攻击过程还原：

攻击者构造恶意代理 URL，并将其伪装成聊天或频道中的可点击用户名。目标用户只需点击一次，就会触发：自动代理测试，Telegram 向攻击者的服务器发送连通性探测请求；代理绕过，该请求忽略 SOCKS5、MTProto 或 VPN 设置，使用设备的原生网络栈；IP 记录，攻击者服务器捕获源 IP、地理位置及相关元数据。

Android 与 iOS 客户端均受影响，波及大量依赖 Telegram 进行隐私敏感通信的用户。除了点击之外不需要任何额外交互；该过程安静而高效，适用于人肉搜索、监控或去匿名化活动人士。

这一漏洞凸显了在代理高度依赖的应用中所存在的风险，尤其是在国家级监控不断上升的背景下。拥有超过 9.5 亿用户的 Telegram 目前尚未公开修复该问题。

对于攻击者来讲，该漏洞攻击成本极低，不需要常规漏洞利用、不需要代码执行、不需要中间人、不需要权限提升，只需要一次点击，并且不会留下明显痕迹，不会触发安全警告，不会被普通用户察觉。该漏洞非常适合于做定向追踪、去匿名化，针对记者、研究人员、维权人士的画像关联。

临时解决方案：

在 Telegram 修复前，用户目前只能被动防御，措施包括：

（1）行为层面，不点击陌生用户、频道、私聊中的任何“用户名 / 代理链接”，特别是看起来像普通用户名、但可点击的内容。

（2）网络层面，使用系统级防火墙，强制 Telegram 所有出站流量只能走 VPN / tun 设备，通过 Telegram 的更新日志关注补丁。

（3）风险意识，不要把 Telegram 当成“强匿名工具”，端到端加密并不等于网络匿名。

PS：图3和图4 是查看自己飞机是否链接着代理，

图3电脑，设置-高级-链接类型 如图的就是正常的

图4手机，设置-数据和存储-往下拉到底，-代理，代理没有开着就是正常的 ，

图5是 你点击用户名就会直接跳转到链接。

小编说下代理是什么： 比如用中国网络不用VPN《翻墙软件》开着代理也可以正常使用飞机，注：代理是需要购买的不安全。