Divulgation responsable.

Coinomi apprécie le travail des chercheurs en sécurité qui contribuent à améliorer la sécurité de nos produits et services. Nous nous engageons à travailler avec la communauté pour vérifier, reproduire et traiter les vulnérabilités légitimes qui nous sont signalées. Nous encourageons la communauté à participer à notre processus de divulgation responsable.

Signaler une vulnérabilité

Si vous êtes chercheur en sécurité et souhaitez signaler une vulnérabilité, envoyez un e-mail à : security@coinomi.com

Merci d’indiquer dans chaque rapport votre nom, vos coordonnées et le nom de votre entreprise (le cas échéant). Les rapports chiffrés seront traités en priorité : joignez donc votre clé publique PGP au rapport.

Télécharger la clé PGP de Coinomi

Règles de divulgation responsable

Nous examinerons les signalements légitimes et ferons tout notre possible pour corriger rapidement toute vulnérabilité confirmée. Pour encourager un signalement responsable, nous nous engageons à ne pas engager d’action en justice contre vous et à ne pas demander aux forces de l’ordre de vous enquêter si vous respectez les règles suivantes :

1. Fournissez le détail de la vulnérabilité, y compris les informations nécessaires pour la reproduire et la valider, ainsi qu’une preuve de concept (POC).
2. Faites de bonne foi tout votre possible pour éviter les atteintes à la vie privée, la destruction de données et toute interruption ou dégradation de nos services.
3. Ne modifiez pas et n’accédez pas à des données qui ne vous appartiennent pas.
4. Laissez-nous un délai raisonnable pour corriger le problème avant de rendre toute information publique.
5. Nous n’acceptons que les signalements concernant des services fournis exclusivement par Coinomi et non par un tiers.

Nous ferons tout notre possible pour répondre à votre signalement sous 1 à 2 jours ouvrés.

Les divulgations qui ne respectent pas pleinement les règles ci-dessus ne seront pas éligibles aux primes ni à aucune des garanties évoquées ici.

Applications : dans le périmètre

Nous nous intéressons surtout aux vulnérabilités qui permettraient à des attaquants de compromettre des portefeuilles et/ou des actifs crypto depuis les applications Coinomi.

Vulnérabilités dans le périmètre :

1. Contournement du code PIN ou de la biométrie, hors fonctions fournies nativement par le système d’exploitation
2. Contournement de la confirmation de l’utilisateur pour signer une transaction
3. Fuites de données sensibles par accès à la mémoire, trafic réseau, stockage local de l’appareil, etc.
4. Attaques sur l’arbre des dépendances / la chaîne d’approvisionnement
5. Vulnérabilités cryptographiques liées à la dérivation BIP-39/32/44 et aux courbes elliptiques

Hors périmètre pour les applications :

1. Jetons de service Firebase non chiffrés

Sites web : dans le périmètre

Nous nous intéressons aux vulnérabilités critiques de notre infrastructure, y compris le frontend et le backend.

Hors périmètre pour les sites web :

1. Présence ou absence d’enregistrements SPF/DMARC
2. Absence de jetons CSRF
3. Problèmes de clickjacking et de tabnabbing
4. En-têtes de sécurité manquants qui ne mènent pas directement à une vulnérabilité
5. Bonnes pratiques manquantes (nous exigeons la preuve d’une vulnérabilité de sécurité)
6. Rapports issus d’outils automatisés ou d’analyses
7. Signalements de chiffrements SSL/TLS non sécurisés (sauf avec une preuve de concept fonctionnelle)
8. Absence de limitation de débit
9. Logiciels obsolètes sans vulnérabilité notable
10. Liens cassés
11. Vulnérabilités dans des services tiers (par ex. Zendesk, X/Twitter) : signalez-les directement à eux

Service d’échange : dans le périmètre

Pour le service d’agrégation Coinomi Exchange, nous nous intéressons en plus à :

1. Des vulnérabilités qui permettraient de manipuler les taux ou les frais d’échange affichés
2. Des vulnérabilités qui pourraient rediriger les fonds des utilisateurs vers des adresses contrôlées par un attaquant
3. Des vulnérabilités dans la couche d’intégration d’API avec les partenaires d’échange
4. Des fuites d’informations pouvant exposer des détails de transaction au-delà de ce que décrit notre politique de confidentialité

Hors périmètre pour le service d’échange :

1. Vulnérabilités dans les systèmes des partenaires d’échange (à signaler directement au partenaire)
2. Écarts de taux dus aux conditions de marché ou au comportement de l’API d’un partenaire d’échange
3. Indisponibilité ou interruption d’un partenaire d’échange