Crypto-exchange Bybit heeft gebruikers vrijdag gewaarschuwd om Telegram op Android nu te updaten. Deze waarschuwing volgt op een bug waarmee één chatbericht code kon uitvoeren op Android-telefoons.
Het risico is groter dan alleen Telegram. “Een gecompromitteerd apparaat kan ook andere apps in gevaar brengen,” zei Bybit. Exchange- en wallet-apps staan vaak samen met Telegram op de telefoon.
Wat deed de Telegram-bug?
Op 9 november liet Telegram bots toe om “widgets” te sturen, dit zijn kleine apps in een chatbericht, volgens tbreak.
Twee dagen later plaatste beveiligingsbedrijf V12 een video waarin een bot-bericht automatisch de rekenmachine-app van een Android-telefoon opende. Dat laat zien dat remote code execution (RCE) mogelijk is: een buitenstaander laat een apparaat opdrachten uitvoeren die niet mogen.
V12 heeft niet openbaar gemaakt hoe de aanval werkt, en geen onafhankelijke partij heeft het bevestigd, meldde Kod.ru.
Is de bug opgelost?
Telegram geeft aan van wel. “Dit probleem in Telegram voor Android is gisteren opgelost, en de oplossing is vandaag aan alle gebruikers doorgezet,” plaatste het op 11 november.
dev.ua vond geen bewijs van echte aanvallen.
Waarom is dit belangrijk voor crypto-gebruikers?
De widgets ondersteunen betalingen in Gram, de coin van de TON-blockchain (vroeger Toncoin), via Telegram’s self-custody wallet. Self-custody betekent dat geen bedrijf een transactie kan terugdraaien. Durov meldde dat ruim 1 miljoen van die wallets binnen 48 uur live gingen, meldde TokenPost.
dev.ua merkte ook op dat code die via Telegram wordt uitgevoerd, in theorie bij de gegevens kan komen waarmee een account aangemeld blijft. Twee-factor-authenticatie biedt geen bescherming bij al geopende sessies.
Dit is al de tweede keer in een maand dat Telegram met een code-execution kwetsbaarheid op Android te maken heeft, na een voice-call bug die NebuSec openbaar maakte. Bybit zelf verloor ongeveer $1,5 miljard in februari 2025 nadat hackers, door de FBI gelinkt aan Noord-Korea, de computer van een ontwikkelaar bij hun walletprovider hadden gehackt.
Waar moeten gebruikers nu op letten?
Bybit adviseert gebruikers om onbekende bots, chats en links te vermijden, en alleen de gecontroleerde kanalen te vertrouwen.
Telegram heeft niet gezegd of iPhone- of desktopgebruikers ook getroffen waren. Widgets komen straks ook beschikbaar in groepschats, maar hiervoor is nog geen datum aangekondigd.
