El exchange de criptomonedas Bybit comunicó a los usuarios el viernes que deben actualizar Telegram en Android ahora mismo. La advertencia viene después de que un error permitió que un solo mensaje de chat ejecutara código en teléfonos Android.
El riesgo va más allá de Telegram. “Un dispositivo comprometido también podría poner en riesgo otras aplicaciones,” dijo Bybit. Las apps de exchanges y wallets muchas veces están en el mismo teléfono que Telegram.
¿Qué hizo el error de Telegram?
El 9 de noviembre, Telegram permitió que los bots enviaran “widgets”, pequeñas apps dentro de un mensaje de chat, según tbreak.
Dos días después, la empresa de seguridad V12 publicó un video donde un mensaje de bot abría solo la aplicación Calculadora en un teléfono Android. Esto demuestra ejecución remota de código (RCE): alguien de fuera logra que el dispositivo ejecute comandos que no debería.
V12 no ha publicado cómo funciona el ataque y ninguna parte independiente lo ha confirmado, reportó Kod.ru.
¿Está solucionado el error?
Telegram dice que sí. “Este problema en Telegram para Android se solucionó ayer, y la corrección se lanzó para todos los usuarios hoy,” publicó el 11 de noviembre. dev.ua no encontró evidencia de ataques reales.
Los widgets permiten pagos en Gram, la moneda de la blockchain TON, antes llamada Toncoin, usando la wallet de autocustodia de Telegram. Autocustodia significa que ninguna empresa puede revertir una transferencia. Durov dijo que se activaron más de 1 millón de esos wallets en 48 horas, informó TokenPost.
dev.ua también señaló que el código ejecutado con acceso de Telegram podría, en teoría, alcanzar los datos que mantienen abierta una cuenta. La autenticación en dos pasos no protege las sesiones ya abiertas.
Es el segundo fallo de ejecución de código de Telegram en Android en un mes, después de un error en llamadas de voz divulgado por NebuSec.
El propio Bybit perdió unos 1.5 mil millones de dólares en febrero de 2025 después de que hackers, vinculados por el FBI a Corea del Norte, comprometieron la computadora de un desarrollador en su proveedor de wallet.
¿Qué deberían vigilar los usuarios ahora?
Bybit recomendó a los usuarios evitar bots desconocidos, chats y enlaces, y confiar solo en sus canales verificados.
Telegram no ha dicho si usuarios de iPhone o de escritorio fueron afectados. Los widgets también llegarán a los chats grupales, pero sin fecha confirmada.
