Le programmeur Warith Al Maawali a découvert une faille de sécurité dans le portefeuille de cryptomonnaie Coinomi, à la suite de laquelle le portefeuille crypto Coinomi envoie les phrases de passe des utilisateurs au service de vérification orthographique de Google sous forme non chiffrée, ouvrant ainsi l'accès aux escrocs à des informations privées et leur donnant l'opportunité de prendre le contrôle des fonds des utilisateurs. Cette faille de sécurité du portefeuille a été découverte lors de l'enquête sur le vol mystérieux de 90 % des fonds du programmeur. Al Maawali a découvert que lors de la configuration du portefeuille Coinomi, lorsque les utilisateurs saisissent la phrase mnémotechnique (seed), l'application Coinomi capture les données textuelles saisies par l'utilisateur et les envoie automatiquement au service API de vérification orthographique de Google pour vérification de l'orthographe sous forme claire. "Pour comprendre ce qui se passe, je vais l'expliquer techniquement," dit Al Maawali. "l'interface du portefeuille est écrite en HTML et Java Script et est rendue à l'aide d'un navigateur intégré basé sur Chromium."
Comme toute autre application basée sur Chromium, l'application de portefeuille est intégrée à diverses fonctionnalités orientées vers Google, telles que la fonction de correction automatique pour tous les champs de saisie de texte de l'utilisateur. Il semble que le problème soit que l'équipe de Coinomi n'a pas pris la peine de désactiver cette fonction dans le code de l'interface utilisateur de leur portefeuille, ce qui a conduit à une situation où les phrases de sauvegarde de tous les portefeuilles de leurs utilisateurs fuyaient par HTTP pendant le processus d'installation et de configuration du portefeuille. Quiconque capable d'intercepter le trafic web de l'application de portefeuille pourrait voir la phrase de récupération de l'application de portefeuille Coinomi sous forme non chiffrée. Cette phrase permet aux attaquants d'accéder, en utilisant la fonction de récupération, à tous les fonds stockés dans le portefeuille de l'utilisateur.
Et bien qu'Al Maawali n'ait aucune preuve concluante que c'est exactement ainsi que les hackers ont accédé à ses données, il affirme que seuls les fonds qui étaient stockés dans le portefeuille Coinomi ont été volés, et par conséquent, il ne voit pas d'autre moyen de voler la cryptomonnaie sauf par l'accès à la phrase mnémotechnique Coinomi. "Quiconque impliqué dans la technologie et la cryptomonnaie sait que (…) 12 mots anglais aléatoires séparés par des espaces sont susceptibles d'être une phrase de passe pour un portefeuille de cryptomonnaie," a déclaré Al Maawali.
Le chercheur a créé un site web dédié où il a décrit le problème et l'expérience qu'il a menée pour essayer d'amener Coinomi à reconnaître la vulnérabilité. Il a également publié une vidéo de preuve de concept, qui a ensuite été vérifiée et reproduite de manière indépendante par Luke Childs, un chercheur en sécurité.
Coinomi, qui propose une application de portefeuille multi-cryptomonnaies pour Android, iOS, Linux, Mac et Windows, n'a pas répondu à la demande de l'utilisateur affecté avec une offre de compensation pour les fonds volés. Cependant, une version mise à jour de l'application est apparue le lendemain même de l'appel de l'utilisateur. Al Maawali affirme qu'il a perdu entre 60 000 et 70 000 dollars américains en diverses cryptomonnaies. Sa version du vol de fonds est confirmée par d'autres messages dans le fil Coinomi sur le forum Reddit, où les utilisateurs se plaignent qu'un jour, ils se sont réveillés et ont découvert que tous leurs portefeuilles Coinomi avaient été vidés pendant la nuit.
