dApp 퍼블리싱 포털을 노린 표적 익스플로이트
TREE NEWS 보도: Solana Mobile은 토요일 ‘SKR Claim’이라는 악성 서드파티 앱이 Solana dApp Store에 제출되어 dApp Publishing Portal에 대한 무단 접근을 악용해 App Spotlight와 Quests 인터페이스를 변경했다고 확인했다. 이 앱은 사용자가 모든 셀프 커스터디 지갑의 마스터 키인 시드 구문을 입력하도록 속이기 위해 설계되었다. 약 1시간 동안 dApp Spotlight에 노출된 후 삭제되었으며, 팀은 현재 이미 다운로드된 기기에서 이를 제거하는 작업을 진행하고 있다.
이번 공격은 사용자 지갑이나 온체인 프로토콜에 대한 침해가 아니라 스토어프런트의 퍼블리싱 레이어에 대한 침해였다. 공격자들은 포털을 변조해 아직 완전히 출시되지 않은 앱으로 연결되도록 했으며, Solana Mobile은 이 취약점을 이제 패치했다고 밝혔다. 팀은 Solana Mobile이 시드 구문이나 암호화폐 자산을 절대 요구하지 않으며, 에어드롭을 받기 위해 지갑을 연결하도록 요청하지도 않을 것이라고 거듭 강조했다.
스토어프런트 보안이 새로운 최전선인 이유
이번 사건은 모바일 dApp 배포 모델의 구조적 위험을 부각시킨다. 즉 앱 스토어 자체가 고가치 표적이 된다는 점이다. 소셜 미디어의 피싱 링크와 달리 공식 스토어프런트 내부의 악성 등록은 암묵적인 제도적 신뢰를 수반한다. 1시간의 노출 기간은 짧아 보일 수 있지만, 암호화폐에서는 시드 구문 탈취가 몇 초 만에 지갑을 비울 수 있다.
- 공격 표면으로서의 퍼블리싱 포털: 제출 파이프라인에 대한 무단 접근으로 공격자는 정상적인 심사를 우회해 악성 등록을 큐레이션된 스포트라이트에 직접 주입할 수 있었다.
- 신뢰의 전이: 사용자는 공식 스토어가 추천하는 앱이 검증되었다고 합리적으로 가정하므로, 스포트라이트 배치는 강력한 공격 벡터가 된다.
- 신속한 대응이지만 제한적인 회수: 스토어에서 삭제한다고 해서 설치된 앱이 자동으로 삭제되는 것은 아니므로, 영향을 받은 사용자에게는 잔여 위험 기간이 남는다.
Solana의 모바일 야망에 대한 광범위한 함의
Solana Mobile은 dApp Store와 Saga 기기를 소비자용 Web3를 향한 대표적인 추진으로 자리매김해 왔다. 그 전략은 전적으로 배포 채널에 대한 사용자 신뢰에 달려 있다. 시드 구문 피싱 앱이 잠시라도 스포트라이트에 침투한 것은 팀의 보안 태세에 대한 평판상의 시험이며, 탈중앙화 생태계가 여전히 앱 레이어에서는 중앙화된 게이트키퍼에 의존하고 있다는 점을 상기시킨다.
이번 사건은 온체인 보안과 오프체인 사용자 인터페이스 사이의 지속적인 격차도 부각시킨다. 지갑을 비우는 손실의 대부분은 스마트 컨트랙트 익스플로이트가 아니라 사회공학과 침해된 프런트엔드에서 비롯된다. Solana Mobile의 링크 취약점 패치는 필요한 조치이지만, 이 사건은 엄격한 심사 프로세스, 다중 서명 퍼블리싱 통제, 더 빠른 기기 수준 폐기 도구에 대한 요구를 가속화할 가능성이 높다.
앞을 내다보는 관점
Solana Mobile이 퍼블리싱 권한을 강화하고, 필수 심사 게이트를 도입하며, 포털 접근이 어떻게 이루어졌는지 상세히 밝히는 포스트모템을 공개할 것으로 예상된다. 업계 전반에 대한 교훈은 분명하다. 모바일 dApp 배포가 성장함에 따라 스토어프런트의 무결성은 프로토콜 코드만큼이나 면밀히 검토될 것이다. 사용자는 출처와 관계없이 시드 구문을 요구하는 모든 요청을 즉각적인 위험 신호로 간주해야 하며, 프로젝트는 스마트 컨트랙트뿐 아니라 퍼블리싱 파이프라인도 표적이 될 수 있다고 가정해야 한다.
