Фейковый npm пакет в TON
Где-то в начале года в npm залили пакет @ton-wallet/create, который имитировал легитимный пакет @ton/ton.
Выглядел как нормальный тул для создания кошельков в TON.
А на деле - обычный трёхан. При установке он читал сид из process.env.MNEMONIC и сливал его в чей-то тг бот.
Репозиторию и пакетам быстро (почти быстро, пакет висел 6 месяцев) дали по шапке и удалили из npm, когда спалили.
Все привыкли ковырять уязвы в смартах, а тут бац - старый добрый npm троян, как в 2018м 😁
Скамов в экосистеме и так навалом, а теперь ещё и фейковые либы ползут.
Так что если ты дев и собираешь что-то вокруг TON - хотя бы глянь, что ты ставишь.
А если не дев - просто знай, что иногда кошелёк крадёт кошелёк 🫡
t.me/intelpad
Где-то в начале года в npm залили пакет @ton-wallet/create, который имитировал легитимный пакет @ton/ton.
Выглядел как нормальный тул для создания кошельков в TON.
А на деле - обычный трёхан. При установке он читал сид из process.env.MNEMONIC и сливал его в чей-то тг бот.
Репозиторию и пакетам быстро (почти быстро, пакет висел 6 месяцев) дали по шапке и удалили из npm, когда спалили.
Все привыкли ковырять уязвы в смартах, а тут бац - старый добрый npm троян, как в 2018м 😁
Скамов в экосистеме и так навалом, а теперь ещё и фейковые либы ползут.
Так что если ты дев и собираешь что-то вокруг TON - хотя бы глянь, что ты ставишь.
А если не дев - просто знай, что иногда кошелёк крадёт кошелёк 🫡
t.me/intelpad
Слегка надоело смотреть на этот цирк с скам-маркетами и пирамидами, которые плодятся как тараканы, а потом испаряются с вашими деньгами.
Так что ловите новую ОЧЕНЬ НУЖНУЮ инициативу - Комитет Чести и Доверия (КЧД TON)
Суть проста: мы будем выдавать проектам «Знак Доверия TON». Если видите этот знак - можете быть уверены, что проект не заскамит вас. (как минимум до следующего аудита)
Как это работает:
1. Аудит на вшивость.
CEO должен прислать развернутое эссе на тему «Почему я не скам» и пройти тест Роршаха. Если в кляксах видит не лунный график, а повестку в суд - мимо.
2. Тех. проверка.
95% ликвидности проекта мы временно размещаем на нашем «Холодном Кошельке Доверия» (мой кошелек, да). Если команда не сбежит за 24 часа - уже хороший знак.
3. Финальный взнос.
После проверки проект платит за «Бесперебойное Доверие» (еще 5% от TVL), а мы выдаем НФТ с зеленой галочкой (Знак доверия).
Если проект без нашего знака - это не значит, что он скам. Но значит, что он не заплатил за аудит. А раз не заплатил - значит, есть что скрывать, верно?
Вопросы? Деньги? Жалобы? Все адресуйте мне, @nosint.
P.S. Нет, это не скам. Это регулирующий орган. Разницу чувствуете? 🤡
t.me/intelpad
Так что ловите новую ОЧЕНЬ НУЖНУЮ инициативу - Комитет Чести и Доверия (КЧД TON)
Суть проста: мы будем выдавать проектам «Знак Доверия TON». Если видите этот знак - можете быть уверены, что проект не заскамит вас. (как минимум до следующего аудита)
Как это работает:
1. Аудит на вшивость.
CEO должен прислать развернутое эссе на тему «Почему я не скам» и пройти тест Роршаха. Если в кляксах видит не лунный график, а повестку в суд - мимо.
2. Тех. проверка.
95% ликвидности проекта мы временно размещаем на нашем «Холодном Кошельке Доверия» (мой кошелек, да). Если команда не сбежит за 24 часа - уже хороший знак.
3. Финальный взнос.
После проверки проект платит за «Бесперебойное Доверие» (еще 5% от TVL), а мы выдаем НФТ с зеленой галочкой (Знак доверия).
Если проект без нашего знака - это не значит, что он скам. Но значит, что он не заплатил за аудит. А раз не заплатил - значит, есть что скрывать, верно?
Вопросы? Деньги? Жалобы? Все адресуйте мне, @nosint.
P.S. Нет, это не скам. Это регулирующий орган. Разницу чувствуете? 🤡
t.me/intelpad
🔥2🤣1
В Москве задержали владельца бота Userbox.
