日 · 13:46 EST · 阅读时长3分钟

在金融领域

11月1日，Solana Mobile经历了一个艰难的早晨，一款恶意应用短暂进入了其去中心化应用商店的App Spotlight。这款名为“SKR Claim”的应用上线了大约一个小时，随后公司将其下架，修补了底层漏洞，并开始从受影响的用户设备中移除该应用。

核心问题在于：有人未经授权访问了dApp发布门户，并利用该访问权限使一款未发布的应用程序出现在商店的精选板块中。导致这一情况成为可能的漏洞，使得从未正式发布的应用程序能够出现在焦点推荐功能中，而这类黄金位置往往是用户容易信任的。

该恶意应用实际做了什么

“SKR Claim”旨在收集那些以为自己正在领取空投的用户的助记词。助记词是加密钱包的主密钥。将其交给一个虚假应用，在数字世界就相当于一次性把你的银行PIN、密码和一把备用房门钥匙全都交给陌生人。

Solana Mobile在事件发生后对该公司自身做法直言不讳：其团队绝不会在任何空投流程中要求用户提供助记词或连接钱包。

该公司确认，此次漏洞未危及设备安全、Seed Vault硬件钱包或任何链上系统。受损窗口较窄，约为六十分钟，但该公司仍在积极从可能在该窗口期内下载了该应用的用户设备上清除该应用。

这一底层漏洞虽然具体，但影响重大。Solana Mobile的工程师发现，未发布的应用在特定条件下可能被拉入App Spotlight等精选商店板块。dApp Store本应展示经过审核的已发布应用。发布流程与精选层之间的缺口，为攻击者制造了可乘之机。

事件发生后，工程师们修补了该漏洞。Solana Mobile还确认，正在开展更广泛的安全审查，以便在类似缺口被再次利用之前发现它们。

时机值得注意。2026年早些时候，dApp Store的应用目录突破了1,000个应用，这一里程碑反映了Solana移动生态系统的真实增长。

Solana Mobile自2026年8月起一直在运行一项漏洞赏金计划，专门针对Seed Vault硬件钱包。目前尚不清楚这一特定漏洞是否属于该计划的范围，也不清楚是否有安全研究人员在攻击者发现之前就已标记了该漏洞。

最直接实用的建议很明确。如果用户在11月1日下载了“SKR Claim”并输入了助记词，该钱包应被视为已泄露。在进行任何进一步操作之前，应将资金转移到一个使用全新助记词的新钱包。

对于看到该应用但未与其交互，或根本没有下载该应用的用户，Solana Mobile 表示他们的设备和钱包没有风险。Seed Vault 未受影响，该保险库在 Solana Mobile 设备的硬件隔离环境中存储私钥。

披露：本文由John Chen编辑。如需了解我们如何创建和审核内容，请参阅我们的编辑政策。