Il programmatore Warith Al Maawali ha scoperto una violazione della sicurezza nel portafoglio di criptovalute Coinomi, a seguito della quale il portafoglio crypto Coinomi invia le frasi di accesso degli utenti al servizio di controllo ortografico di Google in forma non crittografata, aprendo così l'accesso per i truffatori a informazioni private e dando loro l'opportunità di appropriarsi dei fondi degli utenti. Questa violazione della sicurezza del portafoglio è stata scoperta durante l'indagine sul misterioso furto del 90% dei fondi del programmatore. Al Maawali ha scoperto che durante la configurazione del portafoglio Coinomi, quando gli utenti inseriscono la frase mnemonica (seed), l'applicazione Coinomi cattura i dati di testo inseriti dall'utente e li invia automaticamente al servizio API di Google Spellcheck per la verifica ortografica in forma chiara. "Per capire cosa sta succedendo, lo spiegherò tecnicamente," dice Al Maawali. "l'interfaccia del portafoglio è scritta in HTML e Java Script ed è renderizzata utilizzando un browser integrato basato su Chromium."
Come qualsiasi altra applicazione basata su Chromium, l'applicazione wallet è integrata con varie funzionalità orientate a Google, come la funzione di correzione automatica per tutti i campi di input testuale dell'utente. Sembra che il problema sia che il team di Coinomi non si sia preoccupato di disabilitare questa funzione nel codice dell'interfaccia utente del loro wallet, il che ha portato a una situazione in cui le frasi di backup di tutti i wallet dei loro utenti venivano trasmesse in chiaro su HTTP durante il processo di installazione e configurazione del wallet. Chiunque fosse in grado di intercettare il traffico web dall'applicazione wallet sarebbe stato in grado di vedere la frase seed dell'applicazione wallet Coinomi in forma non crittografata. Questa frase consente agli attaccanti di accedere, utilizzando la funzione di recupero, a tutti i fondi memorizzati nel wallet dell'utente.
E sebbene Al Maawali non abbia prove conclusive che sia esattamente in questo modo che gli hacker hanno ottenuto accesso ai suoi dati, afferma che solo i fondi che erano memorizzati nel wallet Coinomi sono stati rubati, e quindi non vede altro modo per rubare la criptovaluta se non attraverso l'accesso alla frase mnemonica di Coinomi. "Chiunque sia coinvolto nella tecnologia e nella criptovaluta sa che (…) 12 parole inglesi casuali separate da spazi sono probabilmente una passphrase per un wallet di criptovaluta," ha detto Al Maawali.
Il ricercatore ha creato un sito web dedicato dove ha descritto il problema e l'esperimento che ha condotto nel tentativo di far riconoscere a Coinomi la vulnerabilità. Ha anche pubblicato un video di prova di concetto, che è stato successivamente verificato e riprodotto in modo indipendente da Luke Childs, un ricercatore di sicurezza.
Coinomi, che offre un'applicazione di portafoglio multi-criptovaluta per Android, iOS, Linux, Mac e Windows, non ha risposto alla richiesta dell'utente colpito con un'offerta di risarcimento per i fondi rubati. Tuttavia, una versione aggiornata dell'applicazione è apparsa il giorno successivo all'appello dell'utente. Al Maawali afferma di aver perso tra i 60.000 e i 70.000 dollari statunitensi in varie criptovalute. La sua versione del furto di fondi è confermata da altri messaggi nel thread di Coinomi sul forum di Reddit, dove gli utenti si lamentano di essersi svegliati un giorno e di aver scoperto che tutti i loro portafogli Coinomi erano stati svuotati durante la notte.