Следаки вменяют ему ст. 272 УК, хотя сам бот по сути просто юзал открытые источники и базы утечек – ровно как сотни других OSINT-ботов, на которых держится половина ТГ-разведки.
После закрытия Глаза Бога таких ботов развелось как грибов после дождя, но Userbox выделялся – аккуратный интерфейс, быстрый парсинг, куча фильтров и (в отличие от многих) адекватные ограничения + хорошие партнерские условия. Он был одним из ботов, который реально умел искать по утечкам и открытым источникам. После выхода 272.1 он даже прикрыл часть выдачи, чтобы не пересекаться с чистой персоналкой. Но, как видим, это не спасло.
Теперь интересный вопрос: где проходит грань между OSINT и неправомерным доступом к информации?
Когда один бот делает то же, что и обычный поисковик, но удобнее – его сажают.
А когда корпорации хранят твои данные на открытых «амазонбанкетех» – им максимум выдают пресс-релиз с извинениями.
Крч, одна клоунада. Займитесь поиском создателей Шерлока или Химеры лучше.
t.me/intelpad
Следаки вменяют ему ст. 272 УК, хотя сам бот по сути просто юзал открытые источники и базы утечек – ровно как сотни других OSINT-ботов, на которых держится половина ТГ-разведки.
После закрытия Глаза Бога таких ботов развелось как грибов после дождя, но Userbox выделялся – аккуратный интерфейс, быстрый парсинг, куча фильтров и (в отличие от многих) адекватные ограничения + хорошие партнерские условия. Он был одним из ботов, который реально умел искать по утечкам и открытым источникам. После выхода 272.1 он даже прикрыл часть выдачи, чтобы не пересекаться с чистой персоналкой. Но, как видим, это не спасло.
Теперь интересный вопрос: где проходит грань между OSINT и неправомерным доступом к информации?
Когда один бот делает то же, что и обычный поисковик, но удобнее – его сажают.
А когда корпорации хранят твои данные на открытых «амазонбанкетех» – им максимум выдают пресс-релиз с извинениями.
Крч, одна клоунада. Займитесь поиском создателей Шерлока или Химеры лучше.
t.me/intelpad
🕊2
Телегу начали аккуратно замедлять
По данным сетевиков и по ощущениям обычных пользователей - у крупных операторов заметно упала скорость загрузки телеграм.
Видео, кружочки, и остальное медиа - все стало подтупливать.
Никаких резких блокировок, никаких заявлений. Похоже на классическую тактику РКН чуть чуть ухудшить, а дальше можно будет сказать, что это у самого тг проблемы с инфраструктурой. Удобно)
Жалобы идут уже около недели, география широкая. РКН говорит ниче не замедлял, и вообще вы все врете.
Контекст тоже понятен: параллельно продвигается почти национальный мессенджер макС, и тг вдруг становится менее комфортным. Совпадений в таких историях не бывает 😁
Если у государства есть опасения по поводу переписок сотрудников - решайте это внутри госаппарата. Обязывайте своих пользоваться тем, чем считаете нужным.
Но деградировать сервис для всей страны - так себе идея. Хотя хуй на них.
t.me/intelpad
По данным сетевиков и по ощущениям обычных пользователей - у крупных операторов заметно упала скорость загрузки телеграм.
Видео, кружочки, и остальное медиа - все стало подтупливать.
Никаких резких блокировок, никаких заявлений. Похоже на классическую тактику РКН чуть чуть ухудшить, а дальше можно будет сказать, что это у самого тг проблемы с инфраструктурой. Удобно)
Жалобы идут уже около недели, география широкая. РКН говорит ниче не замедлял, и вообще вы все врете.
Контекст тоже понятен: параллельно продвигается почти национальный мессенджер макС, и тг вдруг становится менее комфортным. Совпадений в таких историях не бывает 😁
Если у государства есть опасения по поводу переписок сотрудников - решайте это внутри госаппарата. Обязывайте своих пользоваться тем, чем считаете нужным.
Но деградировать сервис для всей страны - так себе идея. Хотя хуй на них.
t.me/intelpad
😁2
Утечки, утечки и утечки… это не инцидент, а целый бизнес процесс.
Каждый раз одно и то же.
В сеть утекают десятки миллионов записей -
ФИО, телефоны, паспорта, адреса, ИНН, бонусные карты, всё подряд.
Компании делают круглые глаза, типа, что? Да не. ВОЗМОЖНО, затронута ЧАСТЬ данных. Ну или вообще не подтверждают утечку.
