Kripto para borsası Bybit, Cuma günü kullanıcılarına Android’deki Telegram uygulamasını hemen güncellemeleri gerektiğini duyurdu. Bu uyarı, tek bir sohbet mesajının Android telefonlarda kod çalıştırmasına neden olan bir hata sonrası geldi.
Risk, yalnızca Telegram ile sınırlı değil. Bybit şu açıklamayı yaptı: ‘Ele geçirilmiş bir cihaz, diğer uygulamaları da riske atabilir’. Kripto para borsası ve cüzdan uygulamaları genellikle Telegram yüklü telefonlarda kullanılıyor.
Telegram’daki Hata Ne Yaptı?
9 kasım’da Telegram, sohbet mesajlarına “widget” yani küçük uygulamalar gönderebilme özelliğini bot’lar için açtı; bu bilgiye göre tbreak kaynaklı.
İki gün sonra, siber güvenlik şirketi V12 bir video yayınladı ve bir bot mesajının Android telefonun Hesap Makinesi uygulamasını kendi kendine açtığını gösterdi. Bu durum uzaktan kod çalıştırmayı (remote code execution – RCE) kanıtladı: Yani dışarıdan biri, cihaza izin verilmeyen komutlar çalıştırabiliyor.
V12, saldırının detaylarını açıklamadı ve bağımsız bir kaynak tarafından doğrulama yapılmadı; Kod.ru bu bilgiyi bildirdi.
Hata Giderildi mi?
Telegram hata giderildi diyor: ‘Bu sorun Telegram’ın Android sürümünde dün giderildi, ve düzeltme bugün tüm kullanıcılara ulaştırıldı’ açıklamasını 11 kasım’da paylaştı.
dev.ua ise şimdiye kadar gerçek bir saldırıya dair herhangi bir kanıt bulamadı.
Bu Durum Kripto Para Kullanıcıları İçin Neden Önemli?
Widget’lar, Telegram’ın kendi saklama (self-custody) cüzdanı üzerinden Gram yani TON blockchain’in para birimiyle ödeme gönderebiliyor. Self-custody, herhangi bir şirketin işlemleri geri alma imkanı olmadığı anlamına geliyor. Telegram’ın kurucusu Durov, bu cüzdanlardan 48 saat içinde 1 milyon adedin üstünde aktifleştiğini TokenPost’a açıkladı.
dev.ua ayrıca, Telegram’ın erişimiyle çalışan kodların teorik olarak oturumu açık tutan veriye erişebileceğine dikkat çekti. İki faktörlü kimlik doğrulama açık olan oturumları korumuyor.
Bu, Telegram’ın bir ay içinde Android tarafında yaşadığı ikinci kod çalıştırma açığı. Önceki ay, NebuSec adlı güvenlik şirketi sesli aramalarda yaşanan bir hata paylaşmıştı. Öte yandan Bybit, 2025 şubat’ında yaklaşık 1,5 milyar dolar kaybetti. FBI, bu saldırının Kuzey Kore bağlantılı hacker’lar tarafından Bybit’in cüzdan sağlayıcı şirketinde çalışan bir geliştiricinin bilgisayarının ele geçirilmesiyle gerçekleştiğini duyurdu.
Kullanıcılar Şimdi Ne Yapmalı?
Bybit, kullanıcılarını şu noktalarda uyardı: Bilinmeyen bot’lardan, sohbetlerden ve bağlantılardan uzak durun; yalnızca onaylanmış kanallarına güvenin.
Telegram, iPhone ya da masaüstü kullanıcılarının etkilenip etkilenmediğine dair açıklama yapmadı. Ayrıca widget’ların yakın zamanda grup sohbetlerine de geleceği açıklandı; ancak net bir tarih verilmedi.
