Por chats do Telegram circula um sticker animado que faz o aplicativo fechar ao ser exibido. A vulnerabilidade é reproduzível em iOS, Android, macOS e Windows; a versão web continua funcionando. O relato sobre essa animação estava na equipe de suporte do Telegram desde julho; a correção começou em setembro, quando o arquivo se tornou viral. Ou seja, o Telegram encontrou seu crasher entre os stickers.
Como o crash funciona
Um sticker animado no Telegram é um arquivo TGS: um JSON compactado com gzip no formato Lottie, onde a animação é descrita por contornos vetoriais definidos por pontos. Os clientes renderizam esses arquivos com um motor nativo de animação — e é exatamente esse motor que não sobrevive ao contato com um arquivo malicioso. Nos fóruns do bug, há quem diga que o problema está no número de pontos: a animação contém um número anormalmente alto de vértices, e o cliente trava ao tentar processá-los. A versão web renderiza o Lottie com um motor diferente — por isso, entre todos os clientes oficiais, só ela permanece estável.
Detalhe importante: o