솔라나 모바일, 악성 SKR Claim 앱 솔라나(SOL) 스토어에서 한 시간 만에 삭제

SKR Claim, 추천란에서 1시간 버텼다

솔라나 모바일이 11월 2일(대만 시각) 새벽, 지갑 시드 구문 입력을 요구하는 악성 서드파티 앱 'SKR Claim'을 자체 dApp 스토어에서 내렸다. 해당 앱은 스토어의 앱 추천란 '앱 스포트라이트'에 약 1시간 동안 노출된 상태였다. 회사가 공식 입장문으로 밝힌 침해 경로는 이렇다. 개발자가 앱을 제출하는 창구인 dApp 퍼블리싱 포털에 무단 접속이 이뤄졌고, 이어 앱 스포트라이트 구역과 '퀘스트' 과제 화면이 함께 수정됐다. 접근 권한을 쥔 존재는 그 권한으로 악성 dapp을 스토어 이용자들 앞에 띄운 것이다. 이 스토어는 솔라나 모바일 기기의 앱 카탈로그로, 더 넓은 솔라나 생태계의 일부다. 추천란의 힘이 일반 검색 결과와 다른 이유는 명확하다. 이용자는 그 자리를 스토어의 검증 통과로 읽기 때문이다. 시드 구문은 자기 관리(self-custody) 자격 증명의 정점에 있다. 지갑을 복구하고 자금을 통제하는 열쇠이기에, 앱이나 웹사이트에 이를 입력하라는 요구는 언제나 익숙한 피싱 패턴과 겹친다. 공식 발표는 침해를 퍼블리싱 포털이라는 관리용 표면으로 한정하며, 네트워크 자체의 별도 사고는 언급하지 않았다. 공지는 스토어 보안과 이용자 자격 증명만 다뤘고, 솔라나 가격이나 시장 영향에 대한 언급은 없었다.

보완된 취약점과 기존 원칙 재확인

대응은 같은 공지에서 두 부분으로 나온다. 팀은 사건을 조사한 뒤, 앱의 발행이 완료되기 전에 미리 연동될 수 있었던 취약점을 찾아 패치했고, 이 수정이 재발 가능성을 낮춘다고 설명했다. 아울러 기존 규칙을 다시 못박았다. 솔라나 모바일은 에어드랍 수령을 이유로 시드 구문을 요구하거나, 암호화폐 결제를 요구하거나, 다른 앱·웹사이트로의 지갑 연결을 요구하지 않는다. 안내문은 자격 증명의 종류를 구분한다. 추천란에 앱이 노출됐다는 사실만으로 복구 구문을 넘겨줄 이유는 없다. 구문은 지갑 복구와 자산 통제를 관장하는 것이며, 로그인 비밀번호나 평범한 지갑 연결과는 등급이 다른 비밀이다. 지갑을 연결하면 이용자가 승인한 내용에 따라 노출 범위가 정해진다. 내용을 확인할 수 없는 서명에 동의하는 행위는 별개의 실패 유형으로, 블라인드 서명으로 알려져 있다. 반면 구문을 넘겨주면 승인 단계 자체가 사라진다. 입장문은 결과를 분명히 적는다. 구문이 입력돼 유출됐을 가능성이 있으면, 앱을 기기에서 내리거나 삭제해도 자격 증명은 회수되지 않는다. 이용자에게는 두 질문을 따로 검토하라고 안내한다. 악성 앱이 기기에서 사라졌는지, 그리고 지갑 자격 증명이 여전히 안전한지. 스토어 측 정리는 유통 경로를 고칠 뿐, 노출 자체를 되돌리지는 못한다.

기록이 남긴 미해결 과제

이번 사건은 큐레이션 계층이 보안 경계로서 어디까지 미치는지를 보여준다. 앱 스포트라이트를 수정할 수 있는 침입자는 스토어의 추천을 통째로 물려받고, 1시간의 노출이면 방문자 중 일부만 걸려들어도 구문을 확보하기에 충분하다. 책임의 기록도 명확히 갈린다. 솔라나 모바일은 앱을 내리고 포털 취약점을 패치했으며 규칙을 재확인했지만, 이미 SKR Claim에 구문을 입력한 이들에게 닿을 수단은 갖고 있지 않다. 그들에게 필요한 시정 조치는 스토어 업데이트가 아니라 새 지갑과 새 키로의 이전이다. 우리의 솔라나 지갑 11곳 비교가 그 이동의 출발점이 될 수 있다.