Bybit 紧急提醒：安卓用户需立即更新 Telegram

周五，加密货币交易所 Bybit 通知用户立即在 Android 设备上更新 Telegram。这一警告源于近期发现的一个严重漏洞，该漏洞允许攻击者通过单条聊天消息在安卓手机上执行代码。Bybit 指出，风险不仅限于 Telegram 本身：“一旦设备被攻破，其他应用程序也将面临风险。”由于许多交易所和钱包应用与 Telegram 共享同一部手机，这种安全风险尤为突出。

Telegram 漏洞的具体影响

11 月 9 日，Telegram 允许机器人发送“小部件”（widgets），这是一种嵌入在聊天消息中的小型应用程序。两天后，安全公司 V12 发布了一段视频，展示了一条机器人消息如何自动打开安卓手机的计算器应用。这演示了远程代码执行（RCE）攻击：即外部人员使设备运行其不应运行的命令。任何 Telegram 消息现在都可能成为 RCE 攻击的载体。

Kod.ru 报道指出，V12 尚未公开该攻击的具体工作原理，且目前尚无独立第三方对此进行确认。

漏洞是否已修复？

Telegram 方面表示问题已解决。其在 11 月 11 日发布声明称：“Android 版 Telegram 中的此问题已于昨日修复，并于今天早些时候向所有用户部署了补丁。”此外，dev.ua 未发现真实攻击的证据。

为何这对加密货币用户至关重要？

这些小部件通过 Telegram 的自托管钱包携带 Gram 代币（TON 区块链的原生货币，前身为 Toncoin）进行支付。自托管意味着没有任何公司可以撤销转账。Durov 表示，超过 100 万个此类钱包在 48 小时内上线。

dev.ua 还指出，理论上，以 Telegram 权限运行的代码可能触及保持账户登录状态的数据。对于已经开启的会话，双因素认证（2FA）无法提供保护。

后续关注点与建议

这是一个月内 Telegram 出现的第二次安卓代码执行漏洞，此前 NebuSec 曾披露过一个语音通话相关的漏洞。值得注意的是，Bybit 自身在 2025 年 2 月曾遭受约 15 亿美元的损失，黑客（美国联邦调查局将其与朝鲜联系起来）入侵了其钱包提供商的一名开发人员电脑。

Bybit 敦促用户避免使用未知的机器人、聊天和链接，并仅信任其经过验证的频道。截至目前，Telegram 尚未说明 iPhone 或桌面用户是否受到影响。此外，小部件功能即将扩展到群聊，但具体日期尚未公布。