Der Programmierer Warith Al Maawali hat eine Sicherheitslücke in der Coinomi-Kryptowährungs-Wallet entdeckt, durch die die Coinomi-Krypto-Wallet die Passphrasen der Benutzer unverschlüsselt an den Google-Rechtschreibprüfungsdienst sendet, wodurch Betrüger Zugang zu privaten Informationen erhalten und die Möglichkeit haben, die Gelder der Benutzer zu übernehmen. Diese Sicherheitslücke in der Wallet wurde während der Untersuchung des mysteriösen Diebstahls von 90 % der Gelder des Programmierers entdeckt. Al Maawali stellte fest, dass während der Einrichtung der Coinomi-Wallet, wenn Benutzer die mnemonische Phrase (Seed) eingeben, die Coinomi-Anwendung die eingegebenen Textdaten erfasst und automatisch an den Google Spellcheck API-Dienst zur Rechtschreibprüfung in unverschlüsselter Form sendet. "Um zu verstehen, was passiert, werde ich es technisch erklären," sagt Al Maawali. "Die Wallet-Oberfläche ist in HTML und Java Script geschrieben und wird mit einem integrierten, auf Chromium basierenden Browser gerendert."
Wie jede andere auf Chromium basierende Anwendung ist die Wallet-Anwendung mit verschiedenen Google-orientierten Funktionen integriert, wie z. B. der automatischen Rechtschreibprüfung für alle Texteingabefelder des Benutzers. Es scheint, dass das Problem darin besteht, dass das Coinomi-Team es versäumt hat, diese Funktion im Benutzeroberflächen-Code ihrer Wallet zu deaktivieren, was zu einer Situation führte, in der die Backup-Phrasen aller Wallets ihrer Benutzer über HTTP während des Installations- und Einrichtungsprozesses der Wallet geleakt wurden. Jeder, der den Webverkehr der Wallet-Anwendung abfangen kann, wäre in der Lage, die Seed-Phrase der Coinomi-Wallet-Anwendung in unverschlüsselter Form zu sehen. Diese Phrase ermöglicht es Angreifern, über die Wiederherstellungsfunktion auf alle in der Wallet des Benutzers gespeicherten Gelder zuzugreifen.
Und obwohl Al Maawali keinen schlüssigen Beweis dafür hat, dass dies genau der Weg ist, wie die Hacker Zugriff auf seine Daten erlangt haben, behauptet er, dass nur die Gelder, die in der Coinomi-Wallet gespeichert waren, gestohlen wurden, und daher sieht er keinen anderen Weg, die Kryptowährung zu stehlen, außer durch den Zugriff auf die Coinomi-Mnemonik-Phrase. "Jeder, der sich mit Technologie und Kryptowährung auskennt, weiß, dass (…) 12 zufällige englische Wörter, die durch Leerzeichen getrennt sind, wahrscheinlich ein Passwort für eine Kryptowährungs-Wallet sind," sagte Al Maawali.
Der Forscher erstellte eine spezielle Website, auf der er das Problem und das Experiment beschrieb, das er durchgeführt hatte, um Coinomi dazu zu bringen, die Schwachstelle anzuerkennen. Er veröffentlichte auch ein Proof-of-Concept-Video, das später unabhängig von Luke Childs, einem Sicherheitsforscher, verifiziert und reproduziert wurde.
Coinomi, das eine Multi-Kryptowährungs-Wallet-Anwendung für Android, iOS, Linux, Mac und Windows anbietet, reagierte nicht auf die Anfrage des betroffenen Nutzers mit einem Angebot zur Entschädigung für die gestohlenen Gelder. Allerdings erschien am Tag nach dem Appell des Nutzers eine aktualisierte Version der Anwendung. Al Maawali behauptet, dass er zwischen 60.000 und 70.000 US-Dollar in verschiedenen Kryptowährungen verloren hat. Seine Version des Diebstahls von Geldern wird durch andere Nachrichten im Coinomi-Thread im Reddit-Forum bestätigt, wo Nutzer sich beschweren, dass sie eines Tages aufwachten und entdeckten, dass alle ihre Coinomi-Wallets über Nacht leergeräumt worden waren.
