Sorumlu bildirim

Coinomi, güvenlik araştırmacılarının ürün ve hizmetlerimizin güvenliğini artırmak için yaptığı çalışmaya değer verir. Bildirilen meşru açıkları doğrulamak, yeniden üretmek ve yanıtlamak için toplulukla çalışmaya kararlıyız. Topluluğu sorumlu bildirim sürecimize katılmaya teşvik ediyoruz.

Güvenlik açığı bildirme

Bir güvenlik araştırmacısıysanız ve bir açık bildirmek istiyorsanız, lütfen şu adrese e-posta gönderin: security@coinomi.com

Lütfen her bildirimle birlikte adınızı, iletişim bilgilerinizi ve (varsa) şirket adınızı verin. Şifreli bildirimlere öncelik verilir, bu yüzden bildirimle birlikte PGP açık anahtarınızı da ekleyin.

Coinomi PGP anahtarını indir

Sorumlu bildirim kuralları

Meşru bildirimleri inceleyeceğiz ve doğrulanan her açığı hızla gidermek için elimizden geleni yapacağız. Sorumlu bildirimi teşvik etmek için, aşağıdaki kurallara uymanız halinde size karşı yasal işlem yapmayacağımızı ve kolluk kuvvetlerinden sizi soruşturmasını istemeyeceğimizi taahhüt ederiz:

Açığın ayrıntılarını verin; açığı yeniden üretmek ve doğrulamak için gereken bilgileri ve bir Kavram Kanıtı (POC) ekleyin.
Gizlilik ihlallerinden, veri kaybından ve hizmetlerimizin kesintiye uğramasından ya da bozulmasından kaçınmak için iyi niyetle çaba gösterin.
Size ait olmayan verileri değiştirmeyin veya bunlara erişmeyin.
Herhangi bir bilgiyi kamuya açmadan önce sorunu gidermemiz için makul bir süre tanıyın.
Yalnızca Coinomi'nin tek başına sunduğu hizmetler için bildirim kabul ederiz; üçüncü tarafların hizmetleri için kabul etmeyiz.

Bildiriminize 1 ila 2 iş günü içinde yanıt vermek için elimizden geleni yapacağız.

Yukarıdaki kurallara tam uymayan bildirimler ödüller veya burada anlatılan güvencelerden yararlanamaz.

Uygulamalar: kapsamda

Başlıca, saldırganların Coinomi uygulamalarından cüzdanları ve/veya kripto varlıklarını ele geçirmesine izin verecek açıklarla ilgileniyoruz.

Kapsamdaki açıklar:

PIN veya biyometrik doğrulamanın atlatılması (işletim sisteminin yerel olarak sunduğu işlevler hariç)
Bir işlemi imzalamak için kullanıcı onayının atlatılması
Bellek erişimi, ağ trafiği, cihazın yerel depolaması vb. yoluyla hassas veri sızıntıları
Bağımlılık ağacı / tedarik zinciri saldırıları
BIP-39/32/44 türetmesi ve eliptik eğrilerle ilgili kriptografi açıkları

Uygulamalar için kapsam dışı:

Şifrelenmemiş Firebase hizmet belirteçleri

Web siteleri: kapsamda

Ön ve arka uç dahil altyapımızdaki kritik açıklarla ilgileniyoruz.

Web siteleri için kapsam dışı:

SPF/DMARC kayıtlarının varlığı veya yokluğu
CSRF belirteçlerinin olmaması
Clickjacking ve tabnabbing sorunları
Doğrudan bir açığa yol açmayan eksik güvenlik başlıkları
Eksik en iyi uygulamalar (bir güvenlik açığına dair kanıt isteriz)
Otomatik araçların veya taramaların bildirimleri
Güvensiz SSL/TLS şifrelerinin bildirimleri (çalışan bir kavram kanıtınız yoksa)
Hız sınırlamasının olmaması
Kayda değer bir açığı olmayan eski yazılımlar
Bozuk bağlantılar
Üçüncü taraf hizmetlerdeki açıklar (ör. Zendesk, X/Twitter): bunları doğrudan onlara bildirin

Borsa hizmeti: kapsamda

Coinomi Exchange toplayıcı hizmeti için ayrıca şunlarla ilgileniyoruz:

Gösterilen takas kurlarının veya ücretlerin manipüle edilmesine izin verebilecek açıklar
Kullanıcı fonlarını saldırganın kontrolündeki adreslere yönlendirebilecek açıklar
Borsa Ortakları ile API entegrasyon katmanındaki açıklar
Kullanıcı işlem ayrıntılarını Gizlilik Politikamızda anlatılanın ötesinde ifşa edebilecek bilgi sızıntıları

Borsa hizmeti için kapsam dışı:

Borsa Ortağı sistemlerindeki açıklar (doğrudan Borsa Ortağına bildirin)
Piyasa koşullarından veya Borsa Ortağı API davranışından kaynaklanan kur farkları
Borsa Ortağının kesintisi veya erişilemezliği

Sorumlu bildirim.