暗号資産取引所Bybitは11月13日、セキュリティ研究者が、侵害された端末上の他のアプリケーションを露出させ得る脆弱性を公表したことを受け、Android版Telegramのユーザーに速やかな更新を呼びかけるセキュリティ勧告を発行した。Bybitは、この脆弱性が公表され、Telegramが修正版をすでにユーザーへ配布したと確認した後、数日以内にこの勧告を公開した。この警告は、コミュニケーションやデジタル資産サービスへのアクセスにメッセージングプラットフォームを利用する暗号資産ユーザーが直面するセキュリティリスクを浮き彫りにしている。

勧告の中でBybitは、リスクが必ずしもTelegram自体に留まらないと注意を促した。同取引所は、侵害されたAndroid端末が同一端末にインストールされた他のアプリケーションにリスクをもたらし得ると警告した。同社は、最新版のTelegramをインストールすること、見知らぬチャットや不明なボットを避けること、不審なリンクを開かないこと、検証済みの公式コミュニケーションチャネルのみに依拠することを含む、いくつかの予防策を推奨した。

これらの推奨事項は、ウォレット、取引所、その他の金融サービスへのアクセスに使用されるアプリが端末に含まれている可能性がある暗号資産ユーザーにとって特に重要である。メッセージングプラットフォームは、より広い意味でも暗号資産運営の中心的な位置を占めている。取引所やプロジェクトチームは発表、コミュニティでの議論、ユーザーサポートにこれらを一般的に利用しており、ユーザーと資金を守るサービスとの日常的な接点となっている。

セキュリティ研究者がTelegram Android脆弱性を実証

この警告は、セキュリティ調査企業V12が今週初めに行った公報に続くもの。V12は、Android端末のTelegramのWidgets機能に関わるリモートコード実行脆弱性を特定した。Wu BlockchainがX上の投稿で報じたデモによると、ボット経由で送信されたメッセージがAndroid端末で電卓アプリの起動を引き起こし得るという。このデモは、この脆弱性により攻撃者がTelegramのメッセージング機能を通じて対象端末上でアクションを実行できる可能性があることを示した。

リモートコード実行脆弱性は、一定の条件下で不正なコードやコマンドを端末上で実行させ得るため、特に重大なものとみなされている。暗号資産セキュリティの文脈では、モバイル端末に影響する脆弱性は、同じ端末が金融アプリへのアクセスや機密情報の保存にも使用されている場合、追加の懸念を生み出し得る。

Telegramはその後、脆弱性が修正され、問題に対処する更新がユーザーへ配布されたことを確認した。Bybitの11月13日の勧告はこの点を強調し、潜在的に脆弱なソフトウェアを使い続けるのではなく、最新の入手可能なバージョンをインストールすべきであると強調した。勧告の時点で、アプリを更新すれば公表された脆弱性への対策は誰でも利用可能だった。個々のユーザーにとって実務上確認すべき指標はインストール済みアプリのバージョンそのものである。修正はTelegramの通常の更新チャネルを通じて提供されるため、対策は最新リリースが実際にダウンロード・インストールされているかの確認に帰着する。

Bybitがユーザー向け予防策を提示

セキュリティガイダンスの中でBybitは、Android版Telegramに関わる不審なアクティビティへの露出を減らすことを目的としたいくつかのステップを示した。同取引所はユーザーに以下を呼びかけた:

• Telegramを直ちに最新版へ更新する。Telegramはすでに公表された脆弱性の修正を配布している。
• 見知らぬ会話や不明なボットを避ける。
• 不審なリンクを開かない。
• 検証済みの公式チャネルのみで連絡する。

ボットとリンクに関する助言は、今週の公報で示されたリスク、すなわちボット経由で送信されたメッセージが端末上でアクションを引き起こし得ると実証された内容を反映している。これらの推奨事項は、悪意のあるメッセージや侵害された可能性のあるアプリに関連する一般的なリスクに対処するものである。

他のアプリケーションへのリスクに関する警告は、モバイル端末が暗号資産ウォレットや取引プラットフォームを含む複数のデジタルサービスのアクセスポイントとして機能することが多いことから、特に重要である。Bybitの勧告はまた、検証済みの公式コミュニケーションチャネルのみに依拠することの重要性も強調した。

Binance、以前にiOSセキュリティ脆弱性について警告

Bybitの勧告に先立ち、Binanceは11月10日、worse_queryとして知られるiOS脆弱性に関する別のセキュリティ警告を発行していた。Binanceは、この脆弱性により悪意のあるアプリケーションが影響を受けた端末上の他のアプリケーションに属するファイルへアクセスできる可能性があると警告した。こうしたアクセスは、暗号資産ウォレットのシードフレーズ、秘密鍵、アカウントのログイン資格情報を含む極めて機密性の高い情報を露出させ得る。

両勧告は数日のうちに公表され、異なるモバイルOSと別個のセキュリティ問題に関わるものだった。Telegramの脆弱性はAndroidとそのWidgets機能に関するものであり、Binanceが特定したworse_query脆弱性はiOSのアプリケーションファイルアクセスに関わる。両者を合わせて、主要取引所が3日間のうちにモバイルプラットフォームのセキュリティに関する直接的なユーザー向けガイダンスを発行したことも示されている。いずれの事例も、アプリケーションやOSの脆弱性が不正アクセスの機会を提供する際に、機密性の高いウォレット情報や取引所の資格情報が危険に晒され得ることから、暗号資産保有者にとってモバイル端末のセキュリティの重要性を浮き彫りにしている。

Telegramは、Androidの脆弱性が修正され、該当する更新がユーザーへ配布されたことを確認している。Bybitの11月13日の勧告は、最新版のインストール、不審なリンクや不明なボットの回避、検証済みの公式チャネルのみへの依拠をユーザーに呼びかけた。Binanceの11月10日の別の警告は、iOSのworse_query脆弱性を通じたウォレットのシードフレーズ、秘密鍵、ログイン資格情報の露出の可能性に関するものだった。

出典:Hokanews