A coisa mais absurda do mundo cripto: todo mundo fala em descentralização, mas acaba colocando carteiras, grupos de sinais, bots de trading e tarefas de airdrop tudo dentro de um único Telegram.
Nestes últimos dias, no OffensiveCon em Tóquio, o pesquisador Saifeldeen Aziz falou sobre uma vulnerabilidade 0-click do Telegram: o problema está na biblioteca rlottie, que renderiza stickers animados. Com uma vulnerabilidade de memória combinada com uma forma de contornar as verificações, ele diz que é possível executar código no iOS. 0-click significa que você não precisa tocar em nada: basta o sticker aparecer na conversa.
O Telegram diz que o servidor valida os stickers e que isso é suficiente para impedir o ataque. O pesquisador estava justamente contestando essa afirmação. Os detalhes completos e as correções ainda não foram divulgados, então não vou tirar conclusões sobre o alcance do ataque.
Mas não me importa quem vence essa discussão. Se você tem uma carteira de bot do Telegram no celular, já importou sua chave privada para algum bot de trading e recebe stickers de desconhecidos no grupo todos os dias, essa combinação já é absurda por si só. As pessoas nunca são roubadas porque a vulnerabilidade é sofisticada demais, mas porque colocam todo o seu patrimônio em um app onde qualquer um pode mandar uma mensagem.
Minha solução é bem simples: desativei o download automático no TG, bloqueei mensagens privadas de desconhecidos, atualizei o app para a versão mais recente e não uso nenhum bot do TG com meus fundos principais. O dinheiro grande fica numa carteira fria; uso o TG só para bater papo.
#Telegram #Segurança
Nestes últimos dias, no OffensiveCon em Tóquio, o pesquisador Saifeldeen Aziz falou sobre uma vulnerabilidade 0-click do Telegram: o problema está na biblioteca rlottie, que renderiza stickers animados. Com uma vulnerabilidade de memória combinada com uma forma de contornar as verificações, ele diz que é possível executar código no iOS. 0-click significa que você não precisa tocar em nada: basta o sticker aparecer na conversa.
O Telegram diz que o servidor valida os stickers e que isso é suficiente para impedir o ataque. O pesquisador estava justamente contestando essa afirmação. Os detalhes completos e as correções ainda não foram divulgados, então não vou tirar conclusões sobre o alcance do ataque.
Mas não me importa quem vence essa discussão. Se você tem uma carteira de bot do Telegram no celular, já importou sua chave privada para algum bot de trading e recebe stickers de desconhecidos no grupo todos os dias, essa combinação já é absurda por si só. As pessoas nunca são roubadas porque a vulnerabilidade é sofisticada demais, mas porque colocam todo o seu patrimônio em um app onde qualquer um pode mandar uma mensagem.
Minha solução é bem simples: desativei o download automático no TG, bloqueei mensagens privadas de desconhecidos, atualizei o app para a versão mais recente e não uso nenhum bot do TG com meus fundos principais. O dinheiro grande fica numa carteira fria; uso o TG só para bater papo.
#Telegram #Segurança