Krypto-børsen Bybit advarede brugere i fredags om straks at opdatere Telegram på Android. Advarslen kom efter en fejl, som gjorde det muligt for én chatbesked at køre kode på Android-telefoner.
Risikoen gælder mere end kun Telegram. “Et kompromitteret device kan også bringe andre apps i fare,” skrev Bybit. Børs- og wallet-apps deler ofte mobil med Telegram.
Hvad gjorde Telegram-fejlen?
Den 9. november tillod Telegram bots at sende “widgets” – små apps indsat i en chatbesked, skriver tbreak.
To dage senere delte sikkerhedsfirmaet V12 en video, hvor en bot-besked automatisk åbnede Calculator app’en på en Android-telefon. Det viser remote code execution (RCE): En ekstern part får enheden til at køre kommandoer, den ikke burde.
V12 har ikke offentliggjort, hvordan angrebet udføres, og ingen uafhængige har bekræftet det, rapporterede Kod.ru.
Er fejlen rettet?
Telegram siger ja. “Problemet i Telegram til Android blev udbedret i går, og løsningen blev rullet ud til alle brugere tidligere i dag,” skrev de den 11. november.
dev.ua fandt ingen tegn på egentlige angreb.
Hvorfor betyder det noget for krypto-brugere?
Widgets håndterer betalinger i Gram, TON-blockchainens valuta, tidligere kaldet Toncoin, via Telegrams selvforvaltede wallet. Selvforvaltning betyder, at ingen virksomhed kan tilbageføre en overførsel. Durov fortalte, at over 1 million af disse wallets gik i luften inden for 48 timer, skriver TokenPost.
dev.ua bemærkede også, at kode med Telegram-adgang teoretisk set kan nå de data, der holder en konto logget ind. To-faktor godkendelse beskytter ikke sessioner, der allerede er åbne.
Det er anden gang på en måned, Telegram finder en sårbarhed, der lader kode afvikles på Android, efter en fejl opdaget af NebuSec med opkald. I februar 2025 mistede Bybit omkring 1,5 milliarder dollars, da hackere – som FBI kædede sammen med Nordkorea – kompromitterede en udviklers computer hos deres wallet-leverandør.
Hvad skal brugerne holde øje med nu?
Bybit opfordrede brugerne til at undgå ukendte bots, chats samt links, og kun stole på deres verificerede kanaler.
Telegram har ikke oplyst, om iPhone- eller desktop-brugere var påvirket. Widgets forventes også at komme til gruppechats, men der er ikke meldt en dato ud.
