Houve um alerta urgente em 13 de nov., após a divulgação de uma vulnerabilidade do Telegram no Android que poderia colocar outros aplicativos em um dispositivo comprometido em alto risco.
O alerta veio depois que a empresa de segurança V12 mostrou uma mensagem de bot abrindo o aplicativo Calculadora do celular por conta própria. Essa é a prova clássica de execução remota de código (RCE) — alguém de fora fazendo seu dispositivo executar comandos que não deveria.
O que realmente aconteceu?
1. Em 9 de nov. — Telegram lança widgets
O Telegram permitiu que bots enviassem “widgets” — pequenos aplicativos dentro de uma mensagem de chat. Pense em jogos, enquetes, miniaplicativos e pagamentos em Gram $TON pela carteira de autocustódia do Telegram.
2. Em 11 de novembro — a demonstração que chocou todo mundo
A V12 publicou um vídeo mostrando uma mensagem de bot abrindo sozinha o app Calculadora do Android. A V12 não publicou como o ataque funciona, e nenhuma entidade independente confirmou isso até agora.
Relatos apontam para um bug de memória no mecanismo de widgets do Telegram: uma função JavaScript malformada poderia corromper a memória e permitir que um widget saísse do próprio ambiente isolado.
3. De 11 a 13 de novembro — o Telegram diz que corrigiu o problema
O Telegram disse que o problema no Telegram para Android foi corrigido e que a correção foi disponibilizada a todos os usuários. A correção chegou ao Telegram para Android 13.2.2, que transferiu o código dos widgets para um processo isolado separado.
Mas uma correção só protege você se você a instalar. Por isso o alerta era urgente.
Como isso afeta sua segurança?
A maioria das pessoas pensa: "É só o Telegram, meu dinheiro está na corretora."
Não é assim que funciona.
1. Dispositivo comprometido = apps comprometidos
Quando um invasor consegue executar código no seu celular, ele não fica mais limitado ao Telegram. Em teoria, pode tentar:
- Ler tokens de sessão que mantêm você conectado aos apps. A autenticação em duas etapas NÃO protege uma sessão que já está aberta
- Acessar arquivos, fotos e a área de transferência — onde muitas pessoas ainda guardam frases-semente
- Roubar dados de outros apps no mesmo dispositivo
2. Usuários de criptomoedas são alvos perfeitos
É no Telegram que o mundo das criptomoedas acontece: grupos de negociação, bots de airdrop, vendedores P2P, bots de "suporte". Os invasores sabem que usuários de criptomoedas vão tocar em Iniciar em um bot. Na demonstração da V12, o usuário teve que tocar em Iniciar na conversa com um bot — e então o código foi executado.
E, como a Carteira do Telegram é de autocustódia, uma transferência não pode ser revertida.
3. Este é o segundo susto com o Android do Telegram em um mês
Em 29 de outubro, a empresa NebuSec divulgou uma falha de corrupção de memória nas chamadas de voz e vídeo do Telegram. A vítima só precisava atender uma chamada. O Telegram disse que já havia corrigido o problema na versão 12.10.4.
Dois recursos diferentes, a mesma lição: novos recursos = novas superfícies de ataque.
A controvérsia
Em 13 de novembro, o fundador do Telegram, Pavel Durov, disse que a falha "não existe" da forma descrita e desafiou hackers a invadirem sua própria conta. Ele argumentou que receber uma mensagem, por si só, não era suficiente.
Contexto importante:
- Nenhum CVE foi atribuído
- Nenhum ataque no mundo real foi confirmado
- A V12 não divulgou provas técnicas completas
Portanto, o problema foi relatado ou demonstrado, mas ainda não foi comprovado que tenha sido explorado no mundo real. Isso não significa que você deva ignorá-lo.
O que você deve fazer AGORA - 5 passos
1. Atualize o Telegram para Android para a versão 13.2.2 ou mais recente pela Google Play. Não instale APKs por fora da loja.
2. Não inicie bots desconhecidos. Especialmente bots que prometem airdrops, criptomoedas grátis ou que pedem para "verificar sua carteira".
3. Não abra conversas com muitos widgets até atualizar.
4. Tire as frases-semente do seu celular. Nada de capturas de tela, app de Notas ou Mensagens Salvas do Telegram.
5. Verifique suas sessões: Telegram > Configurações > Dispositivos; encerre as sessões desconhecidas. Faça o mesmo nos apps das suas corretoras.
Em resumo
No mundo das criptomoedas, seu celular É seu banco.
E quando seu banco, sua carteira, seu app de autenticação em duas etapas e seu app de conversa estão todos no mesmo dispositivo, uma vulnerabilidade em um app pode se tornar uma vulnerabilidade em todos eles.
Atualize agora. Não toque em Iniciar em bots nos quais você não confia. E nunca trate o Telegram como um lugar seguro para guardar suas chaves.
Segurança em primeiro lugar — facinho, facinho. Fique SAFU.
Curta, compartilhe e siga-me para ver mais.