Crypto exchange Bybit mengimbau para pengguna pada hari Jumat untuk segera meng-update aplikasi Telegram di Android. Imbauan ini muncul setelah adanya bug yang memungkinkan satu pesan chat menjalankan kode di ponsel Android.
Risiko tersebut berdampak lebih luas dari sekadar Telegram saja. “Perangkat yang terkompromi juga bisa membahayakan aplikasi lain,” ujar Bybit. Aplikasi exchange dan wallet biasanya memang terpasang bersama Telegram di satu ponsel.
Apa yang Dilakukan Bug Telegram?
Pada 9 November, Telegram memungkinkan bot mengirim “widget”, yaitu aplikasi kecil di dalam pesan chat, menurut tbreak.
Dua hari kemudian, perusahaan keamanan V12 mengunggah video yang menunjukkan pesan dari bot berhasil membuka aplikasi Kalkulator di ponsel Android secara otomatis. Hal ini menunjukkan remote code execution (RCE): pihak luar bisa memerintahkan perangkat untuk menjalankan perintah secara tidak semestinya.
V12 belum mempublikasikan rincian cara kerja serangan tersebut, dan belum ada pihak independen yang mengonfirmasi kelayakannya, tutur Kod.ru.
Apakah Bug Sudah Diperbaiki?
Telegram menyatakan sudah. “Masalah ini pada Telegram untuk Android sudah diperbaiki kemarin, dan perbaikannya telah dikirim ke seluruh pengguna pada hari ini,” tulis platform tersebut pada 11 November.
dev.ua tidak menemukan bukti adanya serangan nyata.
Mengapa Penting bagi Pengguna Aset Kripto?
Widget ini membawa pembayaran dengan Gram, yaitu aset blockchain TON, yang dulu bernama Toncoin, melalui wallet self-custody di Telegram. Fitur self-custody artinya tidak ada perusahaan yang bisa membatalkan transaksi. Durov mengungkapkan bahwa lebih dari 1 juta wallet tersebut aktif hanya dalam 48 jam, lapor TokenPost.
dev.ua juga menyoroti bahwa kode yang berjalan lewat akses Telegram secara teori dapat menjangkau data yang menjaga akun tetap masuk. Verifikasi dua langkah tidak melindungi sesi yang sudah terbuka.
Ini adalah celah kode eksekusi kedua di Telegram Android dalam sebulan terakhir, setelah bug pada panggilan suara yang dibuka oleh NebuSec. Bybit sendiri pernah kehilangan sekitar US$1,5 miliar pada Februari 2025 setelah hacker, yang menurut FBI berasal dari Korea Utara, berhasil mengambil alih komputer pengembang di penyedia wallet mereka.
Apa yang Harus Diperhatikan Pengguna Selanjutnya?
Bybit mengingatkan pengguna agar menghindari bot, chat, dan tautan yang tidak dikenal, serta mempercayai hanya kanal resmi yang terverifikasi saja.
Telegram belum memberi keterangan apakah pengguna iPhone maupun desktop ikut terdampak. Widget juga akan hadir di chat grup, tapi belum ada tanggal pasti yang diumumkan.
