OneKey創辦人警告iPhone 11以前機型有晶片漏洞 勿當冷錢包存助記詞
示意圖（圖／Freepik） 〔品傳媒／綜合外電報導〕把淘汰的舊iPhone重置、斷網後當成「離線冷錢包」存放助記詞，可能並不如想像中安全。加密錢包業者OneKey創辦人王一石（Yishi Wang）於11月1日在X平台發文提醒，iPhone 11及更早機型存在晶片層級的BootROM漏洞，任何iOS更新都無法根治，攻
1 天前・品傳媒
〔品傳媒／綜合外電報導〕推出Seeker手機的Solana Mobile，旗下官方應用商店「dApp Store」遭攻擊者入侵。根據The Defiant與PANews於台灣時間2日凌晨的報導，攻擊者取得dApp發布平台（dApp Publishing Portal）的未授權存取權限，把一款名為「SKR Claim」的惡意第三方App推上商店精選區塊，誘騙用戶輸入錢包助記詞。該App在精選版位曝光約1小時後被撤下，官方已修補相關漏洞，並著手從已安裝的裝置上移除該App。
重點摘要：Solana Mobile的dApp Store發布平台遭未授權存取，假冒SKR領幣的釣魚App在精選區塊停留約1小時、要求用戶輸入助記詞。官方已修補可連結「未完整發布App」的漏洞，並重申不會索取助記詞，也不會要求連接錢包領取空投；截至發稿，各報導均未公布受害人數與損失金額。
PANews引述Solana Mobile在官方X帳號的說明指出，這款「SKR Claim」App是由第三方提交至dApp Store，攻擊者在取得發布平台的存取權後，修改了商店中的App Spotlight（精選推薦）與Quests（任務）介面，藉此讓惡意App獲得曝光。用戶點開後，App會要求填入錢包的助記詞，一旦外洩，等同把錢包控制權交給對方。
根據The Defiant報導，該App在dApp Store精選區塊（Spotlight）上架時間約為1小時。由於精選版位通常是官方推薦的位置，用戶較容易降低戒心，這也是本次事件引發社群關注的原因。
The Defiant指出，Solana Mobile表示已修補一項錯誤，該錯誤原本允許平台連結到「尚未完整發布」的App，攻擊者正是利用這個缺口讓惡意App出現在精選區塊。官方同時表示，正在從受影響的裝置上移除該惡意App。Phemex News轉載PANews內容時，也提到同樣的處置方式。
| 項目 | 內容 |
|---|---|
| 惡意App名稱 | SKR Claim（第三方提交） |
| 入侵途徑 | dApp發布平台遭未授權存取，App Spotlight與Quests介面遭竄改 |
| 惡意行為 | 要求用戶輸入錢包助記詞 |
| 曝光時間 | 精選區塊約1小時 |
| 官方處置 | 修補可連結未完整發布App的漏洞、從裝置移除惡意App |
| 損失金額 | 報導均未揭露 |
資料來源：The Defiant、PANews、Phemex News
值得注意的是，三家媒體的報導皆未提到具體受害人數或資產損失金額，攻擊者如何取得發布平台權限的細節也尚未公開。
根據PANews報導，Solana Mobile在聲明中強調，官方永遠不會向用戶索取助記詞或加密資產，也不會要求用戶連接錢包來領取空投。換言之，任何以「領取SKR」「領空投」為名、要求填寫助記詞的App或網站，都應視為詐騙。
SKR是Solana Mobile生態系的代幣，官方過去曾舉辦多輪領取活動。攻擊者選擇以「Claim（領取）」為名包裝惡意App，正是利用用戶對領幣活動的熟悉感。
本次事件的特殊之處在於，惡意App並非出現在一般第三方網站，而是透過官方商店的推薦版位曝光。後續市場將關注Solana Mobile是否公布完整事件報告，包括發布平台遭入侵的原因、安裝人數，以及是否有用戶資產實際遭轉走。
對曾在該時段安裝或開啟「SKR Claim」並輸入助記詞的用戶而言，舊錢包已不再安全，應立即建立全新錢包並轉移資產，而非僅更換地址。
攻擊者取得dApp發布平台的未授權存取權，竄改精選與任務介面，把名為「SKR Claim」的惡意App推上精選區塊約1小時，誘騙用戶輸入助記詞。官方已修補漏洞並移除該App。
截至發稿，The Defiant、PANews等報導皆未公布受害人數或損失金額，Solana Mobile也尚未發布完整事件報告。
助記詞一旦外洩，對方即可控制該錢包。應立即以新的助記詞建立全新錢包並轉移資產，同時記住Solana Mobile表示官方不會索取助記詞或要求連接錢包領空投。
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。
