加密货币交易所Bybit于11月13日发布安全公告，敦促用户在安全研究人员披露一个可能使受感染设备上的其他应用程序面临风险的漏洞后，立即更新Telegram for Android。Bybit在该缺陷被公开披露以及Telegram确认修复程序已分发给用户数日后发布了该公告。此次警告凸显了依赖即时通讯平台进行通信和访问数字资产服务的加密货币用户所面临的安全风险。

在公告中，Bybit提醒，风险不一定仅限于Telegram本身。该交易所警告称，一台被入侵的Android设备可能对同一设备上安装的其他应用程序构成风险。该交易所建议采取多项预防措施，包括安装最新版本的Telegram、避开陌生的对话和未知机器人、拒绝打开可疑链接，以及仅依赖经过验证的官方沟通渠道。

这些建议对加密货币用户尤为重要，因为他们的设备上可能装有用于访问钱包、交易所和其他金融服务的应用程序。即时通讯平台在更广泛的加密货币运营中也占据核心地位：交易所和项目团队通常使用它们发布公告、进行社区讨论和提供用户支持，使其成为用户与保护其资金的服务之间的日常接触点。

安全研究人员演示Telegram Android漏洞

该警告之前，安全研究公司V12本周早些时候披露，其在Android设备的Telegram小部件（Widgets）功能中发现了一个远程代码执行漏洞。据Wu Blockchain 在一篇X帖子中报道的演示，通过机器人发送的一条消息可以在Android设备上触发计算器应用程序的启动。该演示说明了该漏洞如何可能允许攻击者通过Telegram的消息功能在目标设备上执行操作。

远程代码执行漏洞之所以被认为尤为重要，是因为在某些条件下，它们可以允许未经授权的代码或命令在设备上运行。在加密货币安全背景下，当同一设备还用于访问金融应用程序或存储敏感信息时，影响移动设备的弱点会引发更多担忧。

Telegram随后确认该漏洞已被修复，并且解决该问题的更新已推送给用户。Bybit的11月13日公告强调了这一点，敦促用户安装最新的可用版本，而不是继续使用可能存在漏洞的软件。在公告发布时，任何更新该应用程序的用户都可以获得针对所披露缺陷的保护。对于个人用户而言，需要关注的实际指标是已安装的应用版本本身：修复程序通过Telegram的常规更新渠道发布，因此保护的关键在于确认最新版本确实已被下载并安装。

Bybit为用户列出预防措施

在其安全指引中，Bybit强调了多项旨在降低用户在使用Telegram for Android时接触可疑活动风险的步骤。该交易所敦促用户：

• 立即将Telegram更新至最新版本；Telegram已针对所披露的漏洞推出修复程序。
• 避开陌生的对话和未知机器人。
• 不要打开可疑链接。
• 仅通过经过验证的官方渠道进行沟通。

有关机器人和链接的建议反映了本周披露事件所凸显的风险——演示表明，通过机器人发送的消息能够在设备上触发操作。这些建议针对与恶意消息和可能被入侵的应用程序相关的常见风险。

关于其他应用程序风险的警告尤为重要，因为移动设备经常作为多个数字服务的访问入口，包括加密货币钱包和交易平台。Bybit的公告还强调，务必仅依赖经过验证的官方沟通渠道。

Binance此前曾就iOS安全漏洞发出警告

在Bybit发布公告之前，Binance已于11月10日就一个名为worse_query的iOS漏洞发出了单独的安全警告。Binance警告称，该漏洞可能允许恶意应用程序访问受影响设备上属于其他应用程序的文件。此类访问可能暴露高度敏感的信息，包括加密货币钱包的助记词、私钥和账户登录凭据。

两份公告发布时间仅相隔数日，涉及不同的移动操作系统和不同的安全问题。Telegram漏洞涉及Android及其小部件功能，而Binance发现的worse_query漏洞涉及iOS应用程序文件访问。这两起事件也表明，主要交易所在三天内相继就移动平台安全发布了直接面向用户的指引。尽管如此，这两起事件都凸显了移动设备安全对加密货币持有者的重要性，因为当应用程序或操作系统中的弱点提供未经授权访问的机会时，敏感的钱包信息和交易所凭据可能变得脆弱。

Telegram已确认Android漏洞已被修复，相关更新已分发给用户。Bybit的11月13日公告敦促用户安装最新版本、避开可疑链接和未知机器人，并仅依赖经过验证的官方渠道。Binance在11月10日发出的单独警告则涉及iOS worse_query漏洞可能导致钱包助记词、私钥和登录凭据的暴露。

来源：Hokanews