A Solana Mobile november 1-jén jelentette be, hogy egy hamis alkalmazás került be a dApp Store-ba, és körülbelül egy órán át látható is maradt.
Az app a tárca helyreállítási kulcsát, a seed szavakat kérte a felhasználóktól egy airdrop igénylésének ürügyén.
Soha. Senki. Nem. Kér. Seed-et.
A cég közlése szerint valaki jogosulatlanul fért hozzá a publikálási portálhoz, és átírta az App Spotlight és a Quests felületét.
Az „$SKR Claim” nevű alkalmazást eltávolították a boltból, és megkezdték a törlését azokról a készülékekről is, amelyekre feltelepítették, emellett a csapat javított egy hibát, amely lehetővé tette, hogy a kirakatba nem teljesen publikált alkalmazásokra mutató hivatkozások kerüljenek be.
A seed nem egyszerű jelszó. Ez a helyreállítási kulcs, amelynek birtokában bárki átveheti az irányítást a tárca felett, és a Solana Mobile saját biztonsági útmutatója is ezt írja.
Aki beütötte, az a tárcáját a továbbiakban elveszettnek tekintheti, a benne lévő pénzt pedig érdemes átvinni egy új tárcába, mégpedig azonnal, és ezt úgy értem, hogy tényleg most rögtön.
A cég ezzel együtt ismételten leszögezte, hogy soha nem kér seed-et, kriptót, és nem kér tárca-összekapcsolást airdrop igényléséhez.
Airdropra várva
Az ügy háttere, hogy az SKR a Solana Mobile saját tokene, amely a kormányzásban és a stakingben játszik szerepet, az eredeti airdrop igénylésének az útvonala pedig a beépített Seed Vault tárca volt a Seeker telefonokon.
A hamis app tehát pont azt az eseményt utánozta, amelyre a felhasználók hónapok óta vártak.
A bolt működése is megmutatja, hol nyílt ki a rés. A dokumentált folyamat szerint a beküldött alkalmazások először egy ellenőrzési sorba kerülnek, és csak jóváhagyás után válnak elérhetővé, de a cég szerint most egy hiba tette lehetővé, hogy a kirakatba nem teljesen publikált alkalmazásokra mutató hivatkozások kerüljenek be, vagyis a kapu nem a végső ellenőrzésnél nyílt ki, hanem már előtte.
Nem a felhasználó hibázott
Három dolgot viszont nem tett közzé a cég, például nem közölte, hányan telepítették az alkalmazást, és, hogy hány készülékről sikerült eltávolítani.
Nem erősítette meg, hogy loptak-e pénzt. Arról sem adott magyarázatot, hogyan jutott be a támadó a publikálási portálra.
A kockázat ráadásul nem áll meg a felesleges telepítésnél, mert a seed a tárca főkulcsa, és aki megszerzi, az elviheti a benne lévő összes eszközt. Aki beütötte, annak ezért érdemes a pénzt új tárcába vinni, akkor is, ha egyelőre semmi nem tűnt el róla.
A minta viszont általános. Itt nem a felhasználó hibázott, és nem is egy távoli okosszerződés sebezhetősége adta a támadási felületet.
A rés a jól őrzött dApp Store és a publikálási folyamat között nyílt meg, pont ott, ahol a legkevésbé várná bárki. Aki ismeri az airdropok körüli kapkodást, az pontosan tudja, mekkora tétje van egy ilyen résnek.
Olvastad már? Régi BTCPay Server-tárcákat ürítettek ki
Kriptopiaci kutató, a Kriptoworld.hu külsős szerzője
Tűz. Kerék. Gőzgép. Bitcoin.
📅 Megjelenés: 2026. november 4. • 🕓 Utolsó frissítés: 2026. november 4.
✉️ Kapcsolat: [email protected]
Tájékoztatás: A kriptoworld.hu oldalon található információk és elemzések a szerzők magánvéleményét tükrözik. A jelen oldalon megjelenő írások, cikkek nem valósítanak meg a 2007. évi CXXXVIII. törvény (Bszt.) 4. § (2). bek 8. pontja szerinti befektetési elemzést és a 9. pont szerinti befektetési tanácsadást.
Bármely befektetési döntés meghozatala során az adott befektetés megfelelőségét csak az adott befektető személyére szabott vizsgálattal lehet megállapítani, melyre a jelen oldal nem vállalkozik és nem is alkalmas. Az egyes befektetési döntések előtt éppen ezért tájékozódjon részletesen és több forrásból, szükség esetén konzultáljon befektetési tanácsadóval!
A cikkekben megjelenő esetleges hibákért téves információkból eredendő anyagi károkért a kriptoworld.hu felelősséget nem vállal.