Solana Mobile schließt Store-Lücke nach Fake-Airdrop-App im App Spotlight

Solana Mobile entfernte am 1. November eine bösartige App namens „SKR Claim“ aus seinem dezentralen App Store, nachdem die Software etwa eine Stunde lang im Bereich „App Spotlight“ hervorgehoben worden war. Das Team behob die Schwachstelle, die das Listing ermöglichte, und begann damit, die gefälschte App von betroffenen Nutzergeräten zu löschen.

Der Exploit ereignete sich, nachdem sich jemand unbefugten Zugriff auf das dApp Publishing Portal verschafft hatte. Eine Lücke zwischen der Veröffentlichungs-Pipeline und der Kuratierungsebene des Stores ermöglichte es unüberprüfter Software, direkt im kuratierten Spotlight zu erscheinen – einem Bereich, der normalerweise geprüften Anwendungen vorbehalten ist.

Die bösartige App war darauf ausgelegt, Seed Phrases abzugreifen, indem sie einen Airdrop-Claim vortäuschte. Solana Mobile stellte klar, dass das Team Nutzer niemals dazu auffordert, Seed Phrases weiterzugeben oder Wallets im Rahmen eines Airdrop-Prozesses zu verbinden.

Solana Mobile bestätigte, dass die Gerätesicherheit, On-Chain-Systeme und die Hardware-Wallet Seed Vault während des 60-minütigen Fensters nicht kompromittiert wurden. Private Keys, die im hardwareisolierten Seed Vault aufbewahrt werden, blieben sicher.

Der Vorfall folgt auf das Erreichen des Meilensteins von 1.000 Apps im dApp Store Anfang 2026. Solana Mobile betreibt seit August 2026 ein Bug-Bounty-Programm mit Schwerpunkt auf dem Seed Vault; es ist jedoch unklar, ob diese Schwachstelle des Publishing-Portals in diesen Rahmen fiel oder ob Forscher sie identifizierten, bevor der Angreifer zuschlug.

Ingenieure behoben den Veröffentlichungsfehler und leiteten eine umfassendere Sicherheitsüberprüfung ein, um ähnliche Portal-Schwachstellen zu verhindern. Solana Mobile erklärte, dass Nutzer, die die App nicht heruntergeladen oder mit ihr interagiert haben, keinem Risiko ausgesetzt sind. Wer jedoch am 1. November „SKR Claim“ installiert und eine Seed Phrase eingegeben hat, besitzt eine kompromittierte Wallet und muss sein Guthaben auf eine neue Wallet mit einer neuen Seed Phrase übertragen.