发布门户被非法访问，恶意应用短暂上架
TREE NEWS 报道， Solana Mobile 证实，一款名为“SKR Claim”的恶意第三方应用被提交至 Solana dApp Store。攻击者在未经授权的情况下访问了 dApp 发布门户（dApp Publishing Portal），篡改了 App Spotlight 与 Quests 界面，使该应用得以展示。该应用的核心目的是诱导用户输入助记词——即自托管钱包的最高权限凭证。该应用在 dApp Spotlight 中展示约一小时后被下架，团队目前正着手将其从已安装的设备中移除。
此次事件并非用户钱包或链上协议被攻破，而是商店发布层遭到入侵。攻击者修改门户，使其链接至一个尚未完全发布的应用，Solana Mobile 表示该漏洞已被修复。团队同时重申，Solana Mobile 绝不会索要助记词或加密资产，也不会要求用户连接钱包来领取空投。
应用商店安全成为新前线
该事件凸显了移动端 dApp 分发模式的结构性风险：应用商店本身已成为高价值攻击目标。与社交媒体上的钓鱼链接不同，官方商店内的恶意上架天然带有机构背书，用户容易放松警惕。一小时的暴露窗口看似短暂，但在加密世界，助记词一旦泄露，钱包资金可能在数秒内被清空。
- 发布门户即攻击面：未经授权的门户访问使攻击者绕过正常审核，直接将恶意应用注入精选展示位。
- 信任转移效应：用户合理假设官方商店推荐的应用经过审核，使 Spotlight 展示位成为高效攻击载体。
- 响应迅速但召回有限：下架并不等于自动删除已安装应用，受影响用户仍存在残余风险窗口。
对 Solana 移动战略的影响
Solana Mobile 一直将 dApp Store 与 Saga 设备作为面向消费级 Web3 的旗舰布局，而这一战略完全依赖于用户对分发渠道的信任。助记词钓鱼应用哪怕只是短暂出现在精选位，也是对团队安全能力的声誉考验，同时提醒人们：去中心化生态在应用层仍依赖中心化守门人。
该事件也再次暴露链上安全与链下用户界面之间的落差。多数钱包被盗并非源于智能合约漏洞，而是社会工程与前端被篡改。修补链接漏洞是必要之举，但业界预计将加速推动更严格的审核流程、多签发布控制以及更快的设备级撤销工具。
前瞻
预计 Solana Mobile 将收紧发布权限、引入强制审核关卡，并可能发布复盘报告说明门户访问权限如何被获取。对整个行业而言，教训十分清晰：随着移动端 dApp 分发规模扩大，商店完整性与协议代码将受到同等审视。用户应把任何索要助记词的行为——无论来源如何——视为立即警惕的红旗；项目方也必须假设，被攻击的不只是智能合约，还有发布管线。
