Programista Warith Al Maawali odkrył lukę w zabezpieczeniach portfela kryptowalutowego Coinomi, w wyniku której portfel Coinomi wysyła hasła użytkowników do usługi sprawdzania pisowni Google w postaci niezaszyfrowanej, co otwiera dostęp dla oszustów do prywatnych informacji i daje im możliwość przejęcia funduszy użytkowników. Ta luka w zabezpieczeniach portfela została odkryta podczas śledztwa w sprawie tajemniczej kradzieży 90% funduszy programisty. Al Maawali odkrył, że podczas konfiguracji portfela Coinomi, gdy użytkownicy wprowadzają frazę mnemoniczna (seed), aplikacja Coinomi przechwytuje wprowadzone przez użytkownika dane tekstowe i automatycznie wysyła je do usługi API Google Spellcheck w celu weryfikacji pisowni w postaci jawnej. "Aby zrozumieć, co się dzieje, wyjaśnię to technicznie," mówi Al Maawali. "interfejs portfela jest napisany w HTML i Java Script i jest renderowany za pomocą wbudowanej przeglądarki opartej na Chromium."
Jak każda inna aplikacja oparta na Chromium, aplikacja portfela jest zintegrowana z różnymi funkcjami związanymi z Google, takimi jak automatyczna funkcja sprawdzania pisowni dla wszystkich pól tekstowych użytkownika. Wydaje się, że problem polega na tym, że zespół Coinomi nie zadał sobie trudu, aby wyłączyć tę funkcję w kodzie interfejsu użytkownika swojego portfela, co doprowadziło do sytuacji, w której frazy zapasowe wszystkich portfeli ich użytkowników wyciekały przez HTTP podczas instalacji i konfiguracji portfela. Każdy, kto mógłby przechwycić ruch internetowy z aplikacji portfela, mógłby zobaczyć frazę seed aplikacji portfela Coinomi w postaci niezaszyfrowanej. Ta fraza pozwala atakującym uzyskać dostęp, korzystając z funkcji odzyskiwania, do wszystkich środków przechowywanych w portfelu użytkownika.
I chociaż Al Maawali nie ma niepodważalnych dowodów na to, że to właśnie w ten sposób hakerzy uzyskali dostęp do jego danych, twierdzi, że tylko te środki, które były przechowywane w portfelu Coinomi, zostały skradzione, a zatem nie widzi innego sposobu na kradzież kryptowaluty, jak tylko poprzez dostęp do frazy mnemonicznej Coinomi. "Każdy, kto ma do czynienia z technologią i kryptowalutami, wie, że (…) 12 losowych angielskich słów oddzielonych spacjami prawdopodobnie stanowi hasło do portfela kryptowalutowego," powiedział Al Maawali.
Badacz stworzył dedykowaną stronę internetową, na której opisał problem oraz eksperyment, który przeprowadził, próbując skłonić Coinomi do uznania luki. Opublikował również film z dowodem koncepcji, który później został niezależnie zweryfikowany i odtworzony przez Luke'a Childsa, badacza bezpieczeństwa.
Coinomi, który oferuje aplikację portfela wielowalutowego dla Androida, iOS, Linuksa, Maca i Windows, nie odpowiedział na prośbę poszkodowanego użytkownika z ofertą rekompensaty za skradzione środki. Jednak zaktualizowana wersja aplikacji pojawiła się już następnego dnia po apelacji użytkownika. Al Maawali twierdzi, że stracił od 60 000 do 70 000 dolarów amerykańskich w różnych kryptowalutach. Jego wersja kradzieży środków jest potwierdzona przez inne wiadomości w wątku Coinomi na forum Reddit, gdzie użytkownicy skarżą się, że pewnego dnia obudzili się i odkryli, że wszystkie ich portfele Coinomi zostały opróżnione z nocy.
