加密货币交易所 Bybit 于本周五提醒用户，安卓用户现需立即更新 Telegram。此次警告源于近期曝光的一项漏洞，该漏洞允许攻击者仅凭一条聊天消息，即能在安卓手机上远程执行代码。
这一风险并不限于 Telegram。Bybit 表示：“一旦设备被攻破，其他应用程序同样面临威胁。”目前，交易及钱包应用通常与 Telegram 共存在同一手机上。
Telegram 漏洞究竟带来了什么风险？
据 tbreak 报道，自 11 月 9 日起，Telegram 允许机器人通过聊天消息发送 “小部件”（widgets），即嵌入消息内的小型应用程序。
两天后，安全公司 V12 发布了一段演示视频，展示机器人消息可自动打开安卓手机上的计算器应用。这一行为即为远程代码执行（RCE），意即攻击者可远程强制设备执行未经授权的指令。
据 Kod.ru 报道，目前 V12 尚未公开相关攻击细节，且独立安全机构也未确认该漏洞利用方式的真实性。
该漏洞是否已修复？
Telegram 官方回应称，该漏洞已于昨日修复，并于 11 月 11 日向所有安卓端用户推送了更新。
此外，据 dev.ua 调查，目前暂无发现实际攻击案例。
为何此事牵动加密用户神经？
这些小部件可通过 Telegram 去中心化钱包，支持 TON 区块链的主流支付代币 Gram（前身为 Toncoin）。自有钱包意味着用户交易不可由任何公司撤销。据 TokenPost 报道，Durov 表示，48 小时内已激活超 100 万个该类钱包。
dev.ua 还指出，若恶意代码获得 Telegram 访问权限，理论上可触及维持账户登录状态的数据。即便账户启用了双因素认证，已激活的会话依然容易被攻破。
需要关注的是，这已经是 Telegram 本月曝出的第二例安卓端远程代码执行漏洞。上次为 NebuSec 披露的语音通话代码执行漏洞。今年 2 月，Bybit 曾因钱包开发供应商的一台开发者电脑遭攻击，被 FBI 指向北朝鲜黑客，最终损失高达 15 亿美元。
接下来用户该重点关注哪些风险？
Bybit 提醒用户，务必避免接触不明机器人、聊天和链接，并仅通过其官方认证渠道获取信息。
目前 Telegram 尚未披露 iPhone 用户或桌面端用户是否受到影响。此外，官方宣布小组件功能未来也将支持群组聊天，但具体上线时间尚未公布。
