Hal paling absurd di dunia kripto: semua orang ramai-ramai bicara soal desentralisasi, tapi dompet, grup sinyal, bot trading, dan tugas airdrop semuanya dijejalkan ke satu Telegram.
Beberapa hari ini di OffensiveCon Tokyo, peneliti Saifeldeen Aziz membahas celah 0-click di Telegram: masalahnya ada pada pustaka rlottie yang merender stiker animasi. Dengan memanfaatkan kerentanan memori dan melewati validasi, katanya, eksekusi kode bisa dilakukan di iOS. 0-click artinya kamu tidak perlu mengeklik apa pun—cukup stikernya muncul di ruang obrolan.
Telegram mengatakan server mereka memvalidasi stiker dan bisa mencegahnya. Peneliti itu langsung menantang pernyataan tersebut. Detail lengkap dan patch-nya belum dirilis semua, jadi saya tidak akan menyimpulkan sejauh mana serangan ini bisa dilakukan.
Tapi saya tidak peduli siapa yang menang debat. Kalau di TG di ponselmu ada dompet bot, kamu pernah mengimpor private key ke bot trading, dan orang tak dikenal tiap hari mengirim stiker di grup, kombinasi ini memang sudah absurd. Orang kehilangan aset bukan karena celahnya terlalu canggih, tapi karena mereka menaruh seluruh kekayaan di satu aplikasi yang bisa dipakai siapa saja untuk mengirimi mereka pesan.
Cara saya sekarang sederhana: matikan unduh otomatis di TG, matikan pesan pribadi dari orang tak dikenal, perbarui aplikasi ke versi terbaru, dan jangan pernah gunakan bot TG untuk dana utama. Simpan dana besar di cold wallet; TG cuma untuk ngobrol.
#Telegram #Keamanan
Beberapa hari ini di OffensiveCon Tokyo, peneliti Saifeldeen Aziz membahas celah 0-click di Telegram: masalahnya ada pada pustaka rlottie yang merender stiker animasi. Dengan memanfaatkan kerentanan memori dan melewati validasi, katanya, eksekusi kode bisa dilakukan di iOS. 0-click artinya kamu tidak perlu mengeklik apa pun—cukup stikernya muncul di ruang obrolan.
Telegram mengatakan server mereka memvalidasi stiker dan bisa mencegahnya. Peneliti itu langsung menantang pernyataan tersebut. Detail lengkap dan patch-nya belum dirilis semua, jadi saya tidak akan menyimpulkan sejauh mana serangan ini bisa dilakukan.
Tapi saya tidak peduli siapa yang menang debat. Kalau di TG di ponselmu ada dompet bot, kamu pernah mengimpor private key ke bot trading, dan orang tak dikenal tiap hari mengirim stiker di grup, kombinasi ini memang sudah absurd. Orang kehilangan aset bukan karena celahnya terlalu canggih, tapi karena mereka menaruh seluruh kekayaan di satu aplikasi yang bisa dipakai siapa saja untuk mengirimi mereka pesan.
Cara saya sekarang sederhana: matikan unduh otomatis di TG, matikan pesan pribadi dari orang tak dikenal, perbarui aplikasi ke versi terbaru, dan jangan pernah gunakan bot TG untuk dana utama. Simpan dana besar di cold wallet; TG cuma untuk ngobrol.
#Telegram #Keamanan