Se Descubrió una Vulnerabilidad en la Billetera Crypto Coinomi

El programador Warith Al Maawali ha descubierto una brecha de seguridad en la billetera de criptomonedas Coinomi, como resultado de la cual la billetera de criptomonedas Coinomi envía las frases de contraseña de los usuarios al servicio de verificación ortográfica de Google en forma no encriptada, abriendo así el acceso para los estafadores a información privada y dándoles la oportunidad de apoderarse de los fondos de los usuarios. Esta brecha en la seguridad de la billetera fue descubierta durante la investigación del misterioso robo del 90% de los fondos del programador. Al Maawali descubrió que durante la configuración de la billetera Coinomi, cuando los usuarios ingresan la frase mnemotécnica (semilla), la aplicación Coinomi captura los datos de texto ingresados por el usuario y los envía automáticamente al servicio API de verificación ortográfica de Google para la verificación de ortografía en forma simple. "Para entender lo que está sucediendo, lo explicaré técnicamente," dice Al Maawali. "la interfaz de la billetera está escrita en HTML y Java Script y se renderiza utilizando un navegador integrado basado en Chromium."

Como cualquier otra aplicación basada en Chromium, la aplicación de billetera está integrada con varias funciones orientadas a Google, como la función de corrección ortográfica automática para todos los campos de entrada de texto del usuario. Parece que el problema es que el equipo de Coinomi no se molestó en desactivar esta función en el código de la interfaz de usuario de su billetera, lo que llevó a una situación en la que las frases de respaldo de todas las billeteras de sus usuarios se filtraban a través de HTTP durante el proceso de instalación y configuración de la billetera. Cualquiera que pudiera interceptar el tráfico web de la aplicación de billetera podría ver la frase semilla de la aplicación de billetera Coinomi en forma no encriptada. Esta frase permite a los atacantes acceder, utilizando la función de recuperación, a todos los fondos almacenados en la billetera del usuario.

Y aunque Al Maawali no tiene pruebas concluyentes de que así fue como los hackers accedieron a sus datos, afirma que solo los fondos que estaban almacenados en la billetera Coinomi fueron robados, y por lo tanto no ve otra forma de robar la criptomoneda excepto a través del acceso a la frase mnemotécnica de Coinomi. "Cualquiera involucrado en tecnología y criptomonedas sabe que (…) 12 palabras aleatorias en inglés separadas por espacios son probablemente una frase de acceso para una billetera de criptomonedas", dijo Al Maawali.

El investigador creó un sitio web dedicado donde describió el problema y el experimento que realizó para intentar que Coinomi reconociera la vulnerabilidad. También publicó un video de prueba de concepto, que más tarde fue verificado y reproducido de forma independiente por Luke Childs, un investigador de seguridad.

Coinomi, que ofrece una aplicación de billetera multi-criptomoneda para Android, iOS, Linux, Mac y Windows, no respondió a la solicitud del usuario afectado con una oferta para compensar los fondos robados. Sin embargo, una versión actualizada de la aplicación apareció al día siguiente de la apelación del usuario. Al Maawali afirma que perdió entre 60,000 y 70,000 dólares estadounidenses en varias criptomonedas. Su versión del robo de fondos está confirmada por otros mensajes en el hilo de Coinomi en el foro de Reddit, donde los usuarios se quejan de que un día se despertaron y descubrieron que todas sus billeteras de Coinomi habían sido vaciadas durante la noche.