Das Absurde an der Krypto-Szene: Alle reden von Dezentralisierung, aber Wallets, Signalgruppen, Trading-Bots und Airdrop-Aufgaben landen am Ende alle in einem einzigen Telegram.
Auf der OffensiveCon in Tokio hat der Forscher Saifeldeen Aziz neulich über eine 0-Click-Schwachstelle in Telegram gesprochen: Das Problem steckt in der rlottie-Bibliothek, die animierte Sticker rendert. Zusammen mit einer Speicherlücke und einer umgangenen Prüfung soll sich damit laut ihm Code auf iOS ausführen lassen. 0-Click bedeutet: Du musst gar nichts antippen – es reicht, dass der Sticker im Chat landet.
Telegram sagt, der Server überprüfe die Sticker und könne das verhindern. Der Forscher hat genau diese Aussage vor Ort angefochten. Die vollständigen Details und Patches liegen noch nicht alle vor. Wie weit sich das konkret ausnutzen lässt, dazu gebe ich keiner Seite recht.
Aber mir ist egal, wer den Streit gewinnt. Wenn du eine Bot-Wallet in Telegram auf deinem Handy hast, deinen Private Key schon mal in einen Trading-Bot importiert hast und in deinen Gruppen ständig Fremde Sticker posten, ist diese Kombination an sich schon absurd. Leute werden nicht bestohlen, weil die Schwachstelle besonders ausgeklügelt ist, sondern weil sie ihr ganzes Vermögen in eine App stecken, über die ihnen jeder schreiben kann.
Ich mache es jetzt ganz altmodisch: automatische Downloads in TG deaktiviert, private Nachrichten von Fremden gesperrt, App auf den neuesten Stand gebracht und kein Hauptkapital in irgendeinen TG-Bot gesteckt. Große Summen kommen in eine Cold Wallet, TG nutze ich nur zum Quatschen.
#Telegram #Sicherheit
Auf der OffensiveCon in Tokio hat der Forscher Saifeldeen Aziz neulich über eine 0-Click-Schwachstelle in Telegram gesprochen: Das Problem steckt in der rlottie-Bibliothek, die animierte Sticker rendert. Zusammen mit einer Speicherlücke und einer umgangenen Prüfung soll sich damit laut ihm Code auf iOS ausführen lassen. 0-Click bedeutet: Du musst gar nichts antippen – es reicht, dass der Sticker im Chat landet.
Telegram sagt, der Server überprüfe die Sticker und könne das verhindern. Der Forscher hat genau diese Aussage vor Ort angefochten. Die vollständigen Details und Patches liegen noch nicht alle vor. Wie weit sich das konkret ausnutzen lässt, dazu gebe ich keiner Seite recht.
Aber mir ist egal, wer den Streit gewinnt. Wenn du eine Bot-Wallet in Telegram auf deinem Handy hast, deinen Private Key schon mal in einen Trading-Bot importiert hast und in deinen Gruppen ständig Fremde Sticker posten, ist diese Kombination an sich schon absurd. Leute werden nicht bestohlen, weil die Schwachstelle besonders ausgeklügelt ist, sondern weil sie ihr ganzes Vermögen in eine App stecken, über die ihnen jeder schreiben kann.
Ich mache es jetzt ganz altmodisch: automatische Downloads in TG deaktiviert, private Nachrichten von Fremden gesperrt, App auf den neuesten Stand gebracht und kein Hauptkapital in irgendeinen TG-Bot gesteckt. Große Summen kommen in eine Cold Wallet, TG nutze ich nur zum Quatschen.
#Telegram #Sicherheit