Solana Mobile 在 dApp Portal 出現惡意應用程式後修補了漏洞

Solana 基金會官方品牌資產（solana.com/branding）

一個名為「SKR Claim」的假空投應用程式在 App Spotlight 中停留了一小時，隨後 Solana Mobile 將其下架並推送了安全修復。

2026年11月1日（週日）· 13:46 EST · 閱讀時間 3 分鐘

在金融領域

Solana Mobile 在 11 月 1 日經歷了一個艱難的早晨，一個惡意應用程式短暫進入了其去中心化應用商店的 App Spotlight。這款名為「SKR Claim」的應用程式上架約一小時後，該公司才將其下架、修補底層漏洞，並開始從受影響的用戶裝置中移除。

核心問題：有人未經授權存取了 dApp 發布入口，並利用該存取權限，讓一款尚未發布的應用程式出現在商店的精選區塊中。造成此情況的漏洞，使從未正式發布的應用程式得以出現在焦點推薦版位，而這類版位正是使用者往往會信任的黃金位置。

該惡意應用程式實際從事了什麼行為

「SKR Claim」旨在騙取用戶的助記詞，這些用戶誤以為自己正在領取空投。助記詞是加密貨幣錢包的主密鑰。將助記詞交給一個假應用程式，在數位世界裡就等同於一次過把你的銀行 PIN、你的密碼，以及一把備用門匙全都交給陌生人。

Solana Mobile 在事件發生後對公司自身做法直言不諱：其團隊在任何空投流程中，從不會要求用戶提供助記詞或連接錢包。

該公司確認，此次外洩並未危及裝置安全、Seed Vault 硬體錢包或任何鏈上系統。受影響的時間窗口很短，約六十分鐘，但該公司仍在積極從可能於該時段內下載該應用程式的使用者裝置中清除該應用程式。

這個底層漏洞雖然具體，卻影響重大。Solana Mobile 的工程師發現，未發布的應用程式在特定條件下，可能被拉進 App Spotlight 等精選商店版塊。dApp Store 本應展示經過審核的已發布應用程式。發布流程與精選層之間的缺口，正是攻擊者利用的入口。

工程師在事件發生後修補了該漏洞。Solana Mobile 也確認正在進行更廣泛的安全審查，以便在類似缺口被再次利用之前加以發現。

時機值得注意。2026年初，dApp Store的應用程式目錄突破1,000款應用程式，這項里程碑反映出Solana行動生態系統的真正成長。

Solana Mobile 自 2026 年 8 月起持續推行漏洞賞金計畫，專門聚焦於 Seed Vault 硬體錢包。目前尚不清楚此一特定漏洞是否落在該計畫的範圍內，也不清楚是否有安全研究人員在攻擊者發現之前就已通報。

當下的實用建議很直接。如果使用者在11月1日下載了「SKR Claim」並輸入了助記詞，該錢包就應被視為已遭入侵。在採取任何進一步行動之前，應先將資金轉移到一個使用全新助記詞的新錢包。

對於看到該應用程式但未與之互動，或完全沒有下載它的使用者，Solana Mobile 表示他們的裝置和錢包並無風險。Seed Vault 未受影響；Seed Vault 在 Solana Mobile 裝置上於硬體隔離環境中儲存私密金鑰。

披露：本文由 John Chen 編輯。如需了解我們如何製作與審閱內容的更多資訊，請參閱我們的編輯政策。