Исследователи нашли уязвимости в 30 из 37 проверенных Telegram Mini Apps — под угрозой оказались даже криптокошельки

Что произошло

Исследователи TENET проверили 61 Telegram Mini App, из которых полноценно проанализировали 37. Проблемы с хранением секретов они обнаружили в 30 приложениях.

Самая серьёзная находка касалась официального Wallet: до исправления recovery-фраза самокастодиального кошелька хранилась в открытом виде в локальном хранилище WebView.

Seed-фраза — это 12 или 24 слова, которые фактически дают полный контроль над криптокошельком. Если она попадёт к злоумышленнику, тот может восстановить кошелёк на другом устройстве и вывести средства.

При этом взламывать сам Telegram не требовалось. Исследователи показали сценарий, при котором вредоносная программа с обычными правами пользователя получает доступ к файлам Telegram Desktop и извлекает секрет из локальной базы.

Какие последствия

Исследователи обнаружили три типа проблем: секреты хранились открыто, использовалось обратимо слабое шифрование либо оставались доступными токены сессий, которые можно было повторно использовать.

После уведомления Telegram добавил два API для защищённого хранения данных. В ходе повторной проверки исследователи подтвердили, что официальный Wallet больше не хранит recovery-фразу в открытом виде.

Однако если seed-фразу успели украсть до исправления, обновление приложения уже не поможет: полученный злоумышленником ключ нельзя просто «отозвать» как пароль.

Почему это важно

Проблема особенно опасна для Telegram Mini Apps, работающих с криптовалютой. Пользователь может считать, что его активы защищены кошельком Telegram, хотя критически важные секреты в некоторых случаях оказывались в локальном хранилище приложения.

При этом речь не идёт об удалённом взломе по Telegram ID: сначала вредоносное ПО должно попасть на устройство. На десктопной версии такой сценарий, по данным исследователей, был особенно актуален.

История показывает, что наличие криптокошелька внутри популярного мессенджера не означает автоматической безопасности — особенно если секреты неправильно хранятся на самом устройстве.

Подпишитесь на Telegram-канал, чтобы первыми узнавать о новостях и схемах мошенничества.