Verantwortungsvolle Offenlegung.
Zuletzt aktualisiert: 13. April 2026.
Coinomi schätzt die Arbeit von Sicherheitsforschenden, die die Sicherheit unserer Produkte und Dienste verbessern. Wir arbeiten gern mit der Community zusammen, um berechtigt gemeldete Schwachstellen zu prüfen, nachzustellen und zu beheben. Wir laden die Community ein, an unserem Prozess zur verantwortungsvollen Offenlegung teilzunehmen.
Eine Schwachstelle melden
Wenn Sie Sicherheitsforscher sind und eine Schwachstelle melden möchten, senden Sie bitte eine E-Mail an: security@coinomi.com
Bitte geben Sie in jeder Meldung Ihren Namen, Ihre Kontaktdaten und gegebenenfalls Ihren Firmennamen an. Verschlüsselte Meldungen werden bevorzugt behandelt, fügen Sie daher Ihren öffentlichen PGP-Schlüssel bei.
Richtlinien zur Offenlegung
Wir prüfen berechtigte Meldungen und bemühen uns, bestätigte Schwachstellen zügig zu beheben. Um verantwortungsvolles Melden zu fördern, sichern wir zu, dass wir nicht rechtlich gegen Sie vorgehen und keine Strafverfolgung veranlassen, wenn Sie die folgenden Richtlinien einhalten:
- Liefern Sie Details zur Schwachstelle, einschließlich der Angaben zum Nachstellen und Bestätigen sowie einen Proof of Concept (POC).
- Bemühen Sie sich nach Treu und Glauben, Datenschutzverletzungen, Datenzerstörung sowie Unterbrechung oder Beeinträchtigung unserer Dienste zu vermeiden.
- Ändern Sie keine Daten, die Ihnen nicht gehören, und greifen Sie nicht darauf zu.
- Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie Informationen veröffentlichen.
- Wir nehmen nur Meldungen zu Diensten an, die ausschließlich von Coinomi und nicht von Dritten bereitgestellt werden.
Wir bemühen uns, Ihre Meldung innerhalb von 1 bis 2 Werktagen zu beantworten.
Meldungen, die die obigen Richtlinien nicht vollständig erfüllen, kommen für Prämien oder die hier genannten Zusicherungen nicht infrage.
Anwendungen im Geltungsbereich
Uns interessieren vor allem Schwachstellen, mit denen Angreifer Wallets und/oder Krypto-Assets aus Coinomi-Anwendungen kompromittieren könnten.
Schwachstellen im Geltungsbereich:
- Umgehung von PIN oder Biometrie, ausgenommen Funktionen, die das Betriebssystem nativ bereitstellt
- Umgehung der Nutzerbestätigung beim Signieren einer Transaktion
- Abfluss sensibler Daten über Speicherzugriff, Netzwerkverkehr, lokalen Gerätespeicher usw.
- Angriffe über den Abhängigkeitsbaum / die Lieferkette
- Kryptografie-Schwachstellen bei der BIP-39/32/44-Ableitung und bei elliptischen Kurven
Nicht im Geltungsbereich (Anwendungen):
- Unverschlüsselte Firebase-Dienst-Token
Websites im Geltungsbereich
Uns interessieren kritische Schwachstellen in unserer Infrastruktur, einschließlich Front- und Backend.
Nicht im Geltungsbereich (Websites):
- Vorhandensein oder Fehlen von SPF/DMARC-Einträgen
- Fehlende CSRF-Token
- Clickjacking und Tabnabbing
- Fehlende Sicherheits-Header, die nicht direkt zu einer Schwachstelle führen
- Fehlende Best Practices (wir verlangen einen Nachweis einer Sicherheitslücke)
- Meldungen automatisierter Tools oder Scans
- Meldungen unsicherer SSL/TLS-Chiffren (außer mit funktionierendem Proof of Concept)
- Fehlendes Rate Limiting
- Veraltete Software ohne nennenswerte Schwachstelle
- Defekte Links
- Schwachstellen in Diensten Dritter (z. B. Zendesk, X/Twitter): Melden Sie diese direkt dort
Exchange im Geltungsbereich
Für den Aggregator-Dienst Coinomi Exchange interessieren uns zusätzlich:
- Schwachstellen, mit denen sich angezeigte Wechselkurse oder Gebühren manipulieren ließen
- Schwachstellen, die Nutzergelder an Adressen des Angreifers umleiten könnten
- Schwachstellen in der API-Integrationsschicht mit Exchange-Partnern
- Informationslecks, die Transaktionsdetails von Nutzern über das hinaus offenlegen könnten, was in unserer Datenschutzerklärung beschrieben ist
Nicht im Geltungsbereich (Exchange):
- Schwachstellen in Systemen von Exchange-Partnern (direkt dem Exchange-Partner melden)
- Kursabweichungen durch Marktbedingungen oder das API-Verhalten von Exchange-Partnern
- Ausfall oder Nichtverfügbarkeit von Exchange-Partnern