Kryptopörssi Bybit kehotti käyttäjiä päivittämään Telegramin Androidilla heti perjantaina. Varoitus johtui bugista, jonka avulla yksittäinen chat-viesti saattoi ajaa koodia Android-puhelimissa.
Riski ulottuu Telegramia laajemmalle. “Vaarantunut laite voi asettaa myös muut sovellukset vaaraan,” Bybit totesi. Pörssi- ja lompakkosovellukset ovat usein samassa puhelimessa Telegramin kanssa.
Mitä Telegramin bugi teki?
Yhdeksäs marraskuuta Telegram salli bottien lähettää “widgettejä”, eli pieniä sovelluksia chat-viestin sisällä, tbreakin mukaan.
Kaksi päivää myöhemmin tietoturvayhtiö V12 julkaisi videon, jossa bottiviesti avasi Android-puhelimen laskin-sovelluksen itsenäisesti. Tämä osoittaa etänä tapahtuvan koodin suorituksen (RCE): ulkopuolinen saa laitteen ajamaan käskyjä, joita se ei saisi suorittaa.
V12 ei ole julkaissut hyökkäyksen toteutustapaa, eikä yksikään riippumaton taho ole sitä vahvistanut, Kod.ru raportoi.
Onko bugi korjattu?
Telegram vahvistaa korjauksen. “Tämä ongelma Telegram for Android -sovelluksessa korjattiin eilen, ja korjaus julkaistiin kaikille käyttäjille jo aiemmin tänään,” yhtiö tiedotti 11. marraskuuta.
dev.ua ei löytänyt todisteita todellisista hyökkäyksistä.
Miksi tämä on tärkeää kryptokäyttäjille?
Widgetit välittävät maksuja Gram-valuutassa, joka toimii TON-lohkoketjussa ja oli aiemmin Toncoin, Telegramin itsehallittavan lompakon kautta. Itsehallinta tarkoittaa, ettei mikään yritys voi perua siirtoa. Durovin mukaan yli miljoona tällaista lompakkoa aktivoitiin 48 tunnissa, TokenPost raportoi.
dev.ua huomautti myös, että Telegramin käyttöoikeuksilla toimiva koodi voisi teoriassa päästä käsiksi tietoihin, jotka pitävät tilin kirjautuneena sisään. Kaksivaiheinen tunnistautuminen ei suojaa jo avattuja istuntoja.
Tämä oli jo toinen Androidin koodinajovirhe Telegramissa kuukauden sisällä, kun aiemmin paljastui NebuSecin ilmiantama äänipuhelubugi. Bybit itse menetti noin 1,5 miljardia dollaria helmikuussa 2025 sen jälkeen, kun hakkereiden — FBI:n mukaan Pohjois-Koreasta — onnistui murtautua lompakkotoimittajan kehittäjän tietokoneelle.
Mihin käyttäjien tulisi kiinnittää huomiota jatkossa?
Bybit kehotti välttämään tuntemattomia botteja, keskusteluja ja linkkejä sekä luottamaan vain sen vahvistettuihin kanaviin.
Telegram ei ole kertonut, vaikuttiko haavoittuvuus iPhone- tai tietokonekäyttäjiin. Widgetit ovat tulossa myös ryhmäkeskusteluihin, mutta aikataulua ei ole ilmoitettu.
