Beredar di berbagai obrolan Telegram stiker animasi yang menyebabkan aplikasi tiba-tiba berhenti. Kerentanan ini bisa direplikasi di iOS, Android, macOS, dan Windows; versi web tetap berjalan normal. Laporan bug ini sudah ada di tim dukungan Telegram sejak bulan Juli, namun perbaikan baru dimulai pada bulan September, setelah file tersebut menyebar luas. Dengan kata lain, Telegram akhirnya menemukan crasher mereka di antara stiker-stiker yang ada.
Bagaimana Kerentanan Ini Bekerja
Stiker animasi di Telegram berbentuk file TGS: JSON yang dikompresi dengan gzip dalam format Lottie, di mana animasi dijelaskan melalui kontur vektor berbasis titik-titik. Klien mengonversi file ini menggunakan mesin animasi native — dan justru mesin inilah yang gagal menangani file berbahaya. Dalam diskusi bug, disebutkan bahwa masalahnya terletak pada jumlah titik: animasi mengandung jumlah titik kontur yang sangat abnormal, sehingga klien runtuh saat mencoba memprosesnya. Versi web menggunakan mesin rendering Lottie yang berbeda, sehingga hanya versi web yang tetap stabil di antara semua klien resmi.
Detail penting lainnya: Telegram memang memiliki verifikasi server untuk stiker yang diunggah — sebagian file yang tidak valid ditolak saat unggah — namun animasi berbahaya ini berhasil lolos. Klien menerima file sebagai stiker biasa, dan crash terjadi saat proses rendering di sisi klien.
Karena itu, gejala crash terjadi di semua pengguna yang tampilan animasi tersebut muncul di area yang terlihat: dalam obrolan, di pratinjau percakapan, atau di daftar reaksi.
Kronologi Peristiwa
Kerentanan ini diketahui sejak Juli. Penemu bug @w1r3l355 mengirim laporan ke dukungan Telegram tentang stiker yang membuat semua klien crash, kecuali versi web — namun file bukti tidak dipublikasikan secara terbuka. Laporan ini dipastikan berjalan di Android, iPhone, Mac, dan Windows: semua klien crash di keempat platform, dan obrolan yang menerima stiker tersebut tidak bisa dibuka lagi oleh peserta. Tidak ada respons maupun kompensasi dari Telegram.
Pada awal September, file tersebut ditemukan kembali — kali ini, bukan dilaporkan, melainkan disebarluaskan secara massal di berbagai obrolan. Pada 8 September muncul vektor baru: stiker tersebut diubah menjadi emoji kustom dan dipasang di status di sini. Emoji kustom menggunakan format Lottie yang sama, dan status ditampilkan di samping nama pengguna di setiap obrolan yang dibuka — sehingga crash kini tidak lagi memerlukan pengiriman pesan.
Perbaikan dimulai setelah file tersebut menyebar luas. Saat itu, internet mulai menghitung dampaknya:
Apa yang Bisa Dilakukan Sebelum Perbaikan
Semua solusi sementara berujung pada satu tujuan: mencegah klien melakukan rendering animasi.
- Mode hemat daya di pengaturan Telegram menonaktifkan pemutaran otomatis stiker dan emoji animasi — file tidak diproses, sehingga crash tidak terjadi. Ini adalah solusi paling andal.
- Jika aplikasi langsung crash saat dibuka, buka salah satu notifikasi dari Telegram: klien akan mulai dari obrolan tertentu, melewati halaman yang menyebabkan crash.
- Tekan lama ikon Telegram → pilih "Favorit" atau "Tulis pesan" — untuk membuka aplikasi tanpa melalui obrolan terakhir yang rusak.
- Klien web tetap berjalan: gunakan ini untuk menemukan pengirim, menghapus pesan, dan melaporkan.
Rangkuman solusi sementara dikumpulkan oleh pengguna.
Dan aturan kebersihan sederhana untuk beberapa hari ke depan: jangan pasang emoji kustom di status atau instal paket stiker dari undangan acak atau "coba cek apakah ini berfungsi di perangkatmu" — hingga perbaikan dirilis, setiap animasi asing bisa jadi file berbahaya tersebut. Paket yang sudah terverifikasi bisa ditemukan di katalog emoji dan katalog stiker.
Ekonomi Laporan Bug
Yang menarik bukan hanya kerentanan itu sendiri, tetapi jalur yang dilaluinya. Laporan Juli dengan proof-of-concept yang tidak dipublikasikan tergeletak tanpa tanggapan selama lebih dari dua bulan; perbaikan baru dimulai setelah file tersebar luas. Sebagai perbandingan: untuk bug yang menyamarkan tautan eksternal sebagai internal (yang mengungkap alamat IP pengguna), Telegram membayar 100 dolar AS. Namun untuk bug animasi yang membuat semua klien native crash, hingga hari ini belum ada kompensasi yang diberikan.