И гои выдыхают.
Хотя если смотреть на цифры - угроза там уже лет пять как постоянная.
Что реально напрягает так называемую систему? Не утечка, ибо утечки это просто фоновый шум. Её бесит агрегация. Когда данные: лежат кусками/на форумах/в дампах - всем похуй.
Но как только появляется бот / сервис / быстрый поиск - всё.
Это уже «неправомерный доступ», «преступная группа» и «угроза безопасности».
Почему сажают создателей ботов, а не тех, кто слил? Потому что утечка = хаос, агрегатор = структура. А структура у частных лиц недопустима.
Осинт - это легально, пока не масштабируется. Ты можешь гуглить, шерстить соцсети, искать по утечкам вручную. Это законно, ибо медленно и неудобно. Как только ты автоматизировал, ускорил, упростил дал доступ другим людям - ты внезапно стал проблемой. Не потому что пд, а потому что асимметрия силы.
Самый мерзкий момент в том, что эти же самые базы используются силовиками, используются СБ, используются «для служебных задач»
Но если ты частник - ты преступник, если у тебя погон - ты аналитик.
И, ребят, это не двойные стандарты, это архитектура!
t.me/intelpad
Каждый раз одно и то же.
В сеть утекают десятки миллионов записей -
ФИО, телефоны, паспорта, адреса, ИНН, бонусные карты, всё подряд.
Компании делают круглые глаза, типа, что? Да не. ВОЗМОЖНО, затронута ЧАСТЬ данных. Ну или вообще не подтверждают утечку.
И гои выдыхают.
Хотя если смотреть на цифры - угроза там уже лет пять как постоянная.
Немного скучной, но важной статистики:
По данным РКН (😂) и профильных ИБ-контор:
2022 ≈ 600 млн строк ПДн утекло в сеть
2023 ≈ 300 млн
2024 - темпы ниже, но стабильные (утечки просто перестали публично признавать)
Источник утечек в ~80-90% случаев:
инсайдеры, подрядчики, сотрудники колл-центров, аутсорс, админы, которым лень
Не какие-то гениальные хакеры, а всего-то обычные безответственные люди, которым платят мало и дают широкий доступ.
Что реально напрягает так называемую систему? Не утечка, ибо утечки это просто фоновый шум. Её бесит агрегация. Когда данные: лежат кусками/на форумах/в дампах - всем похуй.
Но как только появляется бот / сервис / быстрый поиск - всё.
Это уже «неправомерный доступ», «преступная группа» и «угроза безопасности».
Почему сажают создателей ботов, а не тех, кто слил? Потому что утечка = хаос, агрегатор = структура. А структура у частных лиц недопустима.
- Админ бота:
Обычный чел, команда из нескольких человек, которых посадить и повесить вину за все утечки на них - легче.
- Корпорация:
размытая ответственность, отдел ИБ, юристы, гос контракты
Выбор очевиден 💯
Осинт - это легально, пока не масштабируется. Ты можешь гуглить, шерстить соцсети, искать по утечкам вручную. Это законно, ибо медленно и неудобно. Как только ты автоматизировал, ускорил, упростил дал доступ другим людям - ты внезапно стал проблемой. Не потому что пд, а потому что асимметрия силы.
Самый мерзкий момент в том, что эти же самые базы используются силовиками, используются СБ, используются «для служебных задач»
Но если ты частник - ты преступник, если у тебя погон - ты аналитик.
И, ребят, это не двойные стандарты, это архитектура!
t.me/intelpad
❤2🔥2
И снова утечка? Нет - шантаж
Хакерская группировка ShinyHunters заявляет, что имеет в руках данные премиум пользователей Pornhub и требует выкуп в биткоине под угрозой публикации.
Reuters получил от них сэмпл базы и частично подтвердил подлинность данных через бывших пользователей из Канады и США.
Сам Pornhub тихонько подтвердил инцидент у третьей стороны - аналитического провайдера Mixpanel, но при этом говорит, что своих систем не взламывали, а пароли/платёжка не похищались.
ShinyHunters давно не первый раз так делает - такие группы воруют данные, выкладывают куски, а потом требуют деньги. Ну база 👌
Напряжение растет?)
t.me/intelpad
Хакерская группировка ShinyHunters заявляет, что имеет в руках данные премиум пользователей Pornhub и требует выкуп в биткоине под угрозой публикации.
Reuters получил от них сэмпл базы и частично подтвердил подлинность данных через бывших пользователей из Канады и США.
Сам Pornhub тихонько подтвердил инцидент у третьей стороны - аналитического провайдера Mixpanel, но при этом говорит, что своих систем не взламывали, а пароли/платёжка не похищались.
ShinyHunters давно не первый раз так делает - такие группы воруют данные, выкладывают куски, а потом требуют деньги. Ну база 👌
Напряжение растет?)
t.me/intelpad
❤1😁1
👀 НОВЫЕ УНИКАЛЬНЫЕ ПОДАРКИ в Telegram ВЫШЛИ!
Встречайте – Durov’s Sperm.
Что? А где восторг? Неужели вам это не понравилось?
🧐 Вы же так любите:
поблестело > купили > рассказали друзьям,
что это инвестиция в экосистему.
Теперь же все проще: не наклейки, не стикеры, а сразу семя великого основателя, мессии.
🤩 Представьте, какой будет ажиотаж:
Сплю и вижу новости в тгк такого типа:
Рохмуна обконча… Павел Дуров подарил Durov’s Sperm своему другу Рохману!
Это очень хороший ход для новой волны пиара в старсчейне, думайте 😃
Засадим больше гоев!
t.me/intelpad
Встречайте – Durov’s Sperm.
Что? А где восторг? Неужели вам это не понравилось?
🧐 Вы же так любите:
поблестело > купили > рассказали друзьям,
что это инвестиция в экосистему.
Теперь же все проще: не наклейки, не стикеры, а сразу семя великого основателя, мессии.
🤩 Представьте, какой будет ажиотаж:
- Кто больше соберет семени Дурова у себя в профиле.
- Подписки на приватные тгк за сперму Дурова.
- Тг аналитики будь писать: «У пользователей с 5+ сперматозоидами Дурова выше ретеншн».
Сплю и вижу новости в тгк такого типа:
Это очень хороший ход для новой волны пиара в старсчейне, думайте 😃
Засадим больше гоев!
t.me/intelpad
😁4👍1
pad
Оопачки 😆
Это, если что, иск против Роскомнадзора за блокировку звонков.
Истцы считают, что РКН нарушает конституционное право на получение информации.
Посмотрим, как «ничего не блокировали и не замедляли» будут объяснять в суде.
///
UPD: Таганский суд просто прекратил производство по иску против РКН и Минцифры 😁
Причина - истцы «не уполномочены защищать права Telegram и WhatsApp».
Истцы считают, что РКН нарушает конституционное право на получение информации.
Посмотрим, как «ничего не блокировали и не замедляли» будут объяснять в суде.
///
UPD: Таганский суд просто прекратил производство по иску против РКН и Минцифры 😁
Причина - истцы «не уполномочены защищать права Telegram и WhatsApp».
🔥2👎1
Очередной взлом телеграм ботов?
Мне скинули видео с канала overbafer.
Разобрал. Из «хакерства» там только превью.
Что он делает в видео:
Суть кейса простая и от этого ещё более мерзкая:
инлайн-кнопки в телеграме - это не UI, а просто оболочка над callback data.
Технически она выглядит примерно так:
Когда пользователь нажимает кнопку, телеграм не выполняет никакой логики. Он просто отправляет боту событие:
Если бэкенд слепо доверяет этим данным - твой бот не защищён.
Что происходит по факту:
* Клиент (в его случае аюграм) показывает callback data кнопок,
* Эти значения можно отправить вручную,
* Бот не проверяет контекст, доступ, состояние,
* Любая команда выполняется.
И из-за этого можно:
* Переходить в чужие разделы
* Вызывать админские действия
* Удалять чужих ботов,
Получить доступ к админке
Не «школьник взломал телеграм». Телеграм тут вообще ни при чём.
Это небезопасная прямая ссылка на объект (IDOR), отсутствие проверки состояния пользователя и полная логическая несостоятельность бэкенда.
Самое важное - это не баг и не пентест, а модель мышления. Разработчики ботов массово считают:
Нет. Он не должен её видеть, но может вызвать.
t.me/intelpad
Мне скинули видео с канала overbafer.
Разобрал. Из «хакерства» там только превью.
Что он делает в видео:
1. Находит телеграм бота, в котором можно создавать зеркала
2. Создаёт своё зеркало
3. Смотрит, какие callback data стоят у кнопок
4. Отправляет эти callback вручную, без нажатия кнопок
5. Меняет параметры в callback (ID бота, ID пользователя и т.п)
6. Получает доступ к чужим разделам и функциям
7. Вызывает действия, которые не предназначены для обычных юзеров
Суть кейса простая и от этого ещё более мерзкая:
инлайн-кнопки в телеграме - это не UI, а просто оболочка над callback data.
