Krypto-børsen Bybit ba brukere fredag om å oppdatere Telegram på Android umiddelbart. Advarselen kommer etter en feil som lot én enkelt chatmelding kjøre kode på Android-telefoner.
Risikoen gjelder mer enn bare Telegram. “En kompromittert enhet kan også sette andre apper i fare,” skrev Bybit. Børs- og lommebok-apper ligger ofte på samme mobil som Telegram.
Hva gjorde Telegram-feilen
9. november åpnet Telegram for at bots kunne sende “widgets”, små apper inne i chatmeldinger, ifølge tbreak.
To dager senere la sikkerhetsselskapet V12 ut en video der en bot-melding åpnet Kalkulator-appen på en Android-telefon automatisk. Dette viser eksternt kodekjøring (RCE): at en utenforstående kan få enheten til å utføre kommandoer den ikke skal.
V12 har ikke publisert hvordan angrepet fungerer, og ingen uavhengige har bekreftet det, skriver Kod.ru.
Er feilen rettet
Telegram opplyser at feilen er løst. “Dette problemet i Telegram for Android ble fikset i går, og rettelsen ble rullet ut til alle brukere tidligere i dag,” meldte selskapet 11. november.
dev.ua fant ingen bevis for faktiske angrep.
Hvorfor er dette viktig for krypto-brukere
Widgets bærer betalinger i Gram, TON-blokkjedens valuta, tidligere kjent som Toncoin, via Telegrams selvforvaltede lommebok. Selvforvaltning betyr at ingen selskap kan reversere en overføring. Durov sa at over 1 million slike lommebøker ble aktive i løpet av 48 timer, ifølge TokenPost.
dev.ua påpekte også at kode som kjører med Telegram-tilgang i teorien kan nå dataene som holder en konto innlogget. Tofaktor-autentisering beskytter ikke økter som allerede er åpne.
Dette er Telegrams andre Android-feil med kodeeksekvering på én måned, etter en samtale-relatert feil avslørt av NebuSec. Bybit selv tapte omtrent $ 1,5 milliarder i februar 2025 etter at hackere, som FBI koblet til Nord-Korea, kompromitterte en utviklers datamaskin hos deres lommebokleverandør.
Hva bør brukere følge med på videre
Bybit oppfordret brukere til å unngå ukjente bots, chatter og lenker, og bare stole på deres verifiserte kanaler.
Telegram har ikke sagt om iPhone- eller desktop-brukere er rammet. Widgets skal også tilgjengeliggjøres i gruppe-chatter, men uten annonsert lanseringsdato.
