Пользователь форума Bitcointalk под ником warith рассказал историю о том, как он потерял $60 000 – $70 000 из-за уязвимости популярного криптовалютного кошелька Coinomi.
Автор утверждает, что 14 февраля скачал и установил приложение Coinomi, после чего ввёл в его интерфейс кодовую фразу от своего основного кошелька на базе Exodus.
22 февраля пользователь заметил в интерфейсе Exodus, что 90% активов с его кошелька было выведено на различные адреса – сначала биткоины, затем ETH, ERC20-токены, LTC и, наконец, BCH. В кошельке остались только те активы, которые поддерживались Exodus, но не поддерживались Coinomi.
Проанализировав клиент Coinomi, автор выяснил, что весь интерфейс кошелька написан на HTML/JavaScript и отображается при помощи браузера на базе Chromium.
После этого пользователь ввёл случайную кодовую фразу в поле для восстановления кошелька и обнаружил, что в виде незашифрованного текста она была передана на адрес googleapis.com для проверки правописания. В качестве альтернативного метода проверки автор ввёл слово с орфографической ошибкой, которое, ожидаемо, было подчёркнуто красным.
Команда Coinomi официально не прокомментировала этот инцидент. Автор, однако, заявил, что она удалила свой комментарий к его претензии в Twitter и давала уклончивые ответы в личной переписке, добавив, что он намеревается предъявить компании исковые требования, если она продолжит избегать ответственности.
Позже, в разговоре с Trustnodes представитель Coinomi сообщил, что проблема касалась только десктопной версии кошелька и не затрагивала пользователей на мобильных устройствах. Он также утверждает, что запросы к Google были зашифрованными и некорректными, из-за чего Google они не обрабатывались. Проверка правописания осуществлялась локально, заявил представитель, добавив, что это неофициальный ответ, но официальный обязательно последует. По его словам, проблема была устранена 3 дня назад.
Будь в курсе! Подписывайся на Криптовалюта.Tech в Telegram.
Обсудить актуальные новости и события на Форуме