Технически она выглядит примерно так:
{
"text": "Профиль",
"callback_data": "menu_profile"
}Когда пользователь нажимает кнопку, телеграм не выполняет никакой логики. Он просто отправляет боту событие:
«Пользователь X нажал на кнопку с callback data = menu_profile»
Если бэкенд слепо доверяет этим данным - твой бот не защищён.
Что происходит по факту:
* Клиент (в его случае аюграм) показывает callback data кнопок,
* Эти значения можно отправить вручную,
* Бот не проверяет контекст, доступ, состояние,
* Любая команда выполняется.
И из-за этого можно:
* Переходить в чужие разделы
* Вызывать админские действия
* Удалять чужих ботов,
Получить доступ к админке
Не «школьник взломал телеграм». Телеграм тут вообще ни при чём.
Это небезопасная прямая ссылка на объект (IDOR), отсутствие проверки состояния пользователя и полная логическая несостоятельность бэкенда.
Самое важное - это не баг и не пентест, а модель мышления. Разработчики ботов массово считают:
«Ну юзер же не видит эту кнопку - значит не нажмёт»
Нет. Он не должен её видеть, но может вызвать.
t.me/intelpad
Please open Telegram to view this post
VIEW IN TELEGRAM
pad
С Новым Годом, папищеки! Нужна кому-то ёлка в конце февраля? 😁
Старые подарки живы 🕯
Эхх, я думал, что открыл Америку с этими убраными гифтами? Типа, новшество века, а на деле - них*я. Боты по продаже звёзд уже давным-давно это эксплуатируют, а я и не знал😱
Решил по приколу поковырять метод отправки гифтов на уникальные, вроде Plush Pepe и подобных гифтов - фиг там, не работает. Зато на те, что без сапплая (ёлка, белый миха, сердечко на 14 фев и миха в новогодней шапке) - запросто. Их можно слать даже сейчас, в конце февраля 2026-го. Круто? Мерзко? Полезно для ботоводов.
Суть простая: тг не удалил их айдишники из системы, так что если знать айдишник - шлёшь подарок, и он улетает.
Вот вам айдишки удаленных подарков:
Слать можно через BotAPI (заведомо надо иметь на балансе БОТА минимум 50 звезд для оплаты гифта):
Всем спасибо, все свободны.
t.me/intelpad
Эхх, я думал, что открыл Америку с этими убраными гифтами? Типа, новшество века, а на деле - них*я. Боты по продаже звёзд уже давным-давно это эксплуатируют, а я и не знал
Решил по приколу поковырять метод отправки гифтов на уникальные, вроде Plush Pepe и подобных гифтов - фиг там, не работает. Зато на те, что без сапплая (ёлка, белый миха, сердечко на 14 фев и миха в новогодней шапке) - запросто. Их можно слать даже сейчас, в конце февраля 2026-го. Круто? Мерзко? Полезно для ботоводов.
Суть простая: тг не удалил их айдишники из системы, так что если знать айдишник - шлёшь подарок, и он улетает.
Вот вам айдишки удаленных подарков:
5956217000635139069- Мишка в шапке новогодней5922558454332916696- Ёлка5800655655995968830- Белый мишка5801108895304779062- Сердце к 14 фев
Слать можно через BotAPI (заведомо надо иметь на балансе БОТА минимум 50 звезд для оплаты гифта):
curl -s -X POST "https://api.telegram.org/botТОКЕН/sendGift" \
-H "Content-Type: application/json" \
-d '{
"user_id": id,
"gift_id": "гифт_id",
"text": "текст_к_гифту"
}'
Всем спасибо, все свободны.
t.me/intelpad
Please open Telegram to view this post
VIEW IN TELEGRAM
🍌2
РФ хостерам отрубили Telegram API 👍
У кого хостятся боты/аппки на рф серверах - переезжаем.
t.me/intelpad
У кого хостятся боты/аппки на рф серверах - переезжаем.
t.me/intelpad
Please open Telegram to view this post
VIEW IN TELEGRAM
😁1🍌1
pad
РФ хостерам отрубили Telegram API 👍 У кого хостятся боты/аппки на рф серверах - переезжаем. t.me/intelpad
Прокинул проксю на все свои боты. Пронесло! 👍
Почти всех дата-центров внутри страны отрезало от api.telegram.org. Запросы с российских IP просто тонут в никуда. Клиент на телефоне ещё как-то дышит, по словам ребят с РФ (с задержками), но боты на серверах внутри РФ - трупы без обхода.
