Una app falsa llamada "SKR Claim" estuvo una hora destacada en la tienda oficial de Solana Mobile pidiendo a los usuarios que escribieran su frase semilla, la llave maestra que da control total sobre una billetera cripto.
La empresa detrás del teléfono Seeker confirmó el incidente el 1 de noviembre en su cuenta oficial de X. Según explicó, el atacante consiguió un acceso no autorizado al portal de publicación de la dApp Store y modificó dos secciones que los usuarios asocian con contenido curado por la propia compañía, el App Spotlight y la interfaz de Quests.
"La app estuvo activa en el dApp Spotlight durante una hora antes de ser eliminada de la dApp Store. Actualmente se está eliminando de los dispositivos donde fue instalada", detalló Solana Mobile.
La firma no informó cuántos usuarios descargaron la aplicación, si alguno llegó a entregar su frase semilla ni si hubo fondos robados.
La dApp Store de Solana Mobile, la tienda de aplicaciones descentralizadas que viene preinstalada en el Seeker, quedó expuesta por dos fallas que coincidieron:
La compañía aseguró que identificó y corrigió ese segundo error "para mitigar que esto vuelva a suceder". No precisó, en cambio, cómo el atacante logró entrar al portal ni si ese acceso ya fue bloqueado.
El nombre del señuelo tampoco fue casual. SKR es el token nativo del ecosistema Seeker y su primer airdrop se reclamó desde la billetera integrada del teléfono a partir de enero. Una app que prometía un nuevo reclamo, ubicada en la sección destacada de la tienda oficial, replicaba algo que muchos usuarios ya habían hecho antes.
El Seeker, el smartphone cripto de Solana Mobile, guarda las claves privadas en Seed Vault, un módulo aislado de Android y del resto de las aplicaciones que firma transacciones sin exponerlas. Pero "SKR Claim" nunca intentó vulnerar ese sistema, sino que le pidió los datos directamente al usuario.
Ahí está el punto débil. Quien obtiene las 12 o 24 palabras puede reconstruir la billetera en cualquier dispositivo, sin necesidad de tocar el teléfono. Por eso, desinstalar la app no resuelve nada si la frase ya fue ingresada.
Para quienes la escribieron, los pasos recomendados son:
Solana Mobile cerró su comunicado con una advertencia: "El equipo de Solana Mobile nunca te pedirá tu frase semilla, cripto, ni que conectes tu wallet a otras apps/sitios para reclamar airdrops".