Aplikasi Palsu SKR Claim Bobol Spotlight Solana Mobile, Incar Seed Phrase Pengguna

Sebuah aplikasi palsu bernama SKR Claim sempat tampil di tempat paling tepercaya di dApp Store Solana Mobile, yaitu App Spotlight, pada 1 November 2026. Aplikasi itu meminta pengguna memasukkan seed phrase, kunci utama yang bisa dipakai untuk menguras seluruh isi dompet. Solana Mobile sudah menghapus aplikasi itu setelah sekitar satu jam, menambal celah yang memungkinkannya tampil, dan mulai menghapusnya dari perangkat yang sempat menginstalnya.

Insiden ini berbahaya justru karena tampilannya resmi. Pengguna yang sedang menunggu klaim airdrop SKR bisa mengira aplikasi itu adalah jalur klaim yang sah, padahal satu-satunya hal yang diminta aplikasi itu adalah hal yang tidak pernah diminta oleh jalur resmi mana pun: seed phrase pengguna.

Apa yang terjadi

Menurut pengungkapan Solana Mobile yang dilaporkan beberapa media pada 1 November, pihak tak dikenal mendapatkan akses tanpa izin ke dApp Publishing Portal, portal yang dipakai untuk menerbitkan aplikasi di dApp Store. Dari sana, pelaku mengubah tampilan App Spotlight dan Quests sehingga aplikasi SKR Claim yang belum resmi terbit bisa muncul di posisi unggulan.

Aplikasi itu tampil di Spotlight selama sekitar satu jam sebelum dihapus. Solana Mobile kemudian menyatakan timnya tidak akan pernah meminta seed phrase, aset kripto, atau koneksi dompet ke aplikasi dan situs lain untuk klaim airdrop. Pesan itu penting, karena justru itulah yang diminta aplikasi palsu tersebut.

SKR sendiri adalah token ekosistem Solana Mobile yang dipakai antara lain untuk governance dan staking, dan klaim resminya diarahkan lewat Seed Vault Wallet bawaan perangkat. Jadi, klaim yang meminta pengguna mengetik seed phrase ke sebuah aplikasi baru sudah salah sejak langkah pertamanya, apa pun nama dan tampilannya.

Kronologi dan fakta yang terverifikasi

Tabel di atas hanya memuat hal yang sudah dikonfirmasi oleh Solana Mobile atau dilaporkan konsisten oleh beberapa media independen. Angka korban dan kerugian tidak ditulis di sini karena memang belum diungkap, dan menebaknya hanya akan menambah panik tanpa membantu siapa pun.

Bagaimana aplikasi palsu itu bisa tampil di Spotlight

Masalahnya bukan di dompet pengguna, melainkan di lapisan distribusi aplikasi. Dalam proses normal, aplikasi yang diajukan masuk antrean peninjauan dan baru tampil setelah disetujui dan resmi terbit. Celah yang ditemukan Solana Mobile membuat aplikasi yang belum sepenuhnya terbit tetap bisa ditarik ke bagian unggulan seperti Spotlight.

Spotlight adalah posisi yang dipercaya pengguna karena kesannya sudah dikurasi. Ketika celah itu bertemu dengan akses portal tanpa izin, pelaku tidak perlu meyakinkan pengguna satu per satu. Cukup menaruh aplikasi palsu di etalase resmi, lalu menunggu pengguna yang sedang berburu klaim airdrop datang sendiri.

Pola ini bukan hal baru di dunia kripto. Pada kasus phishing notifikasi palsu NGRAVE yang pernah kami bahas, penipu juga memakai tampilan dan pesan yang seolah resmi untuk membuat korban menyerahkan akses dompetnya. Bedanya, kali ini etalasenya adalah toko aplikasi resmi itu sendiri, sehingga kewaspadaan pengguna harus naik satu level: posisi unggulan pun tidak otomatis berarti aman.

Kalau kamu sempat melihat atau menginstal SKR Claim

Solana Mobile membedakan tiga kondisi pengguna, dan langkah amannya berbeda untuk masing-masing kondisi:

1. Hanya melihat, tidak menginstal, tidak memasukkan apa pun. Menurut Solana Mobile, perangkat dan dompet kamu tidak berisiko. Tidak ada tindakan darurat yang perlu dilakukan selain tetap waspada terhadap aplikasi klaim serupa.
2. Menginstal, tetapi tidak memasukkan seed phrase. Hapus aplikasi itu dan jangan pernah memasukkan seed phrase ke dalamnya. Pantau dompet kamu, dan anggap semua permintaan lanjutan dari aplikasi itu sebagai penipuan.
3. Sudah memasukkan seed phrase. Anggap dompet itu sudah bocor. Pindahkan semua aset ke dompet baru dengan seed phrase baru secepat mungkin, sebelum melakukan hal lain. Jangan sekadar mengganti kata sandi atau menghapus aplikasi, karena seed phrase yang sudah bocor tetap bisa dipakai untuk memulihkan dompet dari perangkat mana pun.

Aturan yang sama berlaku di luar kasus ini. Klaim airdrop yang sah tidak pernah meminta seed phrase, dan tidak pernah meminta pengguna menghubungkan dompet ke aplikasi atau situs lain di luar jalur resmi. Kalau sebuah halaman klaim meminta seed phrase di langkah apa pun, berhenti di sana. Itu ciri penipuan, bukan prosedur.

Kasus Zipcoin yang tumbang setelah private key bocor adalah pengingat betapa cepat kerusakan terjadi begitu kunci dompet berpindah tangan. Begitu kunci bocor, yang diperebutkan bukan lagi apakah dana bisa diselamatkan, melainkan seberapa cepat pemiliknya memindahkan sisa aset sebelum pelaku bergerak.

Yang masih harus ditunggu dari Solana Mobile

Solana Mobile sudah menambal celah dan menghapus aplikasinya, tetapi tiga pertanyaan penting belum dijawab dalam pengungkapan awal: berapa perangkat yang sempat menginstal SKR Claim, apakah ada dana pengguna yang hilang, dan bagaimana tepatnya pelaku mendapatkan akses ke portal penerbitan. Sampai jawaban itu keluar, artikel ini tidak akan mengklaim satu pun dari ketiganya.

Yang jelas, insiden ini mengubah satu asumsi lama. Selama ini banyak pengguna menganggap toko aplikasi resmi sebagai garis pertahanan terakhir: kalau sudah tampil di sana, berarti sudah diperiksa. Kasus SKR Claim membuktikan garis itu bisa ditembus lewat celah di jalur penerbitan, dan satu jam di etalase resmi sudah cukup untuk membahayakan siapa pun yang sedang lengah mengejar airdrop.