الإفصاح المسؤول.

تقدّر Coinomi عمل باحثي الأمن في تحسين أمان منتجاتنا وخدماتنا. ونلتزم بالعمل مع المجتمع للتحقق من الثغرات المبلغ عنها وإعادة إنتاجها والاستجابة لها متى كانت مشروعة. ونشجع المجتمع على المشاركة في عملية الإفصاح المسؤول لدينا.

الإبلاغ عن ثغرة

إذا كنت باحث أمن وترغب في الإبلاغ عن ثغرة، فأرسل رسالة إلى: security@coinomi.com

يرجى ذكر اسمك ومعلومات الاتصال واسم شركتك (إن وجدت) مع كل بلاغ. تُمنح الأولوية للبلاغات المشفرة، لذا أرفق مفتاح PGP العام الخاص بك مع البلاغ.

نزّل مفتاح PGP الخاص بـ Coinomi

إرشادات الإفصاح المسؤول

سندرس البلاغات المشروعة ونبذل كل جهد لإصلاح أي ثغرة مؤكدة بسرعة. وتشجيعًا على الإبلاغ المسؤول، نتعهد بألا نتخذ إجراءً قانونيًا ضدك ولا نطلب من جهات إنفاذ القانون التحقيق معك إذا التزمت بالإرشادات التالية:

1. قدّم تفاصيل الثغرة، بما فيها المعلومات اللازمة لإعادة إنتاجها والتحقق منها، وإثبات المفهوم (POC).
2. ابذل جهدًا بحسن نية لتجنب انتهاك الخصوصية وإتلاف البيانات وتعطيل خدماتنا أو إضعافها.
3. لا تعدّل بيانات لا تخصك ولا تصل إليها.
4. امنحنا وقتًا معقولًا لإصلاح المشكلة قبل نشر أي معلومات.
5. نقبل البلاغات فقط عن الخدمات التي تقدمها Coinomi حصريًا، لا التي تقدمها أي جهة خارجية.

سنبذل كل جهد للرد على إفصاحك خلال مدة تتراوح بين يوم عمل ويومي عمل.

الإفصاحات التي لا تلتزم التزامًا كاملًا بالإرشادات أعلاه لا تكون مؤهلة للمكافآت ولا لأي من الضمانات المذكورة هنا.

التطبيقات: ضمن النطاق

يهمنا بالدرجة الأولى الثغرات التي قد تتيح للمهاجمين اختراق المحافظ و/أو الأصول المشفرة من تطبيقات Coinomi.

الثغرات ضمن النطاق:

1. تجاوز رمز PIN أو القياسات الحيوية، باستثناء الوظائف التي يوفرها نظام التشغيل أصلًا
2. تجاوز تأكيد المستخدم لتوقيع معاملة
3. تسرب البيانات الحساسة عبر الوصول إلى الذاكرة أو حركة الشبكة أو التخزين المحلي على الجهاز وغيرها
4. هجمات شجرة الاعتماديات / سلسلة التوريد
5. ثغرات التشفير المتعلقة باشتقاق BIP-39/32/44 والمنحنيات الإهليلجية

خارج النطاق للتطبيقات:

1. رموز خدمة Firebase غير المشفرة

المواقع: ضمن النطاق

تهمنا الثغرات الحرجة في بنيتنا التحتية، بواجهتها الأمامية والخلفية.

خارج النطاق للمواقع:

1. وجود سجلات SPF/DMARC أو غيابها
2. غياب رموز CSRF
3. مشكلات Clickjacking وTabnabbing
4. ترويسات الأمان المفقودة التي لا تؤدي مباشرة إلى ثغرة
5. غياب أفضل الممارسات (نطلب دليلًا على وجود ثغرة أمنية)
6. البلاغات الصادرة عن أدوات أو عمليات فحص آلية
7. البلاغات عن شفرات SSL/TLS غير الآمنة (ما لم يكن لديك إثبات مفهوم عامل)
8. غياب تحديد معدل الطلبات
9. البرمجيات القديمة دون أي ثغرة جديرة بالذكر
10. الروابط المعطلة
11. الثغرات في خدمات الجهات الخارجية (مثل Zendesk وX/Twitter): أبلغها بها مباشرة

خدمة التبادل: ضمن النطاق

بالنسبة لخدمة تجميع التبادل في Coinomi Exchange، يهمنا إضافة إلى ذلك:

1. الثغرات التي قد تتيح التلاعب بأسعار الصرف أو الرسوم المعروضة
2. الثغرات التي قد تعيد توجيه أموال المستخدمين إلى عناوين يتحكم بها المهاجم
3. الثغرات في طبقة تكامل واجهة البرمجة مع شركاء التبادل
4. تسرب المعلومات الذي قد يكشف تفاصيل معاملات المستخدمين بما يتجاوز ما توضحه سياسة الخصوصية لدينا

خارج النطاق لخدمة التبادل:

1. الثغرات في أنظمة شركاء التبادل (أبلغ شريك التبادل مباشرة)
2. فروق أسعار الصرف الناتجة عن ظروف السوق أو سلوك واجهة برمجة شريك التبادل
3. توقف شريك التبادل أو عدم توفره