प्रोग्रामर वारिथ अल मावाली ने Coinomi क्रिप्टोक्यूरेंसी वॉलेट में एक सुरक्षा उल्लंघन का पता लगाया है, जिसके परिणामस्वरूप Coinomi क्रिप्टो वॉलेट उपयोगकर्ताओं के पासवर्ड को अनएन्क्रिप्टेड रूप में Google स्पेल-चेक सेवा को भेजता है, जिससे धोखेबाजों को निजी जानकारी तक पहुंच मिलती है और उन्हें उपयोगकर्ताओं के फंड पर नियंत्रण पाने का अवसर मिलता है। वॉलेट की सुरक्षा में यह उल्लंघन प्रोग्रामर के फंड के 90% के रहस्यमय चोरी की जांच के दौरान खोजा गया। अल मावाली ने पाया कि Coinomi वॉलेट की सेटअप के दौरान, जब उपयोगकर्ता म्नेमोनिक वाक्यांश (बीज) दर्ज करते हैं, तो Coinomi एप्लिकेशन उपयोगकर्ता द्वारा दर्ज किए गए पाठ डेटा को कैप्चर करता है और इसे स्पेलिंग सत्यापन के लिए Google स्पेलचेक API सेवा को स्वचालित रूप से भेजता है। "यह समझने के लिए कि क्या हो रहा है, मैं इसे तकनीकी रूप से समझाऊंगा," अल मावाली कहते हैं। "वॉलेट इंटरफेस HTML और जावास्क्रिप्ट में लिखा गया है और इसे एक अंतर्निहित क्रोमियम-आधारित ब्राउज़र का उपयोग करके प्रस्तुत किया गया है।"
किसी अन्य क्रोमियम-आधारित एप्लिकेशन की तरह, वॉलेट एप्लिकेशन विभिन्न गूगल-उन्मुख सुविधाओं के साथ एकीकृत है, जैसे कि उपयोगकर्ता के सभी टेक्स्ट इनपुट फ़ील्ड के लिए स्वचालित वर्तनी जांच फ़ंक्शन। ऐसा प्रतीत होता है कि समस्या यह है कि Coinomi टीम ने अपने वॉलेट के उपयोगकर्ता इंटरफ़ेस कोड में इस फ़ंक्शन को बंद करने की परवाह नहीं की, जिसके परिणामस्वरूप सभी उपयोगकर्ताओं के वॉलेट के बैकअप वाक्यांश HTTP के माध्यम से वॉलेट स्थापना और सेटअप प्रक्रिया के दौरान लीक हो गए। जो कोई भी वॉलेट एप्लिकेशन से वेब ट्रैफ़िक को इंटरसेप्ट करने में सक्षम होगा, वह अनएन्क्रिप्टेड रूप में Coinomi वॉलेट एप्लिकेशन का बीज वाक्यांश देख सकेगा। यह वाक्यांश हमलावरों को पुनर्प्राप्ति फ़ंक्शन का उपयोग करके उपयोगकर्ता के वॉलेट में संग्रहीत सभी फंड्स तक पहुँचने की अनुमति देता है।
और हालांकि अल मावाली के पास यह साबित करने के लिए कोई ठोस सबूत नहीं है कि हैकर्स ने उसके डेटा तक पहुँचने के लिए यही तरीका अपनाया, वह दावा करता है कि केवल वही फंड्स जो Coinomi वॉलेट में संग्रहीत थे, चुराए गए, और इसलिए वह Coinomi म्नेमोनिक वाक्यांश तक पहुँच के बिना क्रिप्टोक्यूरेंसी चुराने का कोई अन्य तरीका नहीं देखता। "जो कोई भी प्रौद्योगिकी और क्रिप्टोक्यूरेंसी में शामिल है, वह जानता है कि (…) 12 यादृच्छिक अंग्रेजी शब्द जो स्पेस द्वारा अलग किए गए हैं, संभवतः एक क्रिप्टोक्यूरेंसी वॉलेट के लिए एक पासफ़्रेज़ हो सकते हैं," अल मावाली ने कहा।
शोधकर्ता ने एक समर्पित वेबसाइट बनाई जहां उसने समस्या और प्रयोग का वर्णन किया जो उसने Coinomi को कमजोरियों को स्वीकार करने के लिए किया। उसने एक प्रमाण-का-धारणा वीडियो भी प्रकाशित किया, जिसे बाद में सुरक्षा शोधकर्ता ल्यूक चाइल्ड्स द्वारा स्वतंत्र रूप से सत्यापित और पुन: निर्मित किया गया।
Coinomi, जो Android, iOS, Linux, Mac और Windows के लिए एक बहु-क्रिप्टोक्यूरेंसी वॉलेट एप्लिकेशन प्रदान करता है, प्रभावित उपयोगकर्ता के अनुरोध का उत्तर नहीं दिया जिसमें चोरी किए गए फंड के लिए मुआवजे की पेशकश की गई थी। हालांकि, उपयोगकर्ता की अपील के अगले दिन एप्लिकेशन का एक अपडेटेड संस्करण सामने आया। अल मावाली का दावा है कि उसने विभिन्न क्रिप्टोक्यूरेंसी में 60,000 से 70,000 अमेरिकी डॉलर के बीच खो दिए। फंड की चोरी का उनका संस्करण Reddit फोरम पर Coinomi थ्रेड में अन्य संदेशों द्वारा पुष्टि की गई है, जहां उपयोगकर्ता शिकायत करते हैं कि एक दिन वे जागे और पाया कि उनकी सभी Coinomi वॉलेट रातोंरात खाली हो गई थीं।
