Криптовалютна біржа Bybit 15 листопада поінформувала користувачів про необхідність негайного оновлення застосунка Telegram для Android. Дані рекомендації пов’язані з виявленою вразливістю, за якої достатньо одного чат-повідомлення для виконання стороннього коду на пристроях Android.
Ризики не обмежуються лише Telegram. «Компрометація пристрою може становити загрозу і для інших застосунків», — підкреслили у Bybit. Програмне забезпечення біржі та гаманці нерідко встановлені на тих самих смартфонах, що й Telegram.
У чому полягала суть вразливості в Telegram?
9 листопада Telegram дозволив ботам розсилати «віджети», тобто мініпрограми у вигляді чат-повідомлень, згідно з даними tbreak.
Через два дні фахівці з безпеки V12 опублікували відео: в ньому повідомлення від бота автоматично запускало додаток «Калькулятор» на смартфоні з Android. Це є ілюстрацією механізму remote code execution (віддаленого виконання коду): сторонні особи отримують можливість запускати команди на пристрої без відома власника.
V12 не оприлюднив деталі технічної реалізації атаки. Жодних зовнішніх підтверджень експлуатації цієї вразливості також не надходило, як повідомляє Kod.ru.
Чи усунуто цю вразливість?
За заявою Telegram, виправлення уже впроваджено. «Цю проблему у Telegram для Android було вирішено вчора, а відповідне оновлення отримали всі користувачі вже сьогодні», — офіційно повідомлено компанією 11 листопада у їхньому каналі.
dev.ua не ідентифікував підтверджень реальних випадків компрометації пристроїв через описану уразливість.
Чому ця ситуація ключова для учасників криптовалютного ринку?
Віджети здійснюють платежі у Gram — цифровій валюті блокчейна TON (зараз Toncoin) — через спеціальний гаманець із самостійним контролем приватних ключів. Самостійне зберігання означає: жодна компанія не здатна відкоригувати чи скасувати відправлену транзакцію. За словами Дурова, протягом 48 годин відкрито понад 1 млн таких гаманців, за даними TokenPost.
dev.ua звернув увагу: програма, що взаємодіє на рівні прав Telegram, теоретично здатна отримати доступ до файлів авторизації — використовує сесії, для яких двофакторна аутентифікація уже не діє, якщо доступ був наданий раніше.
Це вже друга за місяць вразливість у Telegram для Android, пов’язана з виконанням коду: раніше про аналогічний баг із голосовими дзвінками повідомила компанія NebuSec у профільних джерелах. Варто зазначити: у лютому 2025 року Bybit заявила про втрату $1,5 млрд після того, як хакери — згідно з висновками ФБР — скомпрометували комп’ютер розробника у провайдера гаманців біржі.
Яких заходів варто дотримуватись надалі?
Команда Bybit рекомендувала уникати підозрілих ботів, невідомих чатів і сумнівних посилань, надаючи перевагу лише комунікаціям із верифікованими каналами біржі.
Telegram наразі не оприлюднює інформації щодо впливу на користувачів iPhone чи десктопних версій. Водночас повідомлено про намір зробити віджети доступними й у групових чатах — точні строки впровадження поки не конкретизовано.
