암호화폐 거래소 바이빗(Bybit)은 금요일 안드로이드에서 텔레그램을 지금 바로 업데이트하라고 사용자들에게 안내했습니다. 이 경고는 한 개의 채팅 메시지를 통해 안드로이드 휴대폰에서 코드를 실행할 수 있는 버그가 발견된 후에 나왔습니다.
위험은 텔레그램만의 문제가 아닙니다. “기기가 해킹될 경우, 다른 앱도 위험에 노출될 수 있습니다.” – 바이빗(Bybit)이 공식 계정에서 밝혔습니다. 거래소 및 지갑 앱은 종종 텔레그램과 동일 기기에서 사용됩니다.
텔레그램 버그는 무엇을 했습니까?
11월 9일 텔레그램은 챗 메시지 내에서 봇이 “위젯”이라는 작은 앱을 보낼 수 있도록 했습니다. – tbreak 보도에 따르면 그랬습니다.
이틀 후 보안 기업 V12는, 봇 메시지가 안드로이드 휴대폰의 계산기 앱을 자동으로 여는 영상을 공개했습니다. 이것은 원격 코드 실행(RCE), 즉 외부인이 기기에서 임의로 명령을 실행하는 예시입니다.
V12는 현재까지 공격 방법을 공개하지 않았고, 제3자의 별도 확인도 나오지 않았습니다. – Kod.ru 보도에 따르면 그렇게 밝혔습니다.
버그는 해결됐습니까?
텔레그램은 해결됐다고 밝혔습니다. “이 문제는 어제 텔레그램 안드로이드 버전에서 해결됐고, 오늘 오전 모든 사용자에게 패치가 배포됐습니다.” – 11월 11일 텔레그램 공식 입장입니다.
dev.ua는 실제 공격이 이루어졌다는 증거를 발견하지 못했다고 밝혔습니다.
이 이슈는 암호화폐 이용자에게 왜 중요한가요?
위젯은 텔레그램 자체 관리형 지갑을 통해 그램(Gram), 즉 TON 블록체인의 통화(과거 이름 Toncoin)로 결제 기능을 제공합니다. 자체 관리형 지갑이란 어떤 기업도 송금을 되돌릴 수 없다는 의미입니다. 두로프(Durov)는 48시간 만에 해당 지갑 백만 개 이상이 활성화됐다고 밝혔습니다. – 토큰포스트(TokenPost) 보도입니다.
dev.ua는, 이론적으로 텔레그램 접근 권한으로 실행되는 코드는 로그인 유지에 필요한 데이터에도 접근할 수 있다고 지적했습니다. 2단계 인증도 이미 열려 있는 세션은 보호하지 못합니다.
이것은 최근 한 달 사이에 텔레그램에서 두 번째로 발생한 안드로이드 코드 실행 취약점입니다. 앞선 것은 네부섹(NebuSec)이 공개한 음성통화 관련 버그입니다. 바이빗(Bybit)은 2025년 2월 약 15억 달러를 해킹으로 잃었습니다. FBI는 북한과 연관된 해커들이 지갑 제공업체의 개발자 컴퓨터를 공격했다고 밝혔습니다.
사용자들은 앞으로 무엇을 조심해야 합니까?
바이빗(Bybit)은 알 수 없는 봇, 채팅방, 링크를 피하고 공식 인증 채널만 신뢰할 것을 권고했습니다.
텔레그램은 아이폰이나 데스크탑 이용자가 영향을 받았는지 아직 밝히지 않았습니다. 위젯은 앞으로 그룹 채팅에도 도입될 예정이나, 일정은 발표되지 않았습니다.
