Фейковый клейм SKR: в Solana dApp Store час висело приложение «SKR Claim», которое просило сид-фразу
1 ноября в витрину магазина приложений Solana Mobile на час попало поддельное приложение для клейма SKR. Разбираем, как это вышло и что проверить владельцам Seeker.
- Неизвестный получил доступ к порталу публикации dApp Store и поставил приложение в витрину App Spotlight и раздел Quests примерно на час.
- Solana Mobile удалила приложение из магазина, удаляет его с устройств и закрыла баг, через который можно было показывать неопубликованные приложения.
- Компания напомнила: для раздач она никогда не просит сид-фразу, крипту или подключение кошелька к сторонним сайтам.
В магазине Solana dApp Store фейковый клейм SKR на один час попал в самое видное место — витрину рекомендованных приложений. Приложение под названием «SKR Claim» обещало раздачу токена экосистемы Solana Mobile и просило ввести сид-фразу. Его уже сняли, но владельцам телефонов Seeker стоит проверить, что они успели установить 1 ноября.
Что произошло
О взломе Solana Mobile сообщила сама в аккаунте в X 1 ноября. По её словам, кто-то без разрешения зашёл в портал публикации приложений и изменил интерфейсы App Spotlight и Quests. Через эту лазейку в витрину попало стороннее приложение «SKR Claim». Внутри был простой сценарий: «заклейми свои SKR», а для этого — введи сид-фразу кошелька.
Приложение провисело в Spotlight около часа, потом его убрали. Удаление с телефонов, где его успели установить, по данным TokenPost, ещё идёт. Компания также исправила уязвимость: ссылки могли вести на приложения, которые не прошли публикацию до конца. Это же подтверждают Crypto Briefing и ChainCatcher.
Чего в раскрытии нет: сколько людей поставили приложение, украли ли у кого-то деньги и как именно злоумышленник попал в портал. Crypto Briefing пишет, что, по словам компании, сам телефон, аппаратный модуль Seed Vault и ончейн-системы не пострадали. Под удар попал только магазин и доверие к нему.
Для Solana Mobile это неприятный момент: dApp Store продают как более безопасную альтернативу обычным магазинам, где крипто-приложения часто блокируют или пропускают без особой проверки. Поданные приложения проходят модерацию и только после неё попадают в каталог. Здесь модерацию обошли не через само приложение, а через доступ к порталу и ошибку со ссылками.
Почему фейковый клейм SKR сработал бы на многих
SKR — токен экосистемы Solana Mobile: на нём держатся стейкинг и голосования, а первую раздачу получили владельцы Seeker и разработчики приложений. Официальная инструкция из блога Solana Mobile была простой: открыть Seed Vault Wallet на Seeker, зайти во вкладку Activity Tracking и нажать «клейм». Около 0,015 SOL на комиссию — и всё. Никаких сторонних приложений, никаких сид-фраз. На клейм того сезона давали 90 дней, а незабранное возвращалось в пул будущих раздач.
Сейчас идёт Seeker Season 2 с новыми активностями в приложениях. Люди ждут следующих наград, и слово «Claim» на витрине официального магазина выглядит естественно. Ловушка рассчитана именно на это: ты доверяешь не приложению, а месту, где его увидел. Фейковый клейм SKR в обычном Telegram-канале вызвал бы подозрения, а в Spotlight магазина он выглядел как часть сезона.
Официальная витрина не гарантирует, что приложение настоящее. Гарантию даёт только правило: сид-фразу не вводишь нигде, кроме восстановления своего кошелька.
Что это значит для тебя
Если у тебя Seeker и 1 ноября ты открывал dApp Store, проверь список установленных приложений. Нашёл «SKR Claim» и ничего туда не вводил — просто удали его, если система ещё не сделала это сама. Ввёл сид-фразу — считай кошелёк скомпрометированным. Не жди, пока «вдруг пронесёт». Злоумышленнику не нужно ничего, кроме этих слов, чтобы вывести всё, что лежит на адресах этой фразы, причём в любой сети.
Этот случай хорошо показывает, что фишинг вокруг раздач переехал из чатов в магазины приложений. Раньше главный риск был в клонах сайтов, о которых мы писали в гайде как проверить фейковый airdrop-сайт. Теперь подделка может оказаться в официальном каталоге, пусть и на час. Значит, проверять приходится не только адрес сайта, но и любое действие, которое у тебя просят: настоящий клейм просит подпись транзакции в твоём кошельке, а не слова от него.
Что делать
- Проверь приложения на Seeker. Всё, что называется «Claim», «Airdrop», «Rewards» и не выпущено самой Solana Mobile, удаляй.
- Если сид-фраза ушла в фейковый клейм SKR, сразу создай новый кошелёк с новой фразой и переведи туда всё, что осталось. Порядок действий мы разбирали в тексте как сменить кошелёк после утечки ключа.
- Отзови разрешения токенов со старого адреса, если там были approve на DEX и протоколы.
- Новую фразу запиши офлайн. Как сделать это правильно, есть в гайде как создать сид-фразу.
- Награды Seeker проверяй только во встроенном Seed Vault Wallet и в официальных постах @solanamobile. Скриншоты «новой раздачи» в чатах — не источник, их подделывают за минуту.
FAQ
Это была настоящая раздача SKR? Нет. Это стороннее приложение, которое попало в витрину через взломанный портал публикации. Solana Mobile его удалила.
Мог ли фейковый клейм SKR украсть деньги без сид-фразы? Судя по раскрытию, приложение работало именно через ввод сид-фразы. Если ты её не вводил, по данным компании телефон и Seed Vault не затронуты.
Где проверять настоящие награды Seeker? Во встроенном Seed Vault Wallet, вкладка Activity Tracking, и в официальных каналах Solana Mobile.
Сколько людей пострадало? Компания не раскрыла ни число установок, ни данные о краже.
Итог: фейковый клейм SKR продержался в витрине около часа, но этого хватает, чтобы опустошить чужие кошельки. Solana Mobile закрыла дыру, но правило не меняется: сид-фразу не вводят ни в одно приложение для клейма, даже если оно стоит на главной официального магазина.
Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.
