dApp公開ポータルを狙った標的型エクスプロイト
TREE NEWS 報道： Solana Mobileは、土曜日に「SKR Claim」と呼ばれる悪意ある第三者アプリがSolana dApp Storeに提出され、dApp Publishing Portalへの不正アクセスを悪用してApp SpotlightとQuestsのインターフェースを改ざんしたことを確認した。このアプリは、あらゆるセルフカストディウォレットのマスターキーであるシードフレーズをユーザーに入力させるよう仕向ける設計だった。約1時間にわたってdApp Spotlightに表示された後、削除され、チームは現在、すでにダウンロードされた端末からアンインストールする作業を進めている。
この攻撃はユーザーウォレットやオンチェーンプロトコルへの侵害ではなく、ストアフロントの公開レイヤーへの侵害だった。攻撃者はポータルを改ざんし、まだ完全にはリリースされていないアプリへのリンクを設定した。Solana Mobileはこの脆弱性をすでに修正したと述べている。チームは改めて、Solana Mobileがシードフレーズや暗号資産を求めることは決してなく、エアドロップを受け取るためにウォレットを接続するよう求めることもないと強調した。
なぜストアフロントのセキュリティが新たな最前線なのか
この事件は、モバイルdApp配布モデルにおける構造的リスクを浮き彫りにしている。すなわち、アプリストア自体が価値の高い標的になるということだ。ソーシャルメディア上のフィッシングリンクとは異なり、公式ストアフロント内の悪意ある掲載は暗黙の制度的信頼を伴う。1時間の露出期間は短く思えるかもしれないが、暗号資産の世界ではシードフレーズの窃取は数秒でウォレットを空にし得る。
- 攻撃対象としての公開ポータル：提出パイプラインへの不正アクセスにより、攻撃者は通常の審査を回避し、悪意ある掲載をキュレーションされたスポットライトに直接注入することができた。
- 信頼の転移：ユーザーは公式ストアが特集するアプリは審査済みだと合理的に想定するため、スポットライトへの掲載は強力な攻撃ベクトルとなる。
- 迅速な対応だが限定的な回収：ストアからの削除はインストール済みアプリを自動的に削除するわけではなく、影響を受けたユーザーには残留リスクの期間が残る。
Solanaのモバイル構想への広範な影響
Solana Mobileは、dApp StoreとSagaデバイスをコンシューマー向けWeb3への旗艦的な取り組みとして位置づけてきた。その戦略は配布チャネルへのユーザー信頼に完全に依存している。シードフレーズを狙うフィッシングアプリが、たとえ一時的であってもスポットライトに紛れ込んだことは、チームのセキュリティ体制にとって評判上の試練であり、分散型エコシステムが依然としてアプリレイヤーでは中央集権的なゲートキーパーに依存していることの再確認でもある。
この事件はまた、オンチェーンのセキュリティとオフチェーンのユーザーインターフェースの間に根強く残るギャップも浮き彫りにしている。ウォレットを空にする損失の大半はスマートコントラクトのエクスプロイトではなく、ソーシャルエンジニアリングや侵害されたフロントエンドに起因する。Solana Mobileによるリンク脆弱性の修正は必要な対応だが、この一件は厳格な審査プロセス、マルチシグによる公開管理、より迅速なデバイスレベルの失効ツールへの要求を加速させる可能性が高い。
今後の展望
Solana Mobileは公開権限を厳格化し、必須の審査ゲートを導入し、ポータルへのアクセスがどのように取得されたかを詳述するポストモーテムを公開する可能性があると予想される。業界全体にとっての教訓は明らかだ。モバイルdApp配布が拡大するにつれ、ストアフロントの完全性はプロトコルコードと同様に厳しく精査されるようになる。ユーザーは、出所を問わずシードフレーズを求めるあらゆる要求を即座の危険信号として扱うべきであり、プロジェクトはスマートコントラクトだけでなく公開パイプラインも標的になり得ると想定しなければならない。
