Telegram 安卓 RCE 漏洞：Bybit 紧急预警

据 Woofun AI 消息，加密货币交易平台 于周五向用户发出紧急安全预警，要求立即更新安卓版 应用以应对潜在威胁。该漏洞的核心风险在于，特定聊天消息可在安卓设备上直接执行代码，进而危及与 Telegram 共存于同一手机的其他金融类应用，包括交易所客户端及数字钱包。Bybit 强调，一旦设备底层权限被突破，攻击者即可横向渗透至其他敏感应用程序，造成不可逆的资金安全风险。

这一警告并非孤立事件，而是针对近期 Telegram 生态内突发安全危机的直接响应，凸显了跨应用数据隔离失效对加密资产持有者的严峻挑战。

Woofun AI 整理数据显示，此次安全风波的导火索是 Telegram 于 11 月 9 日上线的机器人发送'小工具'功能，即嵌入聊天消息中的微型应用。仅两天后，安全公司 发布演示视频，揭示了一个机器人消息如何自动触发安卓手机计算器应用，这构成了典型的远程代码执行（RCE）攻击——外部实体迫使设备运行非授权指令。

目前，任何 Telegram 消息均可能沦为 RCE 攻击载体。尽管 V12 尚未公开具体攻击机制，且无独立机构证实实际攻击案例，但 Telegram 已于 11 月 11 日确认问题修复，并将补丁推送至所有用户。

值得注意的是，这些'小工具'可通过 Telegram 自托管钱包使用 区块链货币 （旧称 ）进行支付，自托管特性意味着转账操作无法被任何公司撤销。据报道， 声称在 48 小时内已有超过 100 万个此类钱包投入运行。 指出，利用 Telegram 权限运行的代码理论上可窃取维持账户登录状态的数据，且双重身份验证无法保护已激活的会话。这是继 揭露语音通话漏洞后，Telegram 一个月内出现的第二处安卓端代码执行缺陷。回顾历史，2025 年 2 月，Bybit 因黑客入侵其钱包服务提供商开发者电脑而损失约 15 亿美元，美国联邦调查局认定黑客与朝鲜有关联。

从攻击面演变来看，Telegram 尚未明确 iPhone 用户或桌面端用户是否受此漏洞影响，但'小工具'功能未来计划引入群组聊天，具体上线时间未定。Bybit 建议用户避免接触未知机器人、聊天内容及链接，仅信任经过验证的官方频道。

这一系列事件暴露了即时通讯平台在引入复杂交互功能时，对底层系统权限管控的滞后性。自托管钱包的便捷性与安全性之间的张力在此刻集中爆发，攻击者若能通过 RCE 获取会话令牌，即可绕过传统认证机制直接操控资产。Telegram 的快速修复虽缓解了即时风险，但并未消除用户对平台安全架构的根本疑虑。特别是当加密资产日益依赖去中心化钱包与社交应用深度绑定时，单一应用的漏洞可能引发连锁反应，导致用户资产面临系统性威胁。

此次事件标志着 Telegram 在追求功能创新与安全边界之间的平衡再次失衡。随着'小工具'在群组聊天的潜在扩展，攻击面将进一步扩大，用户需保持高度警惕。Bybit 的预警不仅是对当前漏洞的回应，更是对整个加密社区安全意识的唤醒。在去中心化金融与社交网络深度融合的背景下，任何底层代码执行权限的失控都可能导致灾难性后果。用户应定期更新应用，启用多重安全措施，并谨慎授权第三方应用访问权限，以构建更坚固的个人数字资产防线。