Решил не ждать чуда и поднял SOCKS5 на серваке в Германии от РФ хостера, кстати. Пока их не отрезали. И всё ожило за 5 минут. Боты шлют, получают, вебхуки висят стабильно. Пронесло на ура!🚬
Совет всем ботам/аппкам, кто ещё на РФ хостингах): переезжайте нахуй, пока не поздно. Могут в любой момент ввести санкции/фильтры посерьёзнее - чтоб даже сервера за границей от российских компаний/аккаунтов не могли к TG API стучаться. Уже сейчас API-блок по IP - это не шутки, а тихая смерть ботов без прокси/туннелей.
Кто не хочет морочиться с прокси - просто мигрируйте воркеры/ботов в NL/DE/PL/Finland. База/фронт можно оставить в РФ, а исходящий трафик к Тг - только через зарубежку.
Всем спасибо, держитесь там. Не давайте им добить последнее нормальное место общения😢
t.me/intelpad
Почти всех дата-центров внутри страны отрезало от api.telegram.org. Запросы с российских IP просто тонут в никуда. Клиент на телефоне ещё как-то дышит, по словам ребят с РФ (с задержками), но боты на серверах внутри РФ - трупы без обхода.
Решил не ждать чуда и поднял SOCKS5 на серваке в Германии от РФ хостера, кстати. Пока их не отрезали. И всё ожило за 5 минут. Боты шлют, получают, вебхуки висят стабильно. Пронесло на ура!
Совет всем ботам/аппкам, кто ещё на РФ хостингах): переезжайте нахуй, пока не поздно. Могут в любой момент ввести санкции/фильтры посерьёзнее - чтоб даже сервера за границей от российских компаний/аккаунтов не могли к TG API стучаться. Уже сейчас API-блок по IP - это не шутки, а тихая смерть ботов без прокси/туннелей.
Кто не хочет морочиться с прокси - просто мигрируйте воркеры/ботов в NL/DE/PL/Finland. База/фронт можно оставить в РФ, а исходящий трафик к Тг - только через зарубежку.
Всем спасибо, держитесь там. Не давайте им добить последнее нормальное место общения
t.me/intelpad
Please open Telegram to view this post
VIEW IN TELEGRAM
❤2👍2🍌2
Чутка опоздал, но пройти мимо нельзя 👇
Телеграм словил жирнейшую дыру от ZDI (от ребят, кто копает зиродэй на крупные компании)
Речь про кейс с идентификатором ZDI-CAN-30207 - и это не какая-то локальная херня, а потенциально зироклик атака. Буквально тебе даже нажимать ничего не надо.
Самое интересное - это не публичный CVE с патчем и бантиком.
Это именно ZDI-шный слив, а значит, что:
1. Баг долгое время был приватным
2. Его могли юзать «правильные люди» до раскрытия
3. Телеграм, скорее всего, уже тихо что-то фиксил
Почему это важно:
Телеграм любит делать вид, что все ок. Но такие штуки - это не «ой, картинка не грузится», а получение доступа к клиенту,
вытаскивание сессий, потенциальный pivot в аккаунт
И да, если это реально зироклик - значит, что достаточно просто получить сообщение от атакующего. Без каких-либо действий со стороны жертвы.
Что можно вытащить между строк:
- Скорее всего, баг где-то в парсинге сложных форматов (видео/гиф/превью)
- Если есть RCE, значит можно строить полноценные эксплойт цепочки
Всем спасибо, не кликайте лишнего (хотя теперь уже и кликать не надо🫠 )
У олимпиадников есть 120 дней (до 24 июля 2026), чтобы пофиксить эту уязвимость. Иначе она будет слита и разжевана на ZDI👍
UPD: Telegram опроверг информацию об утечке, сказав, что такого бага не существовало, а исследователь ошибся. Верим.
t.me/intelpad
Телеграм словил жирнейшую дыру от ZDI (от ребят, кто копает зиродэй на крупные компании)
Речь про кейс с идентификатором ZDI-CAN-30207 - и это не какая-то локальная херня, а потенциально зироклик атака. Буквально тебе даже нажимать ничего не надо.
