В Telegram 26 октября разошлась история о новом взломе: неизвестный якобы сумел захватить короткий адрес @Bot с помощью «подмены данных». Однако технический скриншот, приложенный к заявлению о взломе, не подтверждает захват юзернейма. В данных сообщения Telegram пометил надпись @Bot как text_mention, то есть как ссылку на аккаунт по идентификатору.
Telegram различает настоящие юзернеймы и подобные упоминания на уровне API. Обычный @username получает тип mention, причём сервер формирует сущность автоматически. Тип text_mention работает иначе: приложение связывает выбранный фрагмент текста с конкретным пользователем или ботом через числовой ID. На опубликованном скриншоте внутри text_mention присутствует объект user с идентификатором и признаком is_bot: true, но поля username нет.
Подобная схема позволяет сделать кликабельной практически произвольную подпись и связать подпись с нужным аккаунтом. Надпись может выглядеть как @Bot, хотя настоящий юзернейм связанного бота отличается или вообще отсутствует. Поэтому один опубликованный скриншот показывает подмену отображаемого упоминания, но не доказывает регистрацию, кражу или передачу самого адреса @Bot.
Разница принципиальна. Настоящий юзернейм Telegram участвует в поиске, упоминаниях и ссылках вида t.me/username. Для подтверждения захвата @Bot потребовались бы, например, профиль с присвоенным именем, работающая ссылка t.me/bot на подконтрольный атакующему аккаунт или техническое описание серверной ошибки. Публичного доказательства подобного захвата на момент публикации найти не удалось.
Обычные имена ботов, создаваемые через BotFather, состоят из 5-32 символов и заканчиваются на bot. Telegram допускает отдельные исключения, включая старые служебные и коллекционные юзернеймы, поэтому необычная длина сама по себе не доказывает эксплуатацию уязвимости. Ключевая деталь опубликованного материала находится именно в типе сущности text_mention.
Авторы исходного сообщения также утверждают, что предполагаемый взломщик много лет находил уязвимости Telegram и собирал пользовательские данные практически с момента появления мессенджера. Имя исследователя, ссылки на предыдущие отчёты, описание новой уязвимости или воспроизводимый пример атаки в публикации отсутствуют. Независимых подтверждений заявленной истории на момент подготовки материала найти не удалось.
Фраза «итоги вайбкодинга» в первоначальном сообщении также остаётся предположением. Вайбкодинг подразумевает разработку с сильной опорой на генеративный ИИ и слабым контролем за получившимся кодом, но опубликованные материалы не связывают предполагаемую ошибку Telegram с ИИ-разработкой. Без исходного кода, технического отчёта или комментария Telegram установить причину невозможно.
Пока громкая формулировка про очередной взлом Telegram опережает доступные доказательства. Опубликованный скриншот демонстрирует возможность представить кликабельное упоминание бота под текстом @Bot. Подобная неоднозначность интерфейса может использоваться для имитации чужого имени и социальной инженерии, однако подтверждений реального захвата уникального юзернейма @Bot пока нет.
