セキュリティ
責任ある開示。
最終更新:2026年四月13日。
Coinomiは、製品とサービスのセキュリティ向上に取り組むセキュリティ研究者の皆さまの活動を高く評価しています。正当な脆弱性報告については、コミュニティと協力して検証、再現、対応を行います。責任ある開示のプロセスへのご参加をお待ちしています。
脆弱性の報告方法
セキュリティ研究者の方で脆弱性を報告される場合は、次のアドレスまでメールをお送りください:security@coinomi.com
報告ごとに、お名前、連絡先、会社名(該当する場合)をお知らせください。暗号化された報告を優先的に扱いますので、報告とあわせてPGP公開鍵も添付してください。
責任ある開示のガイドライン
正当な報告は調査し、確認された脆弱性は速やかに修正するよう最善を尽くします。責任ある報告を促すため、次のガイドラインを守っていただいた場合、Coinomiはお客様に対して法的措置を取らず、捜査機関に調査を依頼しないことをお約束します。
- 脆弱性の詳細(再現と検証に必要な情報、概念実証(POC)を含む)を提供してください。
- プライバシーの侵害、データの破壊、サービスの中断や劣化を避けるよう、誠意をもって努めてください。
- ご自身のものではないデータを変更したり、アクセスしたりしないでください。
- 情報を公開する前に、問題を修正するための妥当な時間をください。
- Coinomiが単独で提供するサービスに関する報告のみ受け付けます。第三者が提供するサービスは対象外です。
開示いただいた内容には、1から2営業日以内に回答するよう最善を尽くします。
上記のガイドラインに完全には従っていない開示は、報奨金や、ここで述べるいかなる保証の対象にもなりません。
アプリケーション:対象範囲
主に、攻撃者がCoinomiアプリケーションからウォレットや暗号資産を侵害できる脆弱性に関心があります。
対象となる脆弱性:
- PINまたは生体認証の回避(オペレーティングシステムが標準で提供する機能を除く)
- 取引に署名する際のユーザー確認の回避
- メモリアクセス、ネットワーク通信、端末内ストレージなどを通じた機密データの漏えい
- 依存関係ツリー/サプライチェーン攻撃
- BIP-39/32/44の導出や楕円曲線に関する暗号の脆弱性
アプリケーションの対象外:
- 暗号化されていないFirebaseサービストークン
ウェブサイト:対象範囲
フロントエンドとバックエンドを含むインフラの重大な脆弱性に関心があります。
ウェブサイトの対象外:
- SPF/DMARCレコードの有無
- CSRFトークンの欠如
- クリックジャッキングとタブナビングの問題
- 脆弱性に直結しないセキュリティヘッダーの欠如
- ベストプラクティスの不足(セキュリティ脆弱性の証拠が必要です)
- 自動化ツールやスキャンによる報告
- 安全でないSSL/TLS暗号スイートの報告(動作する概念実証がある場合を除く)
- レート制限の欠如
- 目立った脆弱性のない古いソフトウェア
- リンク切れ
- 第三者サービス(例:Zendesk、X/Twitter)の脆弱性:各社に直接報告してください
交換サービス:対象範囲
Coinomi Exchangeのアグリゲーターサービスについては、次の点にも関心があります。
- 表示される交換レートや手数料を操作できる脆弱性
- ユーザーの資金を攻撃者が管理するアドレスに送らせる脆弱性
- Exchangeパートナーとのやり取りに使うAPI連携レイヤーの脆弱性
- プライバシーポリシーに記載された範囲を超えて、ユーザーの取引詳細が漏れる情報漏えい
交換サービスの対象外:
- Exchangeパートナーのシステムの脆弱性(Exchangeパートナーに直接報告してください)
- 市場の状況やExchangeパートナーのAPIの挙動による交換レートの差異
- Exchangeパートナーの停止や利用不能