Что известно на текущий момент:
- Бьёт через медиа (картинки/видосы/превью - что-то в этом духе)
- Суть бага: тг неправильно обрабатывает данные, из-за чего можно «сломать» клиент
- Дальше уже можно пытаться запустить свой код внутри приложения
- В некоторых сценариях вообще без действий от жертвы :/
Самое интересное - это не публичный CVE с патчем и бантиком.
Это именно ZDI-шный слив, а значит, что:
1. Баг долгое время был приватным
2. Его могли юзать «правильные люди» до раскрытия
3. Телеграм, скорее всего, уже тихо что-то фиксил
Почему это важно:
Телеграм любит делать вид, что все ок. Но такие штуки - это не «ой, картинка не грузится», а получение доступа к клиенту,
вытаскивание сессий, потенциальный pivot в аккаунт
И да, если это реально зироклик - значит, что достаточно просто получить сообщение от атакующего. Без каких-либо действий со стороны жертвы.
Что можно вытащить между строк:
- Скорее всего, баг где-то в парсинге сложных форматов (видео/гиф/превью)
- Если есть RCE, значит можно строить полноценные эксплойт цепочки
Всем спасибо, не кликайте лишнего (хотя теперь уже и кликать не надо
У олимпиадников есть 120 дней (до 24 июля 2026), чтобы пофиксить эту уязвимость. Иначе она будет слита и разжевана на ZDI
UPD: Telegram опроверг информацию об утечке, сказав, что такого бага не существовало, а исследователь ошибся. Верим.
t.me/intelpad
Please open Telegram to view this post
VIEW IN TELEGRAM
Пахнет всё страннее 👇
CryptoBot делистнул GRAM с формулировкой «по обращению владельца торговой марки Gram».
Дедлайн на вывод -
до 17 мая 2026. После даты никаких операций.
И важный момент:
делист именно с КБ. Не с MEXC, не с DeDust, не с Stonfi, не с CoinEx. А именно с кб.
И вот тут логика начинает плавиться 🧐
GRAM позиционировался как децентрализованный PoW-жетон, комьюнити-токен. Без центра и хозяина.
Ребята энтузиасты билдили, верили в идею децентрализации, топили за комьюнити. А теперь внезапно появляется «владелец торговой марки».
Подождите. Какой ещё владелец?
Возможно речь о владельце ТМ GRAM (она, кстати, зарегистрирована в Химках).
Но если это так - почему обращение прилетело именно в Crypto Bot?
Почему не в MEXC - крупнейшую биржу, где торгуется GRAM?
Почему не на другие площадки?
Выборочный правоприменительный делист? Интересно.
Дальше веселее.
Почти сразу после новости о делистинге по стакану прилетает удар на ~11 млн GRAM.
Кошелёк:
https://tonscan.org/address/UQDBxu96O6jLEwj9AQHSQPX9R9kPAKRlNbC8WTWRSbGT5rUr
Это кош тестера (@tester) — владельца tonscan и человека из ближайшего окружения Олега, фаундера GRAM.
Сам Олег до объявления делистинга вывел средства пользователей с @thegram обратно на криптобот - проекта, куда холдеры задонатили около 3 млн GRAM. Эти средства, по-моему, так и не были реализованы, а сам Олег говорил, что это просто подношение.
В официальном чате @tonbase - хейт, подчистка сообщений и бан юзеров.
И теперь вишенка:
Если «владелец» - Олег, тогда на него всё и спихнём?)
Раз он раньше скалил зубы на просьбы что-то забилдить, говоря, что это «комьюнити токен» 😄
Ситуация выглядит максимально иронично.
Когда удобно - это децентрализация и я тут ни при чём, когда не удобно - внезапно появляется владелец.
Крч, вопросов больше, чем ответов.
Если держите GRAM в Crypto Bot - выводите до 17 мая.
t.me/intelpad
CryptoBot делистнул GRAM с формулировкой «по обращению владельца торговой марки Gram».
Дедлайн на вывод -
до 17 мая 2026. После даты никаких операций.
И важный момент:
делист именно с КБ. Не с MEXC, не с DeDust, не с Stonfi, не с CoinEx. А именно с кб.
И вот тут логика начинает плавиться 🧐
GRAM позиционировался как децентрализованный PoW-жетон, комьюнити-токен. Без центра и хозяина.
Ребята энтузиасты билдили, верили в идею децентрализации, топили за комьюнити. А теперь внезапно появляется «владелец торговой марки».
Подождите. Какой ещё владелец?
Возможно речь о владельце ТМ GRAM (она, кстати, зарегистрирована в Химках).
Но если это так - почему обращение прилетело именно в Crypto Bot?
Почему не в MEXC - крупнейшую биржу, где торгуется GRAM?
Почему не на другие площадки?
Выборочный правоприменительный делист? Интересно.
Дальше веселее.
Почти сразу после новости о делистинге по стакану прилетает удар на ~11 млн GRAM.
Кошелёк:
https://tonscan.org/address/UQDBxu96O6jLEwj9AQHSQPX9R9kPAKRlNbC8WTWRSbGT5rUr
Это кош тестера (@tester) — владельца tonscan и человека из ближайшего окружения Олега, фаундера GRAM.
Сам Олег до объявления делистинга вывел средства пользователей с @thegram обратно на криптобот - проекта, куда холдеры задонатили около 3 млн GRAM. Эти средства, по-моему, так и не были реализованы, а сам Олег говорил, что это просто подношение.
В официальном чате @tonbase - хейт, подчистка сообщений и бан юзеров.
И теперь вишенка:
Если «владелец» - Олег, тогда на него всё и спихнём?)
Раз он раньше скалил зубы на просьбы что-то забилдить, говоря, что это «комьюнити токен» 😄
Ситуация выглядит максимально иронично.
Когда удобно - это децентрализация и я тут ни при чём, когда не удобно - внезапно появляется владелец.
Крч, вопросов больше, чем ответов.
Если держите GRAM в Crypto Bot - выводите до 17 мая.
t.me/intelpad
🥴1
pad
Пахнет всё страннее 👇 CryptoBot делистнул GRAM с формулировкой «по обращению владельца торговой марки Gram». Дедлайн на вывод - до 17 мая 2026. После даты никаких операций. И важный момент: делист именно с КБ. Не с MEXC, не с DeDust, не с Stonfi, не с CoinEx.…
Апдейтимся:
Олег выкатил посты в канале, где рассказал что ему написал сам Дуров и сказал, что GRAM получил DSA-претензию от торговой марки. Отчего Олег решил принять решение сделать ребрендинг. Казалось бы, сделать контракт, который обменяет старый GRAM на новый, к примеру: KILOGRAM. Но нет, но решил оставить все как есть, тк это затрагивает только публичные ресурсы, запрещая им использовать GRAM.
Но это не отменяет того факта, что он ждал кучу времени после делистинга с кб, когда начала нарастать паника, чтобы потом написать сообщение, которое всех успокоит. Он мог сразу после делистинга написать сообщение с разъяснениями, успокоить всех и вся, но нет, он решил сначала рассказать всем своим друзьям (в основе речь про тестера), чтобы они успели вывалить свой капитал, уронив цену на %75+.
Что теперь? Теперь они выбирают с комьюнити новое публичное название. + Забавно, что многие биржи работают с публичным API, аля tonapi / toncenter api и там GRAM останется GRAM’ом, отчего крупные биржи, типо MEXC и эксплореры типо CMC / DexScreener будут вынуждены вручную рисовать другое название, чтобы не получить такую же претензию 😁
Спасибо, наставили костылей, развели панику, подняли репу перед друзьями и вышли почти сухими из воды.
t.me/intelpad
Олег выкатил посты в канале, где рассказал что ему написал сам Дуров и сказал, что GRAM получил DSA-претензию от торговой марки. Отчего Олег решил принять решение сделать ребрендинг. Казалось бы, сделать контракт, который обменяет старый GRAM на новый, к примеру: KILOGRAM. Но нет, но решил оставить все как есть, тк это затрагивает только публичные ресурсы, запрещая им использовать GRAM.
Но это не отменяет того факта, что он ждал кучу времени после делистинга с кб, когда начала нарастать паника, чтобы потом написать сообщение, которое всех успокоит. Он мог сразу после делистинга написать сообщение с разъяснениями, успокоить всех и вся, но нет, он решил сначала рассказать всем своим друзьям (в основе речь про тестера), чтобы они успели вывалить свой капитал, уронив цену на %75+.
Что теперь? Теперь они выбирают с комьюнити новое публичное название. + Забавно, что многие биржи работают с публичным API, аля tonapi / toncenter api и там GRAM останется GRAM’ом, отчего крупные биржи, типо MEXC и эксплореры типо CMC / DexScreener будут вынуждены вручную рисовать другое название, чтобы не получить такую же претензию 😁
Спасибо, наставили костылей, развели панику, подняли репу перед друзьями и вышли почти сухими из воды.
t.me/intelpad
😁5🥴1