Solana Mobile, la empresa detrás del teléfono Seeker, confirmó el 1 de noviembre que una aplicación maliciosa llamada «SKR Claim» llegó a su dApp Store tras un acceso no autorizado a su portal de publicación. Durante una hora, la app estuvo destacada en la tienda oficial pidiendo a los usuarios que ingresaran su frase semilla.
Según el comunicado que la compañía publicó en su cuenta oficial de X, el atacante modificó el App Spotlight y la interfaz de Quests. Son dos espacios que los usuarios asocian con contenido curado por la propia empresa, y eso le dio a la aplicación fraudulenta una apariencia de legitimidad difícil de cuestionar.
Una hora en la vitrina oficial
Solana Mobile detalló que la app permaneció visible en el dApp Spotlight durante una hora antes de ser retirada de la tienda. También informó que la está eliminando de los dispositivos en los que llegó a instalarse.
Tras revisar el incidente, el equipo identificó y corrigió un fallo que permitía enlazar aplicaciones que no habían completado el proceso de publicación. La empresa presentó ese parche como la medida para evitar que el episodio se repita.
La compañía no precisó cuántos usuarios descargaron la aplicación, si alguno llegó a entregar su frase semilla ni si hubo fondos sustraídos.
Un señuelo a medida
El nombre no fue casual. SKR es el token del ecosistema Seeker, así que una aplicación que prometía reclamarlo encajaba con lo que muchos poseedores del teléfono esperarían encontrar en la tienda oficial del dispositivo.
La frase semilla da control total sobre una wallet. Por eso, quien la haya ingresado en «SKR Claim» debe considerar esa wallet comprometida y trasladar sus fondos a una nueva, generada con una frase distinta. Que la app desaparezca del teléfono no revierte nada si la frase ya salió del dispositivo.
La advertencia de la empresa
Solana Mobile cerró su comunicado con un recordatorio: el equipo de la compañía nunca pedirá a los usuarios su frase semilla ni criptomonedas, ni les pedirá que conecten su wallet a otras aplicaciones o sitios para reclamar airdrops.
El episodio desplaza el foco de riesgo del código a los canales de distribución. Cuando el engaño llega desde la vitrina oficial, el sello de la tienda deja de funcionar como garantía, y la única defensa que no depende de terceros es no entregar nunca la frase semilla a una app que la pida para reclamar un token.
