Un’app malevola Solana Mobile è finita per circa un’ora in vetrina nel dApp Store dei telefoni Solana Mobile: si chiamava “SKR Claim”, si presentava come uno strumento per riscattare l’airdrop del token SKR e chiedeva agli utenti di inserire la propria seed phrase, cioè la frase di recupero che dà il pieno controllo di un wallet di criptovalute. L’azienda ha comunicato l’incidente su X il 1° novembre, spiegando che la comparsa dell’app è seguita a un accesso non autorizzato al portale di pubblicazione delle dApp.
Cosa è successo nel dApp Store di Solana Mobile
Secondo la comunicazione ufficiale dell’azienda, un’app di terze parti denominata “SKR Claim” è stata inviata al Solana dApp Store e, dopo l’accesso non autorizzato al dApp Publishing Portal, sono state modificate le sezioni App Spotlight e Quests dello store, cioè gli spazi in evidenza che gli utenti tendono a considerare affidabili. L’app è rimasta visibile nello Spotlight per circa un’ora prima di essere rimossa.
Solana Mobile ha riferito di aver corretto il bug che consentiva di collegare app non ancora completamente pubblicate e di aver avviato la rimozione di “SKR Claim” dai dispositivi su cui era stata installata. Come rilevato dalle testate che hanno seguito il caso, l’azienda non ha indicato quante persone abbiano scaricato l’app, se ci siano stati wallet svuotati né chi ci sia dietro l’attacco.
Perché la seed phrase è il bersaglio
La seed phrase è la chiave di recupero di un wallet: chi la conosce può ricostruirlo su un altro dispositivo e spostare i fondi senza bisogno di altre autorizzazioni. Per questo è l’obiettivo principale delle campagne di phishing nel mondo delle criptovalute, spesso mascherate da finti airdrop o riscatti di token, come già visto nel caso dei 49 wallet Solana svuotati su BloomTrading.
In questo caso l’elemento più insidioso è stata la collocazione: l’app non circolava tramite link sospetti, ma compariva negli spazi promozionali dello store ufficiale del telefono. Il token SKR è usato per governance e staking nell’ecosistema Solana Mobile, e secondo la guida dell’azienda il riscatto legittimo avviene all’interno del Seed Vault Wallet integrato nei dispositivi.
Cosa resta sicuro secondo l’azienda
Secondo quanto riportato da Crypto Briefing, Solana Mobile ha precisato che l’incidente non ha compromesso la sicurezza dei dispositivi, il Seed Vault che custodisce le chiavi in un ambiente isolato né i sistemi on-chain. Chi non ha scaricato l’app, o l’ha vista senza inserire dati, non dovrebbe correre rischi. L’azienda ha inoltre ribadito che non chiederà mai la seed phrase, criptovalute o il collegamento del wallet ad altre app o siti per riscattare un airdrop.
Cosa fare se si è installata l’app malevola Solana Mobile
- Chi ha inserito la seed phrase in “SKR Claim” deve considerare quel wallet compromesso: creare subito un nuovo wallet con una nuova seed phrase e trasferirvi i fondi rimasti.
- Eliminare l’app non basta: la frase inserita potrebbe essere già nelle mani degli attaccanti.
- Non digitare mai la seed phrase in un’app o in un sito, nemmeno se compare in uno store ufficiale o promette un airdrop.
- Verificare gli annunci di airdrop solo sui canali ufficiali del progetto e diffidare di procedure diverse da quelle indicate nella documentazione.
- Ricordare che una posizione in evidenza in uno store non è una garanzia di sicurezza, come mostrano anche le campagne di phishing che sfruttano veri avvisi di Google.
Il caso arriva in giorni di forte tensione per la sicurezza del settore, dopo l’attacco a Binance attribuito alla Corea del Nord.
Fonti: Solana Mobile su X, Crypto Briefing, Cryptonews.net, TokenPost.
