Отчет об обнаружении критической уязвимости в экономике Telegram Stars

Дата обнаружения: 20.08.2025
Статус: Уязвимость не исправлена

1. Краткое описание
Мною была обнаружена и успешно протестирована критическая уязвимость в финансовой системе мессенджера Telegram, связанная с валютой «Stars» (Звезды). Уязвимость имеет эксплуатационный характер и позволяет злоумышленнику с определенными техническими навыками осуществлять неконтролируемое начисление Stars на любой аккаунт, включая свой собственный.

2. Суть уязвимости
Зачисление Stars на аккаунт не теряя денег а в дальнейшем обмен Stars на подарки или премиум подписки.

3. Масштаб угрозы и потенциальный ущерб
Данная уязвимость несет катастрофический характер по нескольким причинам:

1) Неограниченное создание стоимости: Злоумышленник может генерировать любое количество Stars из ничего, де-факта становясь эмитентом этой валюты внутри системы.
2)Подрыв всей экономики Telegram Stars: Массовое использование данной уязвимости привело бы к мгновенной гиперинфляции. Stars полностью обесценились бы, так как их предложение стало бы бесконечным. Это может нанести прямой финансовый ущерб самому Telegram и разработчикам, которые получают выручку от продажи Stars.
3)Мошенничество против пользователей: Обладая бесконечными Stars, злоумышленник может:
Скупать цифровые товары (NFT, имена, стикеры) на платформе Fragment, выводя их из оборота и лишая законных пользователей возможности их приобрести.
Массово раздавать премиум-подписки. Ключевой момент: как вы верно подметили, подписки, приобретенные и подаренные через Stars, не списываются и не возвращаются даже в случае отмены транзакции или обнаружения мошенничества. Это означает, что человек, получивший такую подписку, пользовался бы ей бесплатно и легитимно. Это может создать необратимые убытки для Telegram.
Использовать подаренные подписки и NFT для социальной инженерии и фишинга, повышая доверие к мошенническим аккаунтам.

4. Ответственные действия
Следуя принципам ответственного раскрытия уязвимостей . я НЕ использовал эту уязвимость в корыстных целях и не распространял информацию о ней в публичном пространстве (а именно суть уязвимости).

После успешного тестирования и документирования доказательств (снимки экрана, логи) мною было немедленно направлено детализированное техническое описание проблемы в личные сообщения в мессенджере Telegram а именно на официальный аккаунт Павла Валерьевича Дурова (Были потрачены личные денежные средства) также были направлены личные сообщения Юлии (Были потрачены личные денежные средства) также были направлены сообщения в официальные каналы.

5. Заключение

Обнаруженная уязвимость представляет собой серьезнейшую угрозу для новой и активно развивающейся экономической экосистемы Telegram. Ее эксплуатация может привести к многомиллионным прямым убыткам и необратимому подрыву доверия пользователей к монетизационной модели платформы.

Просьба всем тем кто прочитал данный текст - Помочь дать ему огласку и чтобы Павел Валерьевич Дуров обратил внимание и устранил уязвимость.

На данный момент

Направленные сообщения - не прочитаны
Найденная уязвимость - не исправлена

После того как мной была найдена уязвимость - Я выбрал белый путь добраться в цифровом пространстве до Павла Валерьевича Дурова но к сожалению на данный момент обратной связи не получено.

Я выбрал путь супергероя белой стороны но с каждым днем есть уже мысль зачем пытаться достучаться если это считай не возможно ….

За данную уязвимость есть предложения который начинаются от суммы 100.000$ и доходят до суммы 1.000.000$ от потенциальных покупателей которые хотят узнать подробности уязвимости и как я полагаю ей пользоваться.

Но я не сдаюсь и пытаюсь дописаться до Павла Валерьевича Дурова….

Но я загорелся идей и хочу довести её до конца а именно получить Респект от Павла Валерьевича Дурова и доказать что есть люди в наше время которые выбирают белый и честный путь .

Многие кто пишут говорят обвали рынок … закупить самые дорогие подарки и продать …. Продавать премиум подписки …. Но увы их ах я выбрал путь белого супер героя еще раз повторяюсь белый именно белый путь.

Буду пытаться дописаться всеми возможными и не возможными способами до Павла Валерьевича Дурова.

Также у кого есть возможность сделать так чтобы он заметил это я буду очень благодарен за помощь.

Также буду благодарен за возможность дать этому огласки (но хайп не нужен исключительно те кто может помочь в помощи получения ответа от Павла Валерьевича Дурова на предоставленную уязвимость .

Всем огромное спасибо кто читает это и поддерживает.

По всем вопросам обращайтесь напрямую ко мне : @aecret

Всем мира, добра и крепкого здоровья

Дорогие друзья и читатели! Огромная просьба: воздержитесь, пожалуйста, от просьб подарить вам подарки или начислить звёзды. Я очень ценю вашу поддержку, но все такие отправки я делаю исключительно за свой счёт.

В будущем я обязательно организую официальный розыгрыш от самого телеграмм с прозрачными условиями для всех преданных подписчиков (для того чтобы отблагодарить каждого кто проходил данный этап и следил за новостями)

🚫 ВАЖНО! Безопасность и мои принципы общения.

Дорогие читатели!

Я хочу четко и однозначно заявить:

1. Я НИКОГДА не прошу и не буду просить отправить мне подарки, деньги или звёзды.

2. Я НИКОГДА не пишу первым с какими-либо предложениями о звездах или подарках. Если первое сообщение пришло не от меня — это мошенник.

3. Я стараюсь отвечать всем по возможности, но в моих личных сообщениях очень много сообщений от вас.

КРИТИЧЕСКИ ВАЖНО: При получении любого сообщения, якобы от меня, строго сверяйте никнейм отправителя. Единственный и настоящий — это @aecret (обратите внимание на написание!). У меня нет и никогда не было помощников или администраторов, которые могут что-то предлагать или о чём-то просить.

Любые другие аккаунты — это мошенники. Будьте бдительны и не поддавайтесь на их уловки.

Спасибо, что вы есть. Берегите себя и свои средства!


На данный момент:

Направленные сообщения - не прочитаны
Найденная уязвимость - не исправлена

По всем вопросам обращайтесь напрямую ко мне : @aecret

Всем мира, добра и крепкого здоровья