Seed-фразы от криптокошельков Coinomi улетали прямо в руки хакерам. Есть жертва

Очередной провал в безопасности и на этот раз в криптокошельке Coinomi, на который пользователь с ником warith захотел перевести свои сбережения, не поддерживаемые в кошельке Exodus.

В итоге, использую ту же seed-фразу в обоих кошельках, клиент открыл доступ к хранилищу хакеру, который успешно украл у него порядка $70 тыс. в криптовалюте. Произошло это буквально через пару дней после того, как warith раскрыл свою seed-фразу в десктопной версии кошелька Coinomi и у него пропали токены BTC, ETH, LTC, а также BCH и некоторые другие токены стандарта ERC20.

Стоит отметить, что у пользователя осталась лишь жалкая кучка криптовалют, которые не поддерживает кошелек Coinomi.
Не дожидаясь помощи от разработчиков, пользователь собственноручно отследил трафик, который исходил из приложения и выяснил, что все слова, которые он вводил в поле с seed-фразой отправлялись на проверку грамматики на адрес googleapis.com.

ТОП-3 трейдеры

1

Vantira

Проверен

4.80

4.80

Отзывы 15 Обзор

2

ChartLine

Проверен

4.71

4.71

Отзывы 15 Обзор

3

Курс Достижений

Проверен

4.65

4.65

Отзывы 15 Обзор

Позже warith написал, что все держатели крипто-активов в курсе того, что двенадцать слов на английском языке могут служить seed-фразой, которая открывает доступ к сбережениям на криптокошельке. Хакер, получивший доступ к HTTP-запросам или сотрудник Google, работающий с сервисом googleapis с помощью этого и украли крипто-активы.

В ответ на сообщения пользователя сотрудники Coinomi лишь уклонялись от ответственности, на что warith заявил о возбуждении уголовного дела в случае продолжения подобного наплевательского отношения.

Позже, в одном из интервью, сотрудник криптокошелька признал уязвимость и заявил, что на данный момент она уже исправлена командой разработчиков. Он добавил, что все вводимые seed-фразы проверялись на правописание локально, а запросы в Google были зашифрованы и не обрабатывались вовсе.