اطلب من المستخدمين تحديث تطبيق تيليجرام على أندرويد فورًا يوم الجمعة، حسب ما أعلنت منصة تبادل العملات المشفرة بايبيت. يأتي هذا التحذير بعد اكتشاف ثغرة سمحت لرسالة واحدة في المحادثة بتشغيل كود على هواتف أندرويد.
يشمل الخطر التطبيقات الأخرى غير تيليجرام. ذكرت بايبيت في منشور لها أن جهازاً تم اختراقه قد يعرض تطبيقات أخرى للخطر أيضًا. غالبًا ما تشترك تطبيقات المنصات والمحافظ مع تيليجرام في نفس الهاتف.
ما الذي قامت به هذه الثغرة في تيليجرام؟
أوضح tbreak أنه في 9 نوفمبر، سمح تيليجرام للروبوتات بإرسال "ودجات" وهي تطبيقات صغيرة مدمجة داخل رسالة محادثة.
نشرَت شركة الأمن السيبراني V12 فيديو بعد يومين يظهر رسالة من روبوت تفتح تطبيق الآلة الحاسبة على هاتف أندرويد تلقائيًا. يوضح ذلك تنفيذ الأوامر عن بعد (RCE): أي جعل طرف خارجي الأجهزة تنفذ أوامر لا يجب أن تقوم بها.
ذكرت Kod.ru أن V12 لم تنشر طريقة تنفيذ الهجوم، ولم يؤكد أي طرف مستقل ذلك.
هل تم حل الثغرة؟
صرحت تيليجرام نعم. أكدت الشركة في 11 نوفمبر أن هذه المشكلة في تيليجرام على أندرويد تم إصلاحها أمس، وأن التحديث وصل لكل المستخدمين صباح اليوم.
وجدت dev.ua أنه لا يوجد أي دليل على حدوث هجمات واقعية.
لماذا تهم هذه الثغرة مستخدمي العملات الرقمية؟
تحمل الودجات مدفوعات بعملة جرام، والتي تعمل على سلسلة TON (سلسلة بلوك تشين) وكانت تسمى سابقًا تون كوين، من خلال محفظة تيليجرام ذات الحفظ الذاتي. يشير الحفظ الذاتي إلى أن أي شركة لا تستطيع عكس تحويل الأموال. أشار دوروف، حسب ما نقلت توكن بوست، إلى أن أكثر من 1 مليون من تلك المحافظ تم تفعيلها خلال 48 ساعة.
نوّهت dev.ua أيضًا أن الكود الذي يعمل بصلاحيات تيليجرام قد يصل نظريًا إلى بيانات إبقاء الحساب متصلاً. المصادقة الثنائية لا تحمي الجلسات المفتوحة بالفعل.
تعتبر هذه ثاني ثغرة لتنفيذ الأوامر عن بعد على تيليجرام لأندرويد خلال شهر، بعد ثغرة المكالمات الصوتية التي كشفها NebuSec. خسرت بايبيت حوالي 1,5 مليار دولار في فبراير 2025 بعد أن قام قراصنة ربطهم مكتب التحقيقات الفيدرالي بكوريا الشمالية باختراق جهاز مطوّر لدى مزود المحفظة الخاص بها.
ما الذي يجب على المستخدمين متابعته بعد ذلك؟
حثت Bybit المستخدمين على تجنب البوتات والدردشات والروابط غير المعروفة، وأن يثقوا فقط في قنواتها الموثوقة.
لم توضح تيليجرام ما إذا كان مستخدمو آيفون أو الكمبيوتر تأثروا بذلك. من المتوقع أيضاً أن تصل الويدجتس إلى الدردشات الجماعية، ولم يُعلن عن موعد لذلك.
