Kryptobörsen Bybit sa till användare på fredagen att uppdatera Telegram på Android nu. Varningen kommer efter en bugg som gjorde att ett enda meddelande kunde köra kod på Android-telefoner.
Risken gäller mer än bara Telegram. “En komprometterad enhet kan också riskera andra appar,” skrev Bybit. Börs- och plånboksappar finns ofta på samma telefon som Telegram.
Vad gjorde Telegram-buggen?
Den 9 november lät Telegram bottar skicka “widgets”, små appar inne i chattmeddelanden, enligt tbreak.
Två dagar senare visade säkerhetsföretaget V12 en video där ett bottmeddelande öppnade Android-telefonens kalkylator själv. Det visar fjärrkörning av kod (RCE), alltså att en utomstående får enheten att utföra kommandon den inte ska.
V12 har inte berättat hur attacken fungerar och ingen oberoende källa har bekräftat det, rapporterade Kod.ru.
Är buggen åtgärdad?
Telegram säger ja. “Detta problem i Telegram för Android fixades igår, och uppdateringen skickades till alla användare tidigare idag,” skrev Telegram den 11 november.
dev.ua hittade inga bevis på verkliga attacker.
Varför är det viktigt för kryptoanvändare?
Widgets kan hantera betalningar i Gram, TON-blockkedjans valuta, tidigare kallad Toncoin, via Telegrams egen plånbok. Självförvaring betyder att inget företag kan ångra en överföring. Durov sa att över 1 miljon sådana plånböcker aktiverades inom 48 timmar, rapporterade TokenPost.
dev.ua noterade också att kod som körs med Telegrams behörighet teoretiskt kan nå data som håller ett konto inloggat. Tvåfaktorsautentisering skyddar inte sessioner som redan är öppna.
Detta är Telegrams andra bugg för kodkörning i Android på en månad, efter en röst-samtalsbugg som NebuSec avslöjade. Bybit förlorade själva runt 1,5 miljarder USD i februari 2025 när hackare, som FBI kopplade till Nordkorea, komprometterade en utvecklares dator hos deras plånboksleverantör.
Vad ska användare vara uppmärksamma på?
Bybit uppmanade användare att undvika okända bottar, chattar och länkar och att bara lita på deras verifierade kanaler.
Telegram har inte sagt om iPhone- eller datoranvändare blev påverkade. Widgets ska också komma till gruppchattar, men inget datum är bestämt.
