Die Krypto-Börse Bybit riet ihren Nutzern am Freitag, Telegram auf Android jetzt zu aktualisieren. Dieser Hinweis erfolgt nach einem Fehler, bei dem eine einzelne Chat-Nachricht Code auf Android-Geräten ausführen konnte.
Das Risiko betrifft nicht nur Telegram. „Ein kompromittiertes Gerät könnte auch andere Apps in Gefahr bringen”, erklärte Bybit. Börsen- und Wallet-Apps befinden sich oft gemeinsam mit Telegram auf dem Smartphone.
Was hat der Telegram-Fehler verursacht?
Am 9. November erlaubte Telegram Bots, sogenannte „Widgets” zu verschicken, das sind kleine Apps direkt in einer Chat-Nachricht, berichtete tbreak.
Zwei Tage später veröffentlichte die Sicherheitsfirma V12 ein Video, in dem eine Bot-Nachricht selbstständig die Rechner-App eines Android-Smartphones öffnete. Dies zeigt Remote-Code-Ausführung (RCE): Eine Außenperson bringt so ein Gerät dazu, Befehle auszuführen, die es eigentlich nicht ausführen dürfte.
V12 hat bisher nicht veröffentlicht, wie der Angriff funktioniert, und keine unabhängige Stelle hat den Vorfall bestätigt, meldete Kod.ru.
Ist der Fehler behoben?
Telegram gibt an, ja. „Dieses Problem bei Telegram für Android wurde gestern behoben und die Lösung wurde heute früh an alle Nutzer ausgerollt”, hieß es am 11. November.
dev.ua fand bisher keine Hinweise auf tatsächliche Angriffe.
Warum ist das für Krypto-Nutzer wichtig?
Die Widgets ermöglichen Zahlungen in Gram, der Währung der TON-Blockchain, ehemals Toncoin, über Telegrams Selbstverwahrungs-Wallet. Selbstverwahrung bedeutet, dass kein Unternehmen eine Überweisung rückgängig machen kann. Durov teilte mit, dass über 1 Million dieser Wallets innerhalb von 48 Stunden aktiviert wurden, berichtete TokenPost.
dev.ua wies zudem darauf hin, dass Code mit Telegram-Zugriff theoretisch auch Daten erreichen könnte, welche ein Konto angemeldet halten. Die Zwei-Faktor-Authentisierung schützt offene Sessions nicht.
Dies ist schon die zweite Sicherheitslücke bei Telegram für Android, mit der Code ausgeführt werden konnte — innerhalb eines Monats, nach einem Voice-Call-Fehler, den NebuSec bekannt machte. Bybit selbst verlor im Februar 2025 etwa 1,5 Milliarden USD, nachdem Hacker, denen das FBI eine Verbindung nach Nordkorea nachwies, den Computer eines Entwicklers beim Wallet-Anbieter kompromittieren konnten.
Was sollten Nutzer als Nächstes beachten?
Bybit riet Nutzern, unbekannte Bots, Chats und Links zu meiden und ausschließlich den verifizierten Kanälen von Bybit zu vertrauen.
Telegram hat nicht mitgeteilt, ob auch Nutzer mit iPhone oder Desktop betroffen waren. Zudem sollen Widgets künftig auch in Gruppenchats verfügbar sein, ein Datum ist dafür nicht bekannt.
