Am 1. November 2026 kam es bei Solana Mobile zu einem Sicherheitsvorfall, bei dem eine bösartige App für etwa eine Stunde im Spotlight des dApp-Portals auftauchte. Das Unternehmen reagierte schnell, entfernte die Anwendung und spielte einen Sicherheitspatch ein.
Am 1. November 2026 tauchte die bösartige Anwendung namens „SKR Claim“ für exakt eine Stunde im App Spotlight des dezentralen App-Stores (dApp Portal) von Solana Mobile auf. Nach genau einer Stunde entfernte das Unternehmen die App, spielte einen Sicherheitspatch ein und begann damit, die Anwendung von betroffenen Nutzergeräten zu löschen.
Der Vorfall wurde durch einen unbefugten Zugriff auf das dApp Publishing Portal ermöglicht. Ein zugrundeliegender Bug sorgte dafür, dass niemals formal veröffentlichte Apps in kuratierten Store-Bereichen wie dem App Spotlight angezeigt werden konnten. Eine Lücke zwischen der Publishing-Pipeline und der Curation-Schicht schuf diese Möglichkeit für den Angreifer.
Die App SKR Claim wurde entwickelt, um Seed-Phrasen von Nutzern zu sammeln, die glaubten, einen Airdrop zu beanspruchen. Solana Mobile fragt niemals nach Seed-Phrasen.
Solana Mobile betonte, dass die Gerätesicherheit, das Seed Vault-Hardware-Wallet sowie On-Chain-Systeme nicht kompromisiert wurden. Das Zeitfenster des Schadens war mit rund 60 Minuten eng, und Ingenieure haben die Schwachstelle bereits behoben, während eine umfassendere Sicherheitsüberprüfung durchgeführt wird.
Der dApp Store hatte Anfang 2026 die Marke von 1.000 Apps im Katalog überschritten. Seit August 2026 betreibt Solana Mobile zudem ein Bug-Bounty-Programm, das sich speziell auf das Seed Vault-Hardware-Wallet konzentriert. Ob diese konkrete Schwachstelle in den Scope dieses Programms fiel oder von einem Sicherheitsforscher gemeldet wurde, ist bislang unklar.
Nutzern, die die App am 1. November heruntergeladen und eine Seed-Phrase eingegeben haben, wird geraten, die betroffene Wallet als kompromisiert anzusehen und Gelder in eine neue Wallet mit frischer Seed-Phrase zu übertragen. Wer die App lediglich sah, aber nicht interagierte oder heruntergeladen hat, ist laut Solana Mobile nicht gefährdet.
