Por Canuto  

Bybit pidió actualizar Telegram en Android tras una falla que, según una demostración difundida por la firma de seguridad V12, habría permitido que un mensaje de bot abriera una aplicación en el teléfono. Telegram afirmó que corrigió el problema para todos sus usuarios el 11 de noviembre, y no se habían reportado ataques; aun así, el episodio reavivó las dudas sobre el riesgo que una vulnerabilidad en un teléfono compartido puede representar para las aplicaciones de criptomonedas.
***

  • Bybit pidió actualizar Telegram en Android y advirtió que un dispositivo comprometido podría poner en riesgo otras aplicaciones.
  • Telegram dijo que desplegó una corrección para todos sus usuarios el 11 de noviembre; no se habían reportado ataques reales.
  • La falla coincidió con la llegada de widgets, aunque la información disponible no confirma que estos hayan causado el problema.

Bybit pidió el viernes 13 de noviembre de 2026 a sus usuarios que actualizaran Telegram en Android, después de conocerse una falla que habría permitido ejecutar código en un teléfono mediante un mensaje de un bot. La alerta importa especialmente para quienes usan en el mismo dispositivo aplicaciones de exchanges o wallets, porque un teléfono comprometido podría exponer otras aplicaciones, según advirtió la empresa.

Qué se sabe de la falla y de la corrección

Telegram añadió widgets enviados por bots a su Bot API 10.4 el 9 de noviembre, según The Defiant. El medio indicó que esos widgets no tienen acceso directo a la red y que envían solicitudes a través de Telegram al bot. La novedad coincidió temporalmente con la divulgación de la falla, pero la información disponible no confirma que los widgets hayan sido su causa.

Dos días después, la firma de seguridad V12 difundió un video en el que un mensaje de un bot abría por sí solo la aplicación Calculadora en un teléfono Android. El material se presentó como una demostración de ejecución remota de código, es decir, la posibilidad de que un actor externo haga que un dispositivo ejecute instrucciones que el usuario no inició voluntariamente.

La demostración no despejó, sin embargo, todos los interrogantes técnicos: V12 no había publicado cómo funcionaba el ataque y la información disponible no incluía una confirmación independiente del mecanismo. Por eso conviene separar lo que mostró el video —la apertura de Calculadora tras un mensaje— de una explicación plenamente verificada sobre qué código podría ejecutarse, con qué alcance o bajo qué condiciones.

Telegram sostuvo que ya había corregido el problema. En una comunicación del 11 de noviembre, la empresa afirmó que la vulnerabilidad de su aplicación para Android se había reparado el día anterior y que la solución se había implementado para todos los usuarios más temprano ese mismo día.

Por qué la advertencia preocupa al sector cripto

La recomendación de Bybit se apoyó en una idea sencilla: una aplicación vulnerable en un teléfono no necesariamente representa un riesgo aislado. Muchos usuarios mantienen Telegram junto a aplicaciones de exchanges y wallets, y Bybit advirtió que un dispositivo comprometido podría poner en riesgo también esos otros programas, aunque la información disponible no afirmó que eso hubiera ocurrido en este caso.

Por separado, The Defiant informó que los widgets de Telegram pueden incluir pagos en TON. Ese dato no demuestra que la falla estuviera relacionada con los pagos ni que las wallets que los utilizan hayan quedado expuestas. Pavel Durov dijo que más de un millón de wallets autocustodiales de Gram se activaron en un periodo de 48 horas, según informó TokenPost. La cifra ayuda a entender el interés de los usuarios de criptomonedas por las novedades de Telegram, pero no prueba que esas wallets hayan quedado expuestas ni que la falla permitiera sustraer fondos.

Otra preocupación señalada en la cobertura es el posible acceso a datos de sesiones que permanecen abiertas. dev.ua indicó que, en teoría, código ejecutado con los permisos de Telegram podría alcanzar información de una sesión iniciada; además, la autenticación de dos factores no protege por sí sola una sesión que ya está abierta, aunque esto no constituye prueba de que un atacante haya accedido a cuentas.

Alcance, antecedentes y medidas recomendadas

La recomendación de Bybit fue actualizar Telegram de inmediato, evitar bots, chats y enlaces desconocidos, y confiar únicamente en sus canales verificados. La empresa señaló que el riesgo podría extenderse a otras aplicaciones del teléfono, por lo que la advertencia no se limita a quienes usan las funciones de widgets ni a quienes interactúan con un bot específico.

La información disponible no reportaba ataques reales relacionados con esta falla, según dev.ua, y Telegram tampoco había aclarado si los usuarios de iPhone o de las versiones para escritorio podían verse afectados. Esa falta de datos sobre otras plataformas no permite concluir que estén expuestas ni que estén fuera de riesgo; únicamente deja sin resolver el alcance más allá de Android.

El incidente también fue descrito como la segunda falla de ejecución de código en Telegram para Android en un mes, después de un problema relacionado con llamadas de voz que reveló NebuSec. La proximidad de ambos casos vuelve relevante la revisión de seguridad, pero la información publicada no permite afirmar que las dos vulnerabilidades compartieran causa, método o impacto.

Bybit tiene además un antecedente propio que vuelve particularmente visible su advertencia: en febrero de 2025 perdió cerca de USD $1.500 millones después de que hackers comprometieran la computadora de un desarrollador de su proveedor de wallets. El FBI vinculó aquel ataque con Corea del Norte; ese episodio no prueba una conexión con la falla de Telegram, pero sí ilustra por qué los riesgos en dispositivos y proveedores pueden tener consecuencias para el sector cripto.

Telegram también prevé llevar los widgets a los chats grupales, aunque no había anunciado una fecha para esa expansión. Por ahora, la respuesta prudente que se desprende de la alerta es aplicar la actualización indicada, desconfiar de mensajes y enlaces inesperados y no interpretar la ausencia de ataques reportados como una garantía de que cualquier sesión o aplicación esté completamente a salvo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados