Pinayuhan ng crypto exchange na Bybit ang mga user nitong Biyernes na agad mag-update ng Telegram app sa Android. Nangyari ito matapos matuklasan ang bug na puwedeng magpatakbo ng code sa Android phone gamit lang ang isang chat message.
Hindi lang basta Telegram ang apektado ng bug na ‘to. Sabi ng Bybit, “Kapag nasira ang device, puwedeng maapektuhan pati ibang apps sa phone mo.” Madalas kasing mag-share ng phone ang mga exchange at wallet app kasama ng Telegram.
Ano Ba ang Nagawa ng Telegram Bug?
Noong November 9, nag-launch ang Telegram ng feature na nagpapahintulot sa mga bot na magpadala ng “widgets” o maliliit na app mismo sa loob ng chat message, ayon sa tbreak.
Makaraan ng dalawang araw, nag-post ang security firm na V12 ng video kung saan automatic na nabuksan ng isang bot message ang Calculator app ng Android phone. Ang pagkakatuklas na ito ay sample ng remote code execution (RCE), ibig sabihin puwedeng magpatakbo ng command o program sa phone mo ng isang outsider.
Hindi pa inilalabas ng V12 kung paano gawa ang atake at wala pang independent na nag-confirm nito, ayon sa ulat ng Kod.ru.
Naayos Na Ba ang Bug?
Sabi ng Telegram, oo na. “Naayos na kahapon ang issue na ito sa Telegram for Android, at automatic na na-deploy ang fix sa lahat ng user ngayong araw,” post nila noong November 11.
Ayon sa dev.ua, wala silang nakitang kaso ng totoong pag-atake gamit ang bug.
Bakit Importante Itong Bug Para sa Crypto Users?
Gamit ang widgets, puwedeng magpadala ng bayad gamit ang Gram — ito yung currency ng TON blockchain (dating Toncoin) — sa Telegram self-custody wallet. Kapag self-custody wallet, ibig sabihin, walang company na puwedeng bawiin ang pera mo sakaling may error o scam. Ayon kay Durov, umabot ng mahigit 1 million na wallets ang agad nagamit sa loob ng 48 oras, sabi ng TokenPost.
Sinabi rin ng dev.ua na, kung makapagawa ng code gamit ang access ng Telegram, posible rin nitong makita ang data na nagpapanatili sa user na naka-login. Kahit may two-factor authentication ka, hindi nito mapoprotektahan yung sessions na naka-open at ginagamit na.
Pangalawang beses na ‘to na may issue ang Telegram sa Android ngayong buwan tungkol sa code execution. Nauna na dito yung voice-call bug na na-disclose ng NebuSec. Si Bybit mismo, natalo ng halos $1.5 billion nitong February 2025, matapos ma-hack ng grupo na konektado raw sa North Korea ang computer ng developer ng wallet provider nila, sabi ng FBI.
Ano Dapat Bantayan ng mga Users Ngayon?
Pinaalalahanan ng Bybit ang mga user na iwasan ang unknown bots, chats at mga suspicious na link, at magtiwala lang sa kanilang verified channels.
Wala pang announcement ang Telegram kung naapektuhan din ang iPhone o desktop users. Sa ngayon, plano rin nila i-expand ang widget feature para sa group chats pero wala pang kasiguraduhan kung kailan ito ilalabas.
