L’exchange crypto Bybit a conseillé à ses utilisateurs vendredi de mettre à jour Telegram sur Android immédiatement. Cet avertissement fait suite à la découverte d’un bug qui permettait à un simple message de discussion d’exécuter du code sur les téléphones Android.
Le risque dépasse le cadre de Telegram. « Un appareil compromis pourrait également mettre d’autres applications en danger », a déclaré Bybit. Les applications d’exchange et de wallet partagent souvent le même téléphone que Telegram.
Que faisait ce bug sur Telegram ?
Le 9 novembre, Telegram a permis aux bots d’envoyer des « widgets », c’est-à-dire des mini-applications à l’intérieur d’un message de discussion, d’après tbreak.
Deux jours plus tard, la société de cybersécurité V12 a publié une vidéo montrant un message envoyé par bot ouvrant tout seul l’application Calculatrice d’un téléphone Android. Cela démontre une exécution de code à distance (RCE) : une personne extérieure peut alors faire exécuter au téléphone des commandes qu’il ne devrait pas effectuer.
V12 n’a pas publié la méthode exacte de l’attaque et aucune partie indépendante ne l’a confirmée, rapporte Kod.ru.
Le bug a-t-il été corrigé ?
Telegram affirme que oui. « Ce problème dans Telegram pour Android a été corrigé hier, et la mise à jour a été déployée pour tous les utilisateurs plus tôt dans la journée, » a-t-on pu lire dans un post du 11 novembre.
dev.ua précise qu’aucune attaque réelle n’a été détectée.
Pourquoi cela concerne-t-il les utilisateurs crypto ?
Les widgets intègrent des paiements en Gram, le jeton de la blockchain TON, anciennement appelé Toncoin, au travers du wallet en self-custody de Telegram. Le self-custody signifie qu’aucune entreprise ne peut annuler un transfert. Durov a indiqué que plus d’un million de ces wallets avaient été activés en moins de 48 heures, selon TokenPost.
dev.ua signale également qu’un code s’exécutant avec les droits de Telegram pourrait, en théorie, accéder aux données qui permettent à un compte de rester connecté. L’authentification à deux facteurs ne protège pas les sessions déjà ouvertes.
Il s’agit du deuxième bug d’exécution de code à distance sur Android découvert en un mois sur Telegram, après une faille sur les appels vocaux révélée par NebuSec. Bybit avait d’ailleurs lui-même perdu environ 1,5 milliard de dollars en février 2025, après qu’un hack attribué par le FBI à la Corée du Nord a compromis l’ordinateur d’un développeur chez son fournisseur de wallet.
À quoi les utilisateurs doivent-ils faire attention maintenant ?
Bybit recommande aux utilisateurs d’éviter les bots, discussions et liens inconnus, et de ne faire confiance qu’à ses canaux vérifiés.
Telegram n’a pas précisé si les utilisateurs d’iPhone ou de bureau étaient concernés. Les widgets doivent également arriver dans les discussions de groupe, sans date annoncée.
