Bybit警告安卓用户紧急更新Telegram应对代码执行漏洞

周五，加密货币交易所 Bybit 向其用户发出紧急通知，要求所有安卓设备用户立即更新 Telegram 应用程序。此次警告源于近期曝光的一处严重安全缺陷，该漏洞可使攻击者仅通过一条聊天消息就在安卓手机上执行任意代码。

漏洞原理与潜在危害

据 tbreak 报道，11月9日，Telegram 允许机器人向用户发送“小部件”——一种嵌入在消息中的轻量级应用组件。两天后，安全研究机构 V12 发布演示视频，展示一条来自机器人消息的内容可自动启动安卓系统的计算器应用，这证实了远程代码执行（RCE）攻击的可能性。

这意味着任何未经验证的 Telegram 消息都可能成为恶意行为的入口。一旦设备被攻破，其他已安装的应用程序，包括加密货币钱包和交易平台，也可能面临数据泄露或资产被盗的风险。

修复进展与当前状态

Telegram 官方于11月11日发布声明称，该问题已在安卓版本中完成修复，并已向全体用户推送补丁。同时，dev.ua 表示目前尚未发现真实世界中的攻击案例，但不可忽视其潜在威胁。

尽管如此，由于漏洞曾被用于测试阶段的自动化操作，且攻击路径具备隐蔽性，专家仍建议用户保持警惕。

为何加密用户需高度关注？

值得注意的是，这些小部件功能与 Telegram 自托管钱包深度集成，支持 TON 区块链原生代币 Gram（前身为 Toncoin）的支付。自托管机制意味着交易无法撤销，一旦资金被转移，将难以追回。

据 TokenPost 报道，自该功能上线以来，已有超过100万个此类钱包在48小时内创建，表明其使用范围迅速扩大。

此外，理论上，以高权限运行的代码可能访问长期登录凭证，即使启用了双因素认证（2FA），也无法抵御此类攻击。

后续风险与防护建议

这已是本月内 Telegram 第二次曝出安卓端代码执行漏洞。此前，NebuSec 曾披露一个涉及语音通话功能的安全问题。

值得一提的是，Bybit 本身曾在2025年2月遭遇约15亿美元损失，黑客通过入侵其钱包提供商的一名开发人员电脑实施攻击，美方执法部门已将该事件关联至朝鲜网络势力。

为此，Bybit 强调，用户应避免点击未知来源的机器人、聊天链接或非官方频道内容，仅信任经平台认证的官方信息源。

截至目前，Telegram 尚未说明 iPhone 或桌面端是否受影响。同时，小部件功能即将扩展至群聊场景，具体上线时间仍未公布。