L‘exchange crypto Bybit a conseillé à ses utilisateurs vendredi de mettre à jour Telegram sur Android immédiatement. Cet avertissement fait suite à la découverte d’un bug qui permettait à un simple message de discussion dexécuter du code sur les téléphones Android.
Le risque dépasse le cadre de Telegram. « Un appareil compromis pourrait également mettre d‘autres applications en danger », a déclaré Bybit. Les applications d’exchange et de wallet partagent souvent le même téléphone que Telegram.
Sponsorisé
Sponsorisé
Que faisait ce bug sur Telegram ？
Le 9 novembre, Telegram a permis aux bots d‘envoyer des « widgets », c’est-à-dire des mini-applications à l‘intérieur d’un message de discussion, daprès tbreak.
Deux jours plus tard, la société de cybersécurité V12 a publié une vidéo montrant un message envoyé par bot ouvrant tout seul l‘application Calculatrice d’un téléphone Android. Cela démontre une exécution de code à distance (RCE) : une personne extérieure peut alors faire exécuter au téléphone des commandes quil ne devrait pas effectuer.
Any telegram message can now become RCE
6630b003766baed1fa86cea880d22e41dc416f63d800de3246941ede2396ad48 https://t.co/YutcuqjXud pic.twitter.com/NLqRINZ0hg
— V12 (@v12sec) November 11, 2026
V12 n‘a pas publié la méthode exacte de l’attaque et aucune partie indépendante ne la confirmée, rapporte Kod.ru.
Le bug a-t-il été corrigé ？
Telegram affirme que oui. « Ce problème dans Telegram pour Android a été corrigé hier, et la mise à jour a été déployée pour tous les utilisateurs plus tôt dans la journée, » a-t-on pu lire dans un post du 11 novembre.
Sponsorisé
Sponsorisé
dev.ua précise qu‘aucune attaque réelle n’a été détectée.
Pourquoi cela concerne-t-il les utilisateurs crypto ？
Les widgets intègrent des paiements en Gram, le jeton de la blockchain TON, anciennement appelé Toncoin, au travers du wallet en self-custody de Telegram. Le self-custody signifie qu‘aucune entreprise ne peut annuler un transfert. Durov a indiqué que plus d’un million de ces wallets avaient été activés en moins de 48 heures, selon TokenPost.
dev.ua signale également qu‘un code s’exécutant avec les droits de Telegram pourrait, en théorie, accéder aux données qui permettent à un compte de rester connecté. Lauthentification à deux facteurs ne protège pas les sessions déjà ouvertes.
Il s‘agit du deuxième bug d’exécution de code à distance sur Android découvert en un mois sur Telegram, après une faille sur les appels vocaux révélée par NebuSec. Bybit avait d‘ailleurs lui-même perdu environ 1,5 milliard de dollars en février 2025, après qu’un hack attribué par le FBI à la Corée du Nord a compromis l‘ordinateur d’un développeur chez son fournisseur de wallet.
À quoi les utilisateurs doivent-ils faire attention maintenant ？
Bybit recommande aux utilisateurs d‘éviter les bots, discussions et liens inconnus, et de ne faire confiance qu’à ses canaux vérifiés.
Telegram n‘a pas précisé si les utilisateurs d’iPhone ou de bureau étaient concernés. Les widgets doivent également arriver dans les discussions de groupe, sans date annoncée.