Berbagai chat di Telegram mulai tersebar stiker animasi yang menyebabkan aplikasi tiba-tiba berhenti (crash) saat ditampilkan. Kerentanan ini bisa direplikasi di iOS, Android, macOS, dan Windows; versi web tetap berjalan normal. Laporan bug ini sudah dilaporkan ke tim dukungan Telegram sejak bulan Juli, namun perbaikan baru dimulai pada September, setelah file tersebut menyebar luas. Dengan demikian, Telegram akhirnya menemukan crasher mereka di antara stiker-stiker yang ada.
Bagaimana Kerentanan Ini Bekerja
Stiker animasi di Telegram berbentuk file TGS: JSON yang dikompresi dengan gzip dalam format Lottie, di mana animasi dijelaskan melalui kontur vektor berbasis titik. Klien mengonversi file ini menggunakan mesin animasi native — dan justru mesin inilah yang gagal menangani file berbahaya. Dalam diskusi bug, disebutkan bahwa masalahnya terletak pada jumlah titik: animasi mengandung jumlah titik kontur yang sangat abnormal, sehingga klien runtuh saat mencoba memprosesnya. Versi web menggunakan mesin rendering Lottie yang berbeda, sehingga hanya versi web yang tetap stabil di antara semua klien resmi.
Detail penting lainnya: Telegram memang memiliki verifikasi server untuk stiker yang diunggah — sebagian file yang tidak valid ditolak saat diunggah — namun animasi berbahaya ini berhasil lolos. Klien menerima file sebagai stiker biasa, dan crash terjadi saat proses rendering di perangkat pengguna.
Dari sini muncul cakupan geografis crash: aplikasi akan crash pada siapa saja yang melihat animasi tersebut — baik di chat, di pratinjau percakapan, maupun di daftar reaksi.
Kronologi Peristiwa
Kerentanan ini sudah diketahui sejak Juli. Penemu bug @w1r3l355 melaporkan ke tim dukungan Telegram tentang stiker yang membuat semua klien (kecuali versi web) crash — namun tidak mempublikasikan file buktinya secara terbuka. Laporan ini dipastikan di Android, iPhone, Mac, dan Windows: semua klien crash di keempat platform, dan chat yang menerima stiker menjadi tidak bisa dibuka lagi oleh peserta. Tidak ada respons maupun kompensasi dari Telegram.
Pada awal September, file tersebut ditemukan kembali — namun kali ini tidak dilaporkan, melainkan disebarluaskan secara massal di berbagai chat. Pada 8 September muncul vektor baru: stiker tersebut diubah menjadi emoji kustom dan dipasang di status di sini. Emoji kustom menggunakan format Lottie yang sama, dan status ditampilkan di samping nama pengguna di setiap chat yang dikirim — sehingga crash kini tidak lagi memerlukan pengiriman pesan.
Perbaikan dimulai setelah file tersebut menyebar luas. Saat itu, internet mulai menghitung dampaknya:
Apa yang Harus Dilakukan Sebelum Perbaikan
Semua solusi sementara berujung pada satu tujuan: mencegah klien menampilkan animasi.
- Mode hemat daya di pengaturan Telegram menonaktifkan pemutaran otomatis stiker dan emoji animasi — file tidak diproses, sehingga crash tidak terjadi. Ini adalah solusi paling andal.
- Jika aplikasi crash segera setelah dibuka, buka salah satu notifikasi dari Telegram: klien akan mulai dari chat tertentu, melewati proses yang menyebabkan crash.
- Tahan lama ikon Telegram → pilih "Favorit" atau "Kirim pesan" — untuk memulai aplikasi tanpa membuka chat terakhir yang bermasalah.
- Gunakan klien web: melalui browser, Anda bisa menemukan pengirim, menghapus pesan, dan melaporkan masalah.
Rangkuman solusi sementara dikumpulkan oleh pengguna.
Dan aturan kebersihan sederhana untuk beberapa hari ke depan: jangan pasang emoji kustom di status atau instal paket stiker dari pesan acak atau "coba cek apakah ini bekerja di kamu" — hingga perbaikan dirilis, setiap animasi asing bisa jadi file berbahaya tersebut. Paket yang sudah terverifikasi bisa ditemukan di katalog emoji dan katalog stiker.
Ekonomi Laporan Bug
Yang menarik bukan hanya kerentanan itu sendiri, tetapi jalur yang ditempuh oleh bug ini. Laporan Juli dengan proof-of-concept yang tidak dipublikasikan tergeletak tanpa respons selama lebih dari dua bulan; perbaikan baru dimulai setelah file tersebar luas. Sebagai perbandingan: untuk bug yang menyamarkan tautan eksternal sebagai internal (yang mengungkap alamat IP pengguna), Telegram membayar 100 dolar AS. Namun hingga hari ini, belum ada kompensasi untuk bug yang membuat semua klien native crash.
Pertanyaan yang Sering Diajukan
Apa itu stiker yang membuat aplikasi tertutup di Telegram?
Stiker animasi atau emoji kustom yang menyebabkan aplikasi Telegram tertutup saat dirender. Ini adalah file TGS — animasi Lottie terkompresi, di mana kontur ditentukan oleh titik-titik; dalam file penyebab aplikasi tertutup, terdapat jumlah titik puncak yang sangat banyak, dan mesin animasi bawaan gagal saat memprosesnya.
Apakah stiker yang membuat aplikasi tertutup berfungsi di iPhone?
Ya: penutupan aplikasi terjadi di iOS, Android, macOS, dan Windows. Versi web Telegram merender animasi dengan mesin yang berbeda dan tetap berfungsi. Telegram Desktop telah memperbaiki masalah penutupan aplikasi di versi 7.2.7 dan 7.2.8.
Bagaimana cara melindungi diri dari stiker yang membuat aplikasi tertutup?
Aktifkan mode hemat daya di pengaturan Telegram — ini akan menonaktifkan pemutaran otomatis stiker dan emoji animasi. Jika aplikasi tertutup segera setelah diluncurkan, buka melalui notifikasi atau dengan menekan lama ikon, lalu hapus pesan yang berisi stiker dari versi web.
Mengapa tidak ada tautan ke stiker itu sendiri di sini?
Ini adalah file berbahaya: tautan ke file tersebut tidak dipublikasikan.
