Divulgación responsable.

Coinomi valora el trabajo de los investigadores de seguridad para mejorar la seguridad de nuestros productos y servicios. Nos comprometemos a colaborar con la comunidad para verificar, reproducir y responder a las vulnerabilidades legítimas que se reporten. Animamos a la comunidad a participar en nuestro proceso de divulgación responsable.

Reportar una vulnerabilidad

Si eres investigador de seguridad y quieres reportar una vulnerabilidad, envía un correo a: security@coinomi.com

Indica tu nombre, tus datos de contacto y el nombre de tu empresa (si corresponde) en cada reporte. Se dará prioridad a los reportes cifrados, así que incluye tu clave pública PGP con el reporte.

Descargar la clave PGP de Coinomi

Pautas de divulgación responsable

Investigaremos los reportes legítimos y haremos todo lo posible por corregir con rapidez cualquier vulnerabilidad confirmada. Para fomentar los reportes responsables, nos comprometemos a no emprender acciones legales contra ti ni pedir a las autoridades que te investiguen si cumples estas pautas:

1. Aporta los detalles de la vulnerabilidad, incluida la información necesaria para reproducirla y validarla, y una prueba de concepto (PoC).
2. Esfuérzate de buena fe por evitar violaciones de la privacidad, la destrucción de datos y la interrupción o degradación de nuestros servicios.
3. No modifiques ni accedas a datos que no te pertenecen.
4. Danos un plazo razonable para corregir el problema antes de hacer pública cualquier información.
5. Solo aceptamos reportes sobre servicios que presta exclusivamente Coinomi y no un tercero.

Haremos todo lo posible por responder a tu divulgación en 1 a 2 días hábiles.

Las divulgaciones que no cumplan del todo las pautas anteriores no serán elegibles para recompensas ni para ninguna de las garantías aquí descritas.

Aplicaciones: dentro del alcance

Nos interesan sobre todo las vulnerabilidades que permitirían a atacantes comprometer billeteras o activos cripto desde las aplicaciones de Coinomi.

Vulnerabilidades dentro del alcance:

1. Elusión del PIN o de la biometría, excepto la funcionalidad que ofrece de forma nativa el sistema operativo
2. Elusión de la confirmación del usuario para firmar una transacción
3. Fugas de datos sensibles por acceso a la memoria, tráfico de red, almacenamiento local del dispositivo, etc.
4. Ataques al árbol de dependencias o a la cadena de suministro
5. Vulnerabilidades criptográficas relacionadas con la derivación BIP-39/32/44 y las curvas elípticas

Fuera del alcance para las aplicaciones:

1. Tokens de servicio de Firebase sin cifrar

Sitios web: dentro del alcance

Nos interesan las vulnerabilidades críticas en nuestra infraestructura, tanto en el front como en el backend.

Fuera del alcance para los sitios web:

1. Presencia o ausencia de registros SPF/DMARC
2. Falta de tokens CSRF
3. Problemas de clickjacking y tabnabbing
4. Cabeceras de seguridad ausentes que no lleven directamente a una vulnerabilidad
5. Falta de buenas prácticas (exigimos evidencia de una vulnerabilidad de seguridad)
6. Reportes de herramientas o escaneos automatizados
7. Reportes de cifrados SSL/TLS inseguros (salvo que tengas una prueba de concepto funcional)
8. Ausencia de límite de solicitudes
9. Software desactualizado sin ninguna vulnerabilidad relevante
10. Enlaces rotos
11. Vulnerabilidades en servicios de terceros (p. ej., Zendesk, X/Twitter): repórtalas directamente a ellos

Servicio de intercambio: dentro del alcance

Para el servicio agregador Coinomi Exchange, nos interesan además:

1. Vulnerabilidades que permitan manipular los tipos de cambio o las comisiones mostrados
2. Vulnerabilidades que puedan redirigir los fondos de los usuarios a direcciones controladas por atacantes
3. Vulnerabilidades en la capa de integración de API con los socios de intercambio
4. Fugas de información que puedan exponer detalles de las transacciones de los usuarios más allá de lo descrito en nuestra Política de privacidad

Fuera del alcance para el servicio de intercambio:

1. Vulnerabilidades en los sistemas de los socios de intercambio (repórtalas directamente al socio)
2. Discrepancias en los tipos de cambio causadas por las condiciones del mercado o por el comportamiento de la API del socio de intercambio
3. Caída o indisponibilidad de un socio de intercambio