Le plus absurde dans la crypto : tout le monde parle de décentralisation, mais au final, les portefeuilles, les groupes de signaux, les bots de trading et les missions d’airdrop sont tous regroupés dans un seul Telegram.
Ces deux derniers jours, à OffensiveCon Tokyo, le chercheur Saifeldeen Aziz a parlé d’une vulnérabilité « 0-click » dans Telegram : le problème vient de la bibliothèque rlottie, qui affiche les stickers animés. En combinant une faille mémoire avec un contournement des vérifications, il affirme pouvoir exécuter du code sur iOS. « 0-click », ça veut dire que vous n’avez rien à toucher : il suffit que le sticker apparaisse dans la conversation.
Telegram affirme de son côté que les stickers sont vérifiés côté serveur, ce qui permettrait de bloquer l’attaque. Le chercheur a justement mis cette affirmation à l’épreuve sur place. Les détails complets et le correctif ne sont pas encore tous disponibles ; je ne vais donc pas me prononcer sur l’ampleur exacte de l’attaque.
Mais je me fiche de savoir qui a le dernier mot. Si vous avez un portefeuille bot connecté à Telegram sur votre téléphone, si vous avez déjà importé votre clé privée dans un bot de trading, et si des inconnus envoient des stickers dans vos groupes tous les jours, cette combinaison est déjà absurde. Les gens qui se font voler leurs fonds ne le sont pas à cause de failles particulièrement sophistiquées, mais parce qu’ils mettent tout leur patrimoine dans une appli où n’importe qui peut leur envoyer un message.
Ma solution, toute simple : désactiver le téléchargement automatique dans TG, bloquer les messages privés d’inconnus, mettre l’appli à jour et ne jamais utiliser de bot Telegram pour mes fonds principaux. Les grosses sommes vont dans un portefeuille froid ; Telegram, c’est juste pour papoter.
#Telegram #Sécurité
Ces deux derniers jours, à OffensiveCon Tokyo, le chercheur Saifeldeen Aziz a parlé d’une vulnérabilité « 0-click » dans Telegram : le problème vient de la bibliothèque rlottie, qui affiche les stickers animés. En combinant une faille mémoire avec un contournement des vérifications, il affirme pouvoir exécuter du code sur iOS. « 0-click », ça veut dire que vous n’avez rien à toucher : il suffit que le sticker apparaisse dans la conversation.
Telegram affirme de son côté que les stickers sont vérifiés côté serveur, ce qui permettrait de bloquer l’attaque. Le chercheur a justement mis cette affirmation à l’épreuve sur place. Les détails complets et le correctif ne sont pas encore tous disponibles ; je ne vais donc pas me prononcer sur l’ampleur exacte de l’attaque.
Mais je me fiche de savoir qui a le dernier mot. Si vous avez un portefeuille bot connecté à Telegram sur votre téléphone, si vous avez déjà importé votre clé privée dans un bot de trading, et si des inconnus envoient des stickers dans vos groupes tous les jours, cette combinaison est déjà absurde. Les gens qui se font voler leurs fonds ne le sont pas à cause de failles particulièrement sophistiquées, mais parce qu’ils mettent tout leur patrimoine dans une appli où n’importe qui peut leur envoyer un message.
Ma solution, toute simple : désactiver le téléchargement automatique dans TG, bloquer les messages privés d’inconnus, mettre l’appli à jour et ne jamais utiliser de bot Telegram pour mes fonds principaux. Les grosses sommes vont dans un portefeuille froid ; Telegram, c’est juste pour papoter.
#Telegram #Sécurité