Một vụ khai thác có chủ đích nhắm vào cổng xuất bản dApp
TREE NEWS đưa tin: Solana Mobile xác nhận rằng một ứng dụng bên thứ ba độc hại có tên “SKR Claim” đã được gửi lên Solana dApp Store vào thứ Bảy, lợi dụng quyền truy cập trái phép vào dApp Publishing Portal để thay đổi giao diện App Spotlight và Quests. Ứng dụng này được thiết kế nhằm lừa người dùng nhập cụm từ khôi phục (seed phrase) — chìa khóa chính của bất kỳ ví tự lưu giữ nào. Nó hiển thị trong dApp Spotlight khoảng một giờ trước khi bị gỡ bỏ, và nhóm hiện đang nỗ lực gỡ cài đặt nó khỏi các thiết bị đã tải xuống.
Cuộc tấn công không phải là xâm phạm ví người dùng hay các giao thức on-chain, mà là xâm phạm lớp xuất bản của cửa hàng. Kẻ tấn công đã sửa đổi cổng để liên kết đến một ứng dụng chưa được phát hành đầy đủ, một lỗ hổng mà Solana Mobile cho biết đã được vá. Nhóm nhắc lại rằng Solana Mobile sẽ không bao giờ yêu cầu cụm từ khôi phục hay tài sản crypto, cũng như không yêu cầu người dùng kết nối ví để nhận airdrop.
Vì sao bảo mật cửa hàng là tiền tuyến mới
Sự cố này làm nổi bật một rủi ro mang tính cấu trúc trong mô hình phân phối dApp di động: bản thân cửa hàng ứng dụng trở thành mục tiêu có giá trị cao. Khác với một liên kết lừa đảo trên mạng xã hội, một danh sách độc hại bên trong cửa hàng chính thức mang theo sự tin cậy thể chế ngầm định. Cửa sổ phơi nhiễm một giờ có vẻ ngắn, nhưng trong crypto, việc đánh cắp cụm từ khôi phục có thể rút cạn ví trong vài giây.
- Cổng xuất bản như bề mặt tấn công: Quyền truy cập trái phép vào quy trình gửi cho phép kẻ tấn công bỏ qua quy trình xét duyệt thông thường và chèn trực tiếp một danh sách độc hại vào vị trí spotlight được tuyển chọn.
- Chuyển giao niềm tin: Người dùng đương nhiên cho rằng các ứng dụng được cửa hàng chính thức giới thiệu đã được thẩm định, khiến vị trí spotlight trở thành một vector tấn công mạnh mẽ.
- Phản ứng nhanh nhưng thu hồi hạn chế: Việc gỡ khỏi cửa hàng không tự động xóa các ứng dụng đã cài đặt, để lại một cửa sổ rủi ro tồn dư cho người dùng bị ảnh hưởng.
Hàm ý rộng hơn đối với tham vọng di động của Solana
Solana Mobile đã định vị dApp Store và các thiết bị Saga của mình như một bước tiến hàng đầu hướng tới Web3 dành cho người tiêu dùng. Chiến lược đó hoàn toàn phụ thuộc vào niềm tin của người dùng vào kênh phân phối. Một ứng dụng lừa đảo cụm từ khôi phục lọt vào spotlight — dù chỉ trong chốc lát — là một thử thách danh tiếng đối với tư thế bảo mật của nhóm và là lời nhắc rằng các hệ sinh thái phi tập trung vẫn dựa vào những người gác cổng tập trung ở lớp ứng dụng.
Sự cố cũng làm nổi bật khoảng cách dai dẳng giữa bảo mật on-chain và giao diện người dùng off-chain. Phần lớn tổn thất do rút cạn ví không bắt nguồn từ việc khai thác hợp đồng thông minh mà từ kỹ thuật xã hội và các giao diện front-end bị xâm phạm. Việc Solana Mobile vá lỗ hổng liên kết là một bản sửa lỗi cần thiết, nhưng sự việc này có khả năng sẽ thúc đẩy các yêu cầu về quy trình xét duyệt chặt chẽ hơn, kiểm soát xuất bản đa chữ ký và các công cụ thu hồi nhanh hơn ở cấp thiết bị.
Góc nhìn hướng tới tương lai
Hãy kỳ vọng Solana Mobile sẽ siết chặt quyền xuất bản, đưa vào các cổng xét duyệt bắt buộc, và có thể công bố một báo cáo post-mortem mô tả chi tiết cách quyền truy cập cổng bị chiếm đoạt. Đối với toàn ngành, bài học rất rõ ràng: khi phân phối dApp di động phát triển, tính toàn vẹn của cửa hàng sẽ được giám sát chặt chẽ như chính mã giao thức. Người dùng nên coi bất kỳ yêu cầu nào về cụm từ khôi phục — bất kể nguồn nào — là một dấu hiệu cảnh báo tức thì, và các dự án phải giả định rằng quy trình xuất bản của họ là mục tiêu, chứ không chỉ các hợp đồng thông minh.
