Solana Mobile تزيل تطبيق SKR Claim الخبيث من متجر Solana (SOL) بعد ساعة
سحبت Solana Mobile تطبيق SKR Claim الخبيث من متجرها اللامركزي بعد قرابة ساعة، ورمّعت ثغرة بوابة النشر التي مكّنت من الاختراق.
ساعة واحدة في واجهة المتجر
أزالت 
Solana (SOL) Mobile تطبيقًا خبيثًا يحمل اسم SKR Claim من متجر التطبيقات اللامركزي الخاص بها في الساعات الأولى من يوم 2 نوفمبر بتوقيت تايوان، بعد أن بقي التطبيق قرابة ساعة كاملة في قسم "App Spotlight" المخصص للاقتراحات، وهو القسم الأبرز في المتجر، بينما طلب من المستخدمين إدخال عبارة الاسترداد الخاصة بمحافظهم. وقد فصّل الفريق تسلسل الحادثة في بيان رسمي: وصول غير مصرح به إلى بوابة نشر التطبيقات، وهي المنفذ الذي يستعين به المطوّرون لإرسال تطبيقاتهم، تلاه تعديل على قسم الاقتراحات وعلى واجهة مهام "Quests" معًا. وقد استخدم من حصل على هذا الدخول صلاحياته لوضع التطبيق الخبيث أمام جمهور المتجر المثبت على الأجهزة. المتجر هو دليل التطبيقات الخاص بهواتف Solana المحمولة، وجزء من منظومة Solana الأوسع، وتحتل خانات الاقتراح فيه وزنًا لا تبلغه نتيجة بحث عادية، لأن المستخدم يقرأ الموضع هناك على أنه تدقيق من المتجر نفسه. وعبارة الاسترداد تتسمّى قمة هرم بيانات الاعتماد في الحفظ الذاتي: فهي تعيد بناء المحفظة وتتحكم في أموالها، ولهذا يحمل أي طلب لكتابتها في تطبيق أو موقع نمط التصيّد المألوف. يضع الرواية الرسمية الاختراق في بوابة النشر، وهي واجهة إدارية، ولا يذكر أي حادثة منفصلة على الشبكة نفسها. وقد اكتفى البيان بأمن المتجر وبيانات اعتماد المستخدمين، ولم يصدر أي تصريح حول سعر سولانا أو أي أثر سوقي.
ثغرة مُرقَّعة وقاعدة دائمة
جاءت الاستجابة على شقين، وقد نص عليهما الإفصاح نفسه. قالت الفريق إنها فحصت الحادثة ورصدت رقعة أمنية كانت تتيح ربط التطبيقات قبل اكتمال نشرها، فأصلحتها وصوغت الإصلاح على أنه تخفيض لاحتمال تكرار الحادثة. كما أعادت التأكيد على قاعدة قائمة: Solana (SOL) Mobile لن تطلب من المستخدمين عبارة استرداد، ولا دفعة بعملة رقمية، ولا ربط المحفظة بتطبيق أو موقع آخر من أجل استلام الإيردروب. ثم يرسم التوجيه خطًا فاصلًا بين أنواع بيانات الاعتماد: فوجود تطبيق في قسم الاقتراحات ليس بحد ذاته سببًا لتسليم عبارة الاسترداد؛ فهذه العبارة تحكم استعادة المحفظة والتحكم في الأصول، وهي فئة أسرار مختلفة عن كلمة مرور الدخول أو عن ربط عادي للمحفظة. وربط المحفظة يعرضها لما يوافق عليه المستخدم، والموافقة على إجراءات لا يمكن فحص محتواها هي نمط الفشل المنفصل المعروف باسم التوقيع الأعمى؛ أما تسليم العبارة فيلغي طبقة الموافقة كلها. والبيان صريح بشأن النتيجة: ما إن تُكتب العبارة ويحتمل أنها تسربت، حتى إزالة التطبيق أو حذفه من الجهاز لا تستعيد بيانات الاعتماد. ويُطلب من المستخدمين فصل سؤالين: هل التطبيق الخبيث غادر الجهاز، وهل بيانات اعتماد المحفظة ما تزال آمنة. فتنظيف جهة المتجر، بعبارة أخرى، يعالج قناة التوزيع ويترك التعرّض كما هو.
ما يتركه السجل دون حسم
تكشف الحادثة إلى أي مدى يمتد طبق التنقيح كحدّ أمني. فالمتسلّل القادر على تعديل قسم الاقتراحات يرث شهادة المتجر نفسها، وساعة واحدة من الظهور تكفي لجمع عبارات استرداد من نصيب ولو صغير من الزوار. يقسّم السجل المسؤولية بوضوح: Solana (SOL) Mobile سحبت التطبيق، ورقّعت ثغرة البوابة، وأعادت ذكر قواعدها، لكن ليس في يدها آلية للوصول إلى من كتب عباسته أصلًا في SKR Claim. أولئك المستخدمون، الخطوة التصحيحية أمامهم هي محفظة جديدة ومفاتيح جديدة، لا تحديث من المتجر؛ وتُعدّ مقارنتنا لأفضل 11 محفظة لسولانا نقطة انطلاق مناسبة لتلك الخطوة.
تم إنتاجه بمساعدة الذكاء الاصطناعي، وتمت مراجعته بالذكاء الاصطناعي، ونُشر تحت الإشراف التحريري لـ COINOTAG.