Ответственное раскрытие

Coinomi ценит работу исследователей безопасности, которые помогают сделать наши продукты и услуги надёжнее. Мы готовы вместе с сообществом проверять, воспроизводить и отрабатывать обоснованные сообщения об уязвимостях. Приглашаем сообщество принять участие в нашем процессе ответственного раскрытия.

Как сообщить об уязвимости

Если вы исследователь безопасности и хотите сообщить об уязвимости, напишите на адрес: security@coinomi.com

В каждом сообщении указывайте своё имя, контактные данные и название компании (если применимо). Зашифрованные сообщения рассматриваются в приоритетном порядке, поэтому приложите к сообщению свой открытый ключ PGP.

Скачать PGP-ключ Coinomi

Правила ответственного раскрытия

Мы изучим обоснованные сообщения и приложим все усилия, чтобы быстро устранить подтверждённые уязвимости. Чтобы поощрять ответственное сообщение о проблемах, мы обязуемся не подавать на вас в суд и не просить правоохранительные органы проводить в отношении вас расследование, если вы соблюдаете следующие правила:

Опишите уязвимость подробно, включая сведения, необходимые для её воспроизведения и подтверждения, и приложите доказательство концепции (POC).
Добросовестно старайтесь не нарушать конфиденциальность, не уничтожать данные и не нарушать и не ухудшать работу наших сервисов.
Не меняйте чужие данные и не получайте к ним доступ.
Дайте нам разумное время на устранение проблемы, прежде чем публиковать какие-либо сведения.
Мы принимаем сообщения только о сервисах, которые предоставляет исключительно Coinomi, а не третьи стороны.

Мы постараемся ответить на ваше сообщение в течение 1-2 рабочих дней.

На сообщения, не полностью соответствующие этим правилам, не распространяются вознаграждения и любые изложенные здесь гарантии.

Приложения: в области действия

Нас прежде всего интересуют уязвимости, которые позволили бы злоумышленникам скомпрометировать кошельки и (или) криптоактивы в приложениях Coinomi.

Уязвимости в области действия:

Обход PIN-кода или биометрии, кроме функций, предоставляемых самой операционной системой
Обход подтверждения пользователя при подписании транзакции
Утечки данных через доступ к памяти, сетевой трафик, локальное хранилище и т. д.
Атаки на дерево зависимостей и цепочку поставок
Криптографические уязвимости, связанные с деривацией BIP-39/32/44 и эллиптическими кривыми

Вне области действия для приложений:

Незашифрованные служебные токены Firebase

Сайты: в области действия

Нас интересуют критические уязвимости в нашей инфраструктуре, включая фронтенд и бэкенд.

Вне области действия для сайтов:

Наличие или отсутствие записей SPF/DMARC
Отсутствие токенов CSRF
Проблемы кликджекинга и tabnabbing
Отсутствующие заголовки безопасности, не ведущие напрямую к уязвимости
Несоблюдение лучших практик (нужны доказательства уязвимости)
Отчёты автоматических инструментов и сканеров
Сообщения о небезопасных шифрах SSL/TLS (если у вас нет рабочего доказательства концепции)
Отсутствие rate limiting
Устаревшее ПО без существенной уязвимости
Битые ссылки
Уязвимости в сторонних сервисах (например, Zendesk, X/Twitter): сообщайте о них напрямую их владельцам

Сервис обмена: в области действия

Для агрегатора Coinomi Exchange нас дополнительно интересуют:

Уязвимости, позволяющие манипулировать отображаемыми курсами или комиссиями обмена
Уязвимости, позволяющие перенаправить средства пользователей на адреса, контролируемые злоумышленником
Уязвимости в слое API-интеграции с партнёрами по обмену
Утечки информации, раскрывающие детали транзакций пользователей сверх описанного в нашей Политике конфиденциальности

Вне области действия для сервиса обмена:

Уязвимости в системах партнёров по обмену (сообщайте напрямую партнёру)
Расхождения курсов из-за рыночных условий или поведения API партнёра по обмену
Простои и недоступность партнёра по обмену

Ответственное раскрытие.