暗号資産取引所バイビットは、金曜日にユーザーへAndroid版Telegramの早急なアップデートを呼びかけた。今回の警告は、1通のチャットメッセージでAndroid端末上でコードが実行されるバグが発覚したため。
リスクはTelegramの範囲にとどまらない。「端末が侵害された場合、他のアプリも危険にさらされる可能性がある」と、バイビットは指摘。取引所アプリやウォレットアプリは、Telegramと同じスマートフォンで利用されることが多い。
Telegramのバグは何を引き起こしたか
11月9日にTelegramは、チャットメッセージ内でボットが「ウィジェット」と呼ばれる小さなアプリを送信できるようにしたと、tbreakが報道。
2日後、セキュリティ企業V12が、ボットによるメッセージでAndroid端末の計算機アプリが自動で起動する様子を収めた動画を公開した。これは、外部から端末へ不正なコマンドを実行できるリモートコード実行（RCE）の実例である。
V12は攻撃手法の詳細を公開しておらず、独立した第三者による確認も取れていないと、Kod.ruが伝えた。
バグは修正されたか
Telegramは修正済みと発表。「Android版Telegramの本件は昨日修正され、本日すべてのユーザーに展開済みである」と11月11日に投稿した。
dev.uaは、実際の攻撃事例については確認されていないと報告した。
なぜ暗号資産ユーザーに影響があるのか
ウィジェットは、Telegramのセルフカストディ型ウォレットを通じてTONブロックチェーンの通貨グラム（旧トンコイン）による支払いが可能。セルフカストディ型は、企業による送金取り消しができない方式である。ドゥーロフ氏は公開後48時間でこれらのウォレットが100万件以上稼働したと発言したと、TokenPostが報じた。
dev.uaはまた、Telegramの権限でコードが実行されれば、アカウントのログイン維持情報にも理論上アクセス可能だと指摘。二要素認証でも既に開いているセッションは保護できない。
Android版で1か月以内にコード実行バグが判明した事例はこれが2回目。直近ではNebuSecによる通話機能のバグがあった。バイビット自身も2025年2月、ウォレット関連企業の開発者PCがハッキングされ、FBIが北朝鮮系ハッカーの関与を特定した事件で約15億ドルを失った。
利用者が今後注意すべき点
バイビットは、正体不明のボットやチャット、リンクを避け、公式認証済みチャンネルのみ信頼するよう促している。
TelegramはiPhoneやデスクトップ版の影響有無について言及していない。ウィジェットは今後グループチャットでも利用可能になる予定だが、導入時期は未定。
