แพลตฟอร์มแลกเปลี่ยนคริปโต Bybit แจ้งเตือนผู้ใช้งานเมื่อวันศุกร์ให้รีบอัปเดต Telegram บน Android ทันที หลังพบข้อบกพร่องที่ทำให้ข้อความแชทเพียงข้อความเดียวสามารถรันโค้ดบนโทรศัพท์ Android ได้
ความเสี่ยงนี้ไม่ได้จำกัดเฉพาะ Telegram เท่านั้น เพราะอุปกรณ์ที่ถูกเจาะระบบสำเร็จอาจทำให้แอปอื่นๆ มีความเสี่ยงด้วย ตามที่ Bybit ระบุ โดยแอปสำหรับการแลกเปลี่ยนและกระเป๋าคริปโตมักจะถูกติดตั้งบนโทรศัพท์เครื่องเดียวกับ Telegram
ข้อบกพร่องใน Telegram ทำอะไรได้บ้าง?
เมื่อวันที่ 9 พฤศจิกายน Telegram ได้อนุญาตให้บอทส่ง “widget” หรือแอปขนาดเล็กในข้อความแชท ตามรายงานของ tbreak
สองวันถัดมา บริษัทด้านความปลอดภัย V12 ได้เผยแพร่วิดีโอซึ่งแสดงให้เห็นว่าข้อความจากบอทสามารถเปิดแอปเครื่องคิดเลขของ Android ได้เอง เหตุการณ์นี้เรียกว่า remote code execution (RCE) ซึ่งหมายถึงบุคคลภายนอกสามารถทำให้อุปกรณ์รันคำสั่งที่ไม่ควรจะเกิดขึ้นได้
ทั้งนี้ V12 ยังไม่ได้เปิดเผยรายละเอียดวิธีโจมตี และยังไม่มีหน่วยงานอิสระใดยืนยันกรณีดังกล่าว ตามรายงานของ Kod.ru
ข้อบกพร่องนี้ได้รับการแก้ไขแล้วหรือยัง?
Telegram ระบุไว้ว่า ได้มีการแก้ไขแล้ว โดยระบุว่า “ปัญหานี้บน Telegram สำหรับ Android ได้รับการแก้ไขเมื่อวานนี้ และการอัปเดตก็ได้ปล่อยไปยังผู้ใช้ทั้งหมดตั้งแต่เช้าวันนี้” ซึ่งโพสต์เมื่อวันที่ 11 พฤศจิกายน
dev.ua ตรวจสอบ และไม่พบหลักฐานของการโจมตีจริงในเหตุการณ์นี้
เหตุใดผู้ใช้คริปโตจึงต้องใส่ใจ?
Widget เหล่านี้รองรับการชำระเงินด้วย Gram ซึ่งเป็นสกุลเงินบนบล็อกเชน TON เดิมชื่อ Toncoin ผ่านกระเป๋าแบบ self-custody ของ Telegram โดย self-custody หมายความว่าไม่มีบริษัทไหนย้อนกลับธุรกรรมได้ Durov ระบุว่ามีกระเป๋าแบบนี้กว่า 1 ล้านใบเปิดใช้งานภายใน 48 ชั่วโมง อ้างอิงจาก TokenPost
นอกจากนี้ dev.ua ยังระบุว่าหากโค้ดสามารถรันด้วยสิทธิ์เข้าถึงของ Telegram ก็อาจเข้าถึงข้อมูลที่ใช้เก็บสถานะล็อกอินได้ในทางทฤษฎี โดยการยืนยันตัวตนสองขั้นตอนจะไม่สามารถป้องกันเซสชันที่เข้าสู่ระบบอยู่แล้ว
และนี่เป็นครั้งที่สองในรอบเดือนที่ Telegram บน Android พบช่องโหว่ด้าน remote code execution หลังจาก มีการเปิดเผยช่องโหว่การโทรด้วยเสียงโดย NebuSec ขณะเดียวกัน Bybit ก็เคยสูญเงินไปถึงประมาณ 1.5 พันล้าน USD เมื่อเดือนกุมภาพันธ์ 2025 หลังแฮกเกอร์ (ที่ FBI เชื่อมโยงกับเกาหลีเหนือ) เจาะเครื่องคอมพิวเตอร์ของนักพัฒนาที่ให้บริการกระเป๋าคริปโตของบริษัท
ผู้ใช้ควรติดตามอะไรต่อไป?
Bybit ได้แนะนำให้ผู้ใช้ทุกคนหลีกเลี่ยง bot, แชท และลิงก์ที่ไม่รู้จัก พร้อมกับเชื่อถือเฉพาะ ช่องทางที่ได้รับการยืนยัน ของตนเท่านั้น
ขณะเดียวกัน Telegram ยังไม่ได้ระบุว่าผู้ใช้ iPhone หรือเดสก์ท็อปได้รับผลกระทบด้วยหรือไม่ ทั้งนี้ Widget กำลังจะเข้าถึงการแชทกลุ่ม แต่ยังไม่มีการประกาศวันที่แน่นอน
