Giełda kryptowalut Bybit poinformowała użytkowników w piątek, żeby natychmiast zaktualizowali aplikację Telegram na Androidzie. Ostrzeżenie wynika z błędu, który pozwalał pojedynczej wiadomości uruchomić kod na telefonach z Androidem.
Ryzyko dotyczy nie tylko Telegrama. Bybit wyjaśnił, że “skompromitowane urządzenie może zagrozić także innym aplikacjom” [źródło]. Na telefonach użytkownicy często korzystają zarówno z giełd, portfeli kryptowalut, jak i Telegrama.
Co zrobił błąd w Telegramie?
9 listopada Telegram pozwolił botom wysyłać “widżety”, czyli małe aplikacje w wiadomościach czatu, podał tbreak.
Dwa dni później firma V12 ds. bezpieczeństwa opublikowała nagranie, na którym wiadomość bota samoczynnie otwiera aplikację Kalkulator na telefonie z Androidem. To pokazuje zdalne wykonywanie kodu (RCE). Osoba z zewnątrz może w ten sposób wymusić polecenia, których urządzenie nie powinno wykonywać.
V12 nie opublikował szczegółów ataku, a żadna niezależna strona nie potwierdziła incydentu, donosi Kod.ru.
Czy błąd został naprawiony?
Telegram zapewnił, że tak. W komunikacie z 11 listopada poinformował: “Problem w Telegram dla Android został wczoraj rozwiązany, a poprawka trafiła dziś do wszystkich użytkowników.”
dev.ua nie znalazł dowodów rzeczywistych ataków.
Dlaczego to ważne dla użytkowników kryptowalut?
Widżety umożliwiają realizację płatności w Gram, walucie blockchain TON, dawniej Toncoin, poprzez portfel samoobsługowy Telegrama. Samoobsługa oznacza, że żadna firma nie cofnie operacji. Durov poinformował, że w 48 godzin aktywowano ponad 1 mln portfeli [źródło: TokenPost].
dev.ua zauważył także, że złośliwy kod z uprawnieniami Telegrama może potencjalnie dotrzeć do informacji pozwalających utrzymać aktywne zalogowanie na koncie. Podwójna weryfikacja nie chroni już otwartych sesji.
To już druga w miesiącu luka w Telegramie na Androida umożliwiająca wykonanie zdalnego kodu. Poprzednią był błąd rozmów głosowych ujawniony przez NebuSec. Bybit sam stracił około 1,5 mld USD w lutym 2025. Hakerzy, których FBI połączyło z Koreą Północną, przejęli komputer dewelopera dostawcy portfeli giełdy.
Na co powinni zwrócić uwagę użytkownicy?
Bybit zaapelował, aby nie korzystać z nieznanych botów, czatów oraz linków i ufać wyłącznie swoim zweryfikowanym kanałom.
Telegram nie odpowiedział, czy użytkownicy iPhone lub komputerów także byli narażeni. Widżety mają też trafić do czatów grupowych, ale nie podano daty wprowadzenia.
