安全
负责任披露。
最后更新：2026 年四月 13 日。
Coinomi 重视安全研究人员为提升我们产品和服务的安全性所做的工作。我们致力于与社区合作，核实、复现并回应合理提交的漏洞。我们鼓励社区参与我们的负责任披露流程。
报告漏洞
如果你是安全研究人员，想报告漏洞，请发送邮件至：security@coinomi.com
每份报告请附上你的姓名、联系方式和公司名称（如适用）。加密的报告会被优先处理，因此请在报告中附上你的 PGP 公钥。
负责任披露准则
我们会调查合理的报告，并尽一切努力尽快修复任何已确认的漏洞。为鼓励负责任的报告，我们承诺：只要你遵守以下准则，我们不会对你采取法律行动，也不会请执法部门调查你：
- 提供漏洞的详细信息，包括复现和验证漏洞所需的信息，以及概念验证 (POC)。
- 本着善意，尽力避免侵犯隐私、破坏数据，以及中断或降低我们服务的质量。
- 不要修改或访问不属于你的数据。
- 在公开任何信息之前，给我们合理的时间来修复问题。
- 我们只接受针对 Coinomi 独家提供的服务的报告，不接受针对任何第三方服务的报告。
我们会尽一切努力在 1 到 2 个工作日内回复你的披露。
未完全遵守上述准则的披露，不具备领取赏金或享受本文所述任何保障的资格。
应用：在范围内
我们主要关注可能让攻击者通过 Coinomi 应用入侵钱包和/或加密资产的漏洞。
范围内的漏洞：
- 绕过 PIN 码或生物识别（操作系统原生提供的功能除外）
- 绕过签署交易时的用户确认
- 通过内存访问、网络流量、设备本地存储等造成的敏感数据泄露
- 依赖树 / 供应链攻击
- 与 BIP-39/32/44 派生和椭圆曲线相关的密码学漏洞
应用的范围外内容：
- 未加密的 Firebase 服务令牌
网站：在范围内
我们关注基础设施中的严重漏洞，包括前端和后端。
网站的范围外内容：
- SPF/DMARC 记录的有无
- 缺少 CSRF 令牌
- 点击劫持和 tabnabbing 问题
- 缺少安全响应头，但不会直接导致漏洞
- 缺少最佳实践（我们需要安全漏洞的证据）
- 自动化工具或扫描的报告
- 不安全的 SSL/TLS 密码套件报告（除非你有可用的概念验证）
- 没有速率限制
- 过时的软件，但没有值得注意的漏洞
- 失效链接
- 第三方服务中的漏洞（例如 Zendesk、X/Twitter）：请直接向它们报告
兑换服务：在范围内
对于 Coinomi Exchange 聚合服务，我们另外关注：
- 可能允许操纵所显示汇率或费用的漏洞
- 可能把用户资金转到攻击者控制地址的漏洞
- 与兑换合作伙伴之间 API 集成层的漏洞
- 可能暴露用户交易细节、超出我们隐私政策所述范围的信息泄露
兑换服务的范围外内容：
- 兑换合作伙伴系统中的漏洞（请直接向该合作伙伴报告）
- 由市场状况或兑换合作伙伴 API 行为造成的汇率差异
- 兑换合作伙伴的停机或不可用