L’exchange di criptovalute Bybit ha consigliato venerdì agli utenti di aggiornare subito Telegram su Android. L’avviso arriva dopo la scoperta di un bug che permetteva a un singolo messaggio in chat di eseguire codice sugli smartphone Android.
Il rischio va oltre Telegram. “Un dispositivo compromesso potrebbe anche mettere a rischio altre app,” ha spiegato Bybit. Le app di exchange e wallet condividono spesso lo stesso telefono con Telegram.
Cosa faceva il bug di Telegram?
Il 9 novembre, Telegram ha permesso ai bot di inviare “widget”, ovvero piccole app all’interno di un messaggio in chat, secondo quanto riportato da tbreak.
Due giorni dopo, la società di sicurezza V12 ha pubblicato un video in cui un messaggio di un bot apriva automaticamente l’app Calcolatrice di un telefono Android. Questo dimostra un’esecuzione remota di codice (RCE): un utente esterno che induce un dispositivo a eseguire comandi che non dovrebbe.
V12 non ha spiegato in dettaglio come funzioni l’attacco, e nessun soggetto indipendente lo ha ancora confermato, ha scritto Kod.ru.
Il bug è stato risolto?
Telegram afferma di sì. “Questo problema su Telegram per Android è stato risolto ieri e la correzione è stata distribuita a tutti gli utenti stamattina,” si legge in un post dell’11 novembre.
dev.ua non ha trovato prove di attacchi reali.
Perché è importante per chi usa le crypto?
I widget permettono pagamenti in Gram, la valuta della blockchain Ton (prima chiamata Toncoin), grazie al wallet self-custody integrato in Telegram. Self-custody significa che nessuna azienda può annullare una transazione. Durov ha dichiarato che oltre 1.000.000 di questi wallet sono stati attivati in sole 48 ore, secondo quanto riportato da TokenPost.
dev.ua ha anche segnalato che del codice eseguito con i permessi di Telegram potrebbe, in teoria, accedere ai dati che mantengono attivo l’accesso a un account. L’autenticazione a due fattori non protegge le sessioni già aperte.
Questo è il secondo bug di esecuzione di codice su Android che coinvolge Telegram in un mese, dopo un problema nelle chiamate vocali segnalato da NebuSec. Bybit stessa ha perso circa 1,5 miliardi di dollari a febbraio 2025, quando alcuni hacker (ricondotti dall’FBI alla Corea del Nord) sono riusciti a compromettere il computer di uno sviluppatore presso il suo wallet provider.
A cosa dovrebbero prestare attenzione gli utenti?
Bybit ha raccomandato agli utenti di evitare bot sconosciuti, chat e link non affidabili, e di utilizzare solo i suoi canali verificati.
Telegram non ha chiarito se utenti iPhone o desktop siano stati interessati dal bug. I widget inoltre saranno disponibili anche nelle chat di gruppo, ma non è stata ancora annunciata una data precisa.
