Solana (SOL)、モバイル部門が悪性アプリSKR Claimを約1時間でストアから削除

約1時間だけ店頭に並んだSKR Claim

Solana (SOL) Mobileは11月2日の未明(台湾時間)、サードパーティー製アプリ「SKR Claim」を自社のdAppストアから削除した。このアプリは、ストアのおすすめ欄「App Spotlight」に約1時間掲載されていた間、ウォレットのシードフレーズ(リカバリーフレーズ)の入力を利用者に求めていたという。公式発表によると、開発者がアプリを提出するための窓口であるdApp Publishing Portalへの不正アクセスがまず発生し、その後App Spotlightとクエスト画面の両方が書き換えられた。アクセスを得た何者かは、この権限を使って悪性のdAppをストアのインストール済み利用者の目の前に並べた。同ストアはSolanaのモバイルデバイス向けアプリカタログで、広大なSolanaエコシステムの一部を担う。おすすめ欄への掲載は検索結果とは重みが違う。利用者はそこに並んでいること自体を、ストア側の審査を通過した証と読むからだ。シードフレーズはセルフカストディにおける認証情報の頂点に位置する。これが漏れればウォレットそのものが復元・掌握され、資金はすべて渡ってしまう。アプリやウェブサイトへの入力を求める手口は、古典的なフィッシングの型そのものだ。公式の説明では、侵害はあくまで管理画面であるPublishing Portalにとどまり、ネットワーク本体での別の事故には言及していない。告知はストアのセキュリティと利用者の認証情報に限られ、Solanaの価格や市場への影響については何も触れていない。

修正された脆弱性と再申告されたルール

対応は同じ開示の中で二段階に整理された。チームはまず事故を調査し、アプリの公開完了前に外部からリンクできてしまう脆弱性を特定して修正した。再発の可能性を下げるための改修だという。あわせて従来からのルールを改めて示した。Solana (SOL) Mobileがエアドロップの受け取りのために、シードフレーズの入力、暗号資産の送金、別のアプリやサイトへのウォレット接続を求めることは決してない。続く注意点は認証情報の種類を分けることにある。おすすめ欄に載っていること自体は、リカバリーフレーズを渡す理由にならない。フレーズはウォレットの復元と資産の管理を司る秘密で、ログイン用パスワードや日常的なウォレット接続とは別物だ。ウォレットを接続すると、承認した内容に応じて資産がさらされる。そして中身を確認できないまま取引に署名してしまうのが、いわゆるブラインド署名という別の失敗形態だ。フレーズを渡してしまえば、その承認という防壁ごと失われる。公式文書は結果について明確だ。一度フレーズを入力して漏れた可能性があれば、アプリを端末から削除しても認証情報は取り戻せない。利用者は二つの問いを分けて考えるよう促されている。一つは悪性アプリが端末から消えたか、もう一つはウォレットの認証情報がまだ安全か。ストア側の取り締まりは流通経路を塞ぐだけで、露出そのものは解消しない。

記録が残さない問題

この一件は、キュレーション層がセキュリティの境界線としてどこまで効力を持つかを示した。App Spotlightを書き換えられる侵入者は、ストアの推薦という信頼を丸ごと引き継ぐ。掲載はわずか1時間でも、訪問者の一部からフレーズを集めるには十分な時間だ。責任の所在は記録の上で明確に分かれている。Solana Mobileはアプリを削除し、ポータルの脆弱性を修正し、ルールを再申告した。だが、すでにSKR Claimにフレーズを打ち込んでしまった利用者に届ける手段は持っていない。その人にとっての是正はストアの更新ではなく、新しいウォレットと新しい鍵の作成だ。取り掛かりとしては、当サイトの主要なSolanaウォレット11選の比較を参照できる。