Odpowiedzialne ujawnianie.
Ostatnia aktualizacja: 13 kwietnia 2026.
Coinomi ceni pracę badaczy bezpieczeństwa, którzy pomagają ulepszać zabezpieczenia naszych produktów i usług. Zobowiązujemy się współpracować ze społecznością przy weryfikowaniu, odtwarzaniu i obsłudze uzasadnionych zgłoszeń luk. Zachęcamy społeczność do udziału w naszym procesie odpowiedzialnego ujawniania.
Zgłaszanie luki
Jeśli jesteś badaczem bezpieczeństwa i chcesz zgłosić lukę, wyślij e-mail na adres: security@coinomi.com
Do każdego zgłoszenia dołącz imię i nazwisko, dane kontaktowe i nazwę firmy (jeśli dotyczy). Priorytet mają zgłoszenia szyfrowane, więc dołącz do zgłoszenia swój klucz publiczny PGP.
Zasady odpowiedzialnego ujawniania
Zbadamy uzasadnione zgłoszenia i zrobimy wszystko, by szybko naprawić każdą potwierdzoną lukę. Aby zachęcić do odpowiedzialnych zgłoszeń, zobowiązujemy się nie podejmować wobec ciebie kroków prawnych ani nie prosić organów ścigania o wszczęcie postępowania, jeśli przestrzegasz poniższych zasad:
- Podaj szczegóły luki, w tym informacje potrzebne do jej odtworzenia i potwierdzenia oraz dowód koncepcji (POC).
- Dołóż starań w dobrej wierze, by unikać naruszeń prywatności, niszczenia danych oraz zakłócania lub pogarszania działania naszych usług.
- Nie zmieniaj danych, które do ciebie nie należą, i nie uzyskuj do nich dostępu.
- Daj nam rozsądny czas na naprawę problemu, zanim upublicznisz jakiekolwiek informacje.
- Przyjmujemy zgłoszenia tylko dotyczące usług świadczonych wyłącznie przez Coinomi, a nie przez podmioty trzecie.
Dołożymy wszelkich starań, by odpowiedzieć na zgłoszenie w ciągu 1 do 2 dni roboczych.
Zgłoszenia, które nie spełniają w pełni powyższych zasad, nie kwalifikują się do nagród ani żadnych zapewnień opisanych tutaj.
Aplikacje: w zakresie
Interesują nas głównie luki, które pozwoliłyby atakującym naruszyć portfele lub aktywa krypto z poziomu aplikacji Coinomi.
Luki w zakresie:
- Obejście kodu PIN lub biometrii, z wyłączeniem funkcji zapewnianych natywnie przez system operacyjny
- Obejście potwierdzenia użytkownika przy podpisywaniu transakcji
- Wycieki danych wrażliwych przez dostęp do pamięci, ruch sieciowy, lokalny magazyn urządzenia itp.
- Ataki na drzewo zależności i łańcuch dostaw
- Luki kryptograficzne związane z derywacją BIP-39/32/44 i krzywymi eliptycznymi
Poza zakresem dla aplikacji:
- Niezaszyfrowane tokeny usług Firebase
Strony WWW: w zakresie
Interesują nas krytyczne luki w naszej infrastrukturze, w tym we froncie i backendzie.
Poza zakresem dla stron WWW:
- Obecność lub brak rekordów SPF/DMARC
- Brak tokenów CSRF
- Problemy z clickjackingiem i tabnabbingiem
- Brakujące nagłówki bezpieczeństwa, które nie prowadzą bezpośrednio do luki
- Brak najlepszych praktyk (wymagamy dowodu luki w zabezpieczeniach)
- Zgłoszenia z narzędzi automatycznych lub skanów
- Zgłoszenia niebezpiecznych szyfrów SSL/TLS (chyba że masz działający dowód koncepcji)
- Brak ograniczania liczby żądań
- Nieaktualne oprogramowanie bez istotnej luki
- Martwe linki
- Luki w usługach firm trzecich (np. Zendesk, X/Twitter): zgłaszaj je bezpośrednio do nich
Usługa wymiany: w zakresie
W przypadku agregatora Coinomi Exchange interesują nas dodatkowo:
- Luki, które mogłyby pozwolić na manipulację wyświetlanymi kursami wymiany lub opłatami
- Luki, które mogłyby przekierować środki użytkowników na adresy kontrolowane przez atakującego
- Luki w warstwie integracji API z partnerami wymiany
- Wycieki informacji, które mogłyby ujawnić szczegóły transakcji użytkowników ponad to, co opisuje nasza Polityka prywatności
Poza zakresem dla usługi wymiany:
- Luki w systemach partnerów wymiany (zgłaszaj bezpośrednio partnerowi wymiany)
- Rozbieżności kursów wymiany wynikające z warunków rynkowych lub działania API partnera wymiany
- Przestoje lub niedostępność partnera wymiany