Por los chats de Telegram circula un sticker animado que hace que la aplicación se cierre. La vulnerabilidad se reproduce en iOS, Android, macOS y Windows; la versión web sigue funcionando sin problemas. El informe sobre esta animación estaba en soporte técnico de Telegram desde julio; su corrección comenzó en septiembre, cuando el archivo se volvió viral. En resumen, Telegram encontró su propio crasher entre los stickers.
Cómo funciona el fallo
Un sticker animado en Telegram es un archivo TGS: un JSON comprimido con gzip en formato Lottie, donde la animación se describe mediante contornos vectoriales definidos por puntos. Los clientes rasterizan estos archivos con un motor nativo de animación — y precisamente este motor no sobrevive al encuentro con un archivo malicioso. En los foros del bug se comenta que el problema está en el número de puntos: la animación contiene una cantidad anormalmente alta de vértices, y el cliente colapsa al intentar procesarlos. La versión web renderiza Lottie con un motor diferente, por lo que entre todos los clientes oficiales solo ella permanece estable.
Detalle importante: Telegram sí tiene verificación del lado del servidor para los stickers cargados — parte de los archivos incorrectos son rechazados durante la subida — pero la animación de fallo pasa desapercibida. El cliente recibe el archivo como un sticker normal y falla al renderizarlo.
De ahí la geografía del fallo: la aplicación se cierra en cualquier dispositivo donde la animación aparezca en la zona visible — en un chat, en la vista previa de conversación o en la lista de reacciones.
Cronología
La vulnerabilidad era conocida desde julio. El cazador de bugs @w1r3l355 envió un reporte a soporte de Telegram sobre un sticker que cerraba todos los clientes excepto la versión web — sin revelar públicamente el archivo. El reporte fue verificado en Android, iPhone, Mac y Windows: los clientes se cerraban en las cuatro plataformas, y el chat al que se enviaba el sticker dejaba de abrirse para los participantes. No hubo respuesta ni pago.
A principios de septiembre, el archivo fue encontrado nuevamente — y esta vez no se reportó, sino que se empezó a compartir por chats. El 8 de septiembre apareció una segunda variante: el sticker se convirtió en un emoji personalizado y se usó como estado en este mensaje. Los emojis personalizados son también Lottie, y el estado se muestra junto al nombre en cada chat donde la persona escriba, por lo que el fallo ya no requiere siquiera enviar un mensaje.
La corrección comenzó tras la difusión masiva del archivo. Mientras tanto, internet llevaba la cuenta:
Qué hacer hasta la corrección
Todos los métodos de contorno se reducen a una sola idea: evitar que el cliente renderice la animación.
- Modo de ahorro de energía en la configuración de Telegram desactiva la reproducción automática de stickers y emojis animados — el archivo no se analiza, así que no hay fallo. El más confiable de los métodos.
- Si la app se cierra al iniciar, abre cualquier notificación de Telegram: el cliente inicia en un chat específico, evitando el que falla.
- Mantén presionado el ícono de Telegram → «Favoritos» o «Escribir mensaje» — inicia el cliente fuera del último chat abierto.
- El cliente web funciona: puedes usarlo para localizar al remitente, eliminar el mensaje y reportarlo.
Resumen de contornos compilado por usuarios.
Y una regla sencilla de higiene digital por los próximos días: no uses estados ni instales paquetes de mensajes aleatorios o de “prueba si funciona en tu caso” — hasta la corrección, cualquier animación desconocida podría ser ese archivo peligroso. Los paquetes verificados están disponibles en los catálogos de emojis y stickers.
Economía del reporte
Lo revelador no es la vulnerabilidad en sí, sino el camino que siguió. El reporte de julio con un proof-of-concept no publicado estuvo sin respuesta durante más de dos meses; la corrección solo comenzó tras la difusión masiva del archivo. Para comparar escalas de pago: por un bug que oculta una URL externa como interna (y revela la IP del usuario), Telegram pagó 100 dólares. Hasta hoy, no ha habido pago alguno por una animación que cierra todos los clientes nativos.
Preguntas frecuentes
¿Qué son los stickers que cierran la aplicación en Telegram?
Son stickers animados o emojis personalizados cuya renderización provoca el cierre de la aplicación Telegram. Es un archivo TGS — una animación Lottie comprimida, donde los contornos se definen por puntos; en el archivo que provoca el cierre, hay una cantidad anómala de vértices, y el motor de animación nativo falla al procesarlos.
¿Funciona el sticker que cierra la aplicación en iPhone?
Sí: el cierre se reproduce en iOS, Android, macOS y Windows. La versión web de Telegram renderiza la animación con otro motor y sigue funcionando. Telegram Desktop corrigió el cierre en las versiones 7.2.7 y 7.2.8.
¿Cómo protegerse del sticker que cierra la aplicación?
Activar el modo de ahorro de energía en la configuración de Telegram — esto desactiva la reproducción automática de stickers animados y emojis. Si la aplicación se cierra inmediatamente al iniciar, ábrela a través de una notificación o manteniendo pulsado el icono, y elimina el mensaje con el sticker desde la versión web.
¿Por qué no hay un enlace al sticker en sí?
Es un archivo malicioso: los enlaces a él no se publican.
