Sicherheit & Anti-Phishing
Policy version: 2026-07-16
Ihre Sicherheit ist wichtig. Diese Seite listet unsere offiziellen Domains und Social-Media-Kanäle auf, erklärt, wie Sie Phishing erkennen, und beschreibt, wie Sie Sicherheitsprobleme melden.
Offizielle Domains
CoinKirin betreibt ausschließlich die folgenden Domains. Alles andere sind nicht wir:
coinkirin.com— Hauptwebsite (öffentliche Nutzer).admin2030.coinkirin.com— Admin-Panel — nur Mitarbeiter. Reguläre Nutzer sollten sich hier niemals anmelden.api.coinkirin.com— Öffentliche REST-API.admin-api.coinkirin.com— Admin REST API (staff only).ws.coinkirin.com— WebSocket API.static.coinkirin.com— Statische Assets (Bilder, CSS, JS), ausgeliefert über CDN.
Wir fordern Sie niemals auf, sich über eine andere Domain anzumelden. Wenn die URL in Ihrem Browser keine der obigen ist, schließen Sie den Tab sofort.
Offizielle Social-Media-Kanäle
Unsere einzigen offiziellen Kanäle sind unten aufgeführt. Konten, die anderswo vorgeben, CoinKirin zu sein, sind Fälschungen:
- GitHub —
https://github.com/coinkirin
Phishing erkennen
Angreifer können sich als CoinKirin-Mitarbeiter oder ähnlich aussehende Domains ausgeben. Beachten Sie folgende Regeln:
- Wir werden Ihnen NIEMALS eine E-Mail senden, um nach Ihrer Seed-Phrase, Ihren Private Keys oder Ihrem Wallet-Passwort zu fragen. Wer das tut, ist ein Betrüger.
- Wir werden Sie NIEMALS zuerst über Telegram-, Discord- oder WhatsApp-DMs kontaktieren, um nach Geldern, Verifizierungen oder Zugangsdaten zu fragen.
- Prüfen Sie stets die Schreibweise der Domain. Angreifer nutzen Tricks wie c0inkirin.com, coinklrin.com oder coinkirin.co.
- Prüfen Sie das SSL-Zertifikat — klicken Sie auf das Schloss-Symbol in Ihrem Browser. Das Zertifikat muss auf coinkirin.com ausgestellt sein.
- Legitime E-Mails von uns kommen von @coinkirin.com-Adressen. Fahren Sie vor dem Klicken stets mit dem Mauszeiger über Links.
Sicherheitsprobleme melden
Wenn Sie Phishing, Identitätsmissbrauch vermuten oder eine Schwachstelle gefunden haben, schreiben Sie bitte an security@coinkirin.com.
Bitte fügen Sie bei:
- Eine klare Beschreibung des Problems oder des mutmaßlichen Phishing-Versuchs.
- URLs, Screenshots, E-Mail-Header oder Schritte zur Reproduktion, sofern zutreffend.
- Ihre Kontaktdaten (optional), damit wir nachfassen können.
Bug Bounty
Formal bug bounty: none. Recognition or discretionary rewards may be offered, but are not guaranteed.
Unsere Sicherheits-Header
Jede CoinKirin-Seite wird mit strikten Sicherheits-Headern ausgeliefert:
- HSTS — Erzwingt HTTPS-only-Verbindungen für mindestens 180 Tage, einschließlich Subdomains.
- Content-Security-Policy (CSP) — Strikte Content Security Policy mit Nonces — blockiert eingeschleuste Skripte und beschränkt Asset-Herkunft auf unser CDN.
- X-Frame-Options — Verhindert Einbettung, um Clickjacking auszuschließen.
- X-Content-Type-Options — Verhindert MIME-Type-Sniffing.
- Referrer-Policy — Strict-origin-when-cross-origin — begrenzt Referrer-Leaks an Dritte.
Android-APK-Signatur
Unsere Android-App wird direkt als APK verteilt und mit einem stabilen Schlüssel signiert. Überprüfen Sie vor dem Installieren oder Aktualisieren stets den Fingerabdruck des Signaturzertifikats — weicht der Fingerabdruck ab, ist das APK nicht echt.
Fingerabdruck des SHA-256-Signaturzertifikats:
1E:77:94:D0:80:F0:53:75:7E:F5:57:87:6A:E0:74:2F:99:66:0C:70:57:BB:84:ED:02:11:7B:AC:F9:FB:58:4C
Sie können den Fingerabdruck prüfen über: apksigner verify --print-certs coinkirin-latest.apk. In der installierten App öffnen Sie Einstellungen → Über → Signatur, um den Fingerabdruck auf dem Gerät einzusehen.
Responsible-Disclosure-Richtlinie
Coordinated disclosure; remediation timing depends on severity and coordination. No fixed remediation SLA is promised.
- Acknowledgment target: within 3 business days.
- Wir verfolgen keine rechtlichen Schritte gegen Forscher, die in gutem Glauben handeln und diese Richtlinie befolgen.
- Triage and handling-decision target: within 10 business days. Public disclosure timing is coordinated with the researcher.