Kripto para borsası Bybit, Cuma günü kullanıcılarına Androiddeki Telegram uygulamasını hemen güncellemeleri gerektiğini duyurdu. Bu uyarı, tek bir sohbet mesajının Android telefonlarda kod çalıştırmasına neden olan bir hata sonrası geldi.
Risk, yalnızca Telegram ile sınırlı değil. Bybit şu açıklamayı yaptı: ‘Ele geçirilmiş bir cihaz, diğer uygulamaları da riske atabilir’. Kripto para borsası ve cüzdan uygulamaları genellikle Telegram yüklü telefonlarda kullanılıyor.
Telegramdaki Hata Ne Yaptı？
9 kasımda Telegram, sohbet mesajlarına “widget” yani küçük uygulamalar gönderebilme özelliğini botlar için açtı; bu bilgiye göre tbreak kaynaklı.
İki gün sonra, siber güvenlik şirketi V12 bir video yayınladı ve bir bot mesajının Android telefonun Hesap Makinesi uygulamasını kendi kendine açtığını gösterdi. Bu durum uzaktan kod çalıştırmayı (remote code execution – RCE) kanıtladı: Yani dışarıdan biri, cihaza izin verilmeyen komutlar çalıştırabiliyor.
Any telegram message can now become RCE
6630b003766baed1fa86cea880d22e41dc416f63d800de3246941ede2396ad48 https://t.co/YutcuqjXud pic.twitter.com/NLqRINZ0hg
— V12 (@v12sec) November 11, 2026
Sponsorlu
Sponsorlu
V12, saldırının detaylarını açıklamadı ve bağımsız bir kaynak tarafından doğrulama yapılmadı; Kod.ru bu bilgiyi bildirdi.
Hata Giderildi mi？
Telegram hata giderildi diyor: ‘Bu sorun Telegram’ın Android sürümünde dün giderildi, ve düzeltme bugün tüm kullanıcılara ulaştırıldı‘ açıklamasını 11 kasım’da paylaştı.
dev.ua ise şimdiye kadar gerçek bir saldırıya dair herhangi bir kanıt bulamadı.
Bu Durum Kripto Para Kullanıcıları İçin Neden Önemli？
Widget‘lar, Telegram’ın kendi saklama (self-custody) cüzdanı üzerinden Gram yani TON blockchain‘in para birimiyle ödeme gönderebiliyor. Self-custody, herhangi bir şirketin işlemleri geri alma imkanı olmadığı anlamına geliyor. Telegram’ın kurucusu Durov, bu cüzdanlardan 48 saat içinde 1 milyon adedin üstünde aktifleştiğini TokenPosta açıkladı.
dev.ua ayrıca, Telegramın erişimiyle çalışan kodların teorik olarak oturumu açık tutan veriye erişebileceğine dikkat çekti. İki faktörlü kimlik doğrulama açık olan oturumları korumuyor.
Bu, Telegram‘ın bir ay içinde Android tarafında yaşadığı ikinci kod çalıştırma açığı. Önceki ay, NebuSec adlı güvenlik şirketi sesli aramalarda yaşanan bir hata paylaşmıştı. Öte yandan Bybit, 2025 şubat’ında yaklaşık 1,5 milyar dolar kaybetti. FBI, bu saldırının Kuzey Kore bağlantılı hacker‘lar tarafından Bybit’in cüzdan sağlayıcı şirketinde çalışan bir geliştiricinin bilgisayarının ele geçirilmesiyle gerçekleştiğini duyurdu.
Kullanıcılar Şimdi Ne Yapmalı？
Bybit, kullanıcılarını şu noktalarda uyardı: Bilinmeyen botlardan, sohbetlerden ve bağlantılardan uzak durun; yalnızca onaylanmış kanallarına güvenin.
Telegram, iPhone ya da masaüstü kullanıcılarının etkilenip etkilenmediğine dair açıklama yapmadı. Ayrıca widgetların yakın zamanda grup sohbetlerine de geleceği açıklandı; ancak net bir tarih verilmedi.