Самое абсурдное в криптомире: все на словах за децентрализацию, а на деле кошельки, чаты с торговыми сигналами, торговые боты и задания с аирдропами — всё в одном Telegram.
На днях на OffensiveCon в Токио исследователь Saifeldeen Aziz рассказал об уязвимости Telegram с атакой 0-click: проблема в библиотеке rlottie, которая обрабатывает анимированные стикеры. По его словам, уязвимость памяти в сочетании с обходом проверки позволяет добиться выполнения кода на iOS. 0-click означает, что не нужно ничего нажимать: достаточно, чтобы стикер появился в чате.
В Telegram утверждают, что сервер проверяет стикеры и атака не сработает. Исследователь прямо на месте оспорил это заявление. Полные подробности и исправление пока ещё не опубликованы, поэтому я не стану делать выводов о том, насколько серьёзной может быть атака.
Но мне всё равно, кто в споре окажется прав. Если у тебя в Telegram на телефоне подключён бот-кошелёк, ты импортировал приватный ключ в какого-нибудь торгового бота, а в чаты постоянно кидают стикеры незнакомые аккаунты — это уже само по себе абсурдное сочетание. Люди теряют деньги не потому, что уязвимости какие-то сверхсложные, а потому что хранят всё своё состояние в приложении, где написать тебе может кто угодно.
Я поступаю старомодно: отключаю автоматическую загрузку в Telegram, запрещаю личные сообщения от незнакомцев, обновляю приложение до последней версии и не использую никаких TG-ботов для основных средств. Крупные суммы храню в холодном кошельке, а Telegram — только для болтовни.
#Telegram #безопасность
На днях на OffensiveCon в Токио исследователь Saifeldeen Aziz рассказал об уязвимости Telegram с атакой 0-click: проблема в библиотеке rlottie, которая обрабатывает анимированные стикеры. По его словам, уязвимость памяти в сочетании с обходом проверки позволяет добиться выполнения кода на iOS. 0-click означает, что не нужно ничего нажимать: достаточно, чтобы стикер появился в чате.
В Telegram утверждают, что сервер проверяет стикеры и атака не сработает. Исследователь прямо на месте оспорил это заявление. Полные подробности и исправление пока ещё не опубликованы, поэтому я не стану делать выводов о том, насколько серьёзной может быть атака.
Но мне всё равно, кто в споре окажется прав. Если у тебя в Telegram на телефоне подключён бот-кошелёк, ты импортировал приватный ключ в какого-нибудь торгового бота, а в чаты постоянно кидают стикеры незнакомые аккаунты — это уже само по себе абсурдное сочетание. Люди теряют деньги не потому, что уязвимости какие-то сверхсложные, а потому что хранят всё своё состояние в приложении, где написать тебе может кто угодно.
Я поступаю старомодно: отключаю автоматическую загрузку в Telegram, запрещаю личные сообщения от незнакомцев, обновляю приложение до последней версии и не использую никаких TG-ботов для основных средств. Крупные суммы храню в холодном кошельке, а Telegram — только для болтовни.
#Telegram #безопасность