O programador Warith Al Maawali descobriu uma violação de segurança na carteira de criptomoedas Coinomi, como resultado da qual a carteira Coinomi envia as frases de acesso dos usuários para o serviço de verificação ortográfica do Google em forma não criptografada, abrindo assim o acesso para golpistas a informações privadas e dando-lhes a oportunidade de assumir os fundos dos usuários. Essa violação na segurança da carteira foi descoberta durante a investigação do misterioso roubo de 90% dos fundos do programador. Al Maawali descobriu que durante a configuração da carteira Coinomi, quando os usuários inserem a frase mnemônica (seed), o aplicativo Coinomi captura os dados de texto inseridos pelo usuário e os envia automaticamente para o serviço API de verificação ortográfica do Google para verificação ortográfica em forma simples. "Para entender o que está acontecendo, vou explicar tecnicamente," diz Al Maawali. "a interface da carteira é escrita em HTML e Java Script e é renderizada usando um navegador embutido baseado em Chromium."
Como qualquer outro aplicativo baseado em Chromium, o aplicativo de carteira está integrado com vários recursos voltados para o Google, como a função de verificação ortográfica automática para todos os campos de entrada de texto do usuário. Parece que o problema é que a equipe da Coinomi não se preocupou em desativar essa função no código da interface do usuário de sua carteira, o que levou a uma situação em que as frases de backup de todas as carteiras de seus usuários estavam vazando via HTTP durante o processo de instalação e configuração da carteira. Qualquer um que conseguisse interceptar o tráfego da web do aplicativo de carteira seria capaz de ver a frase-semente do aplicativo de carteira Coinomi em forma não criptografada. Essa frase permite que atacantes ganhem acesso, usando a função de recuperação, a todos os fundos armazenados na carteira do usuário.
E embora Al Maawali não tenha provas conclusivas de que foi exatamente assim que os hackers obtiveram acesso aos seus dados, ele afirma que apenas os fundos que estavam armazenados na carteira Coinomi foram roubados e, portanto, não vê outra maneira de roubar a criptomoeda, exceto através do acesso à frase mnemônica da Coinomi. "Qualquer um envolvido em tecnologia e criptomoeda sabe que (…) 12 palavras aleatórias em inglês separadas por espaços provavelmente são uma senha para uma carteira de criptomoeda," disse Al Maawali.
O pesquisador criou um site dedicado onde descreveu o problema e o experimento que conduziu na tentativa de fazer com que a Coinomi reconhecesse a vulnerabilidade. Ele também publicou um vídeo de prova de conceito, que foi posteriormente verificado e reproduzido de forma independente por Luke Childs, um pesquisador de segurança.
A Coinomi, que oferece um aplicativo de carteira multi-criptomoeda para Android, iOS, Linux, Mac e Windows, não respondeu ao pedido do usuário afetado com uma oferta de compensação pelos fundos roubados. No entanto, uma versão atualizada do aplicativo apareceu no dia seguinte ao apelo do usuário. Al Maawali afirma que perdeu entre 60.000 e 70.000 dólares americanos em várias criptomoedas. Sua versão do roubo de fundos é confirmada por outras mensagens no tópico da Coinomi no fórum Reddit, onde os usuários reclamam que um dia acordaram e descobriram que todas as suas carteiras Coinomi haviam sido esvaziadas durante a noite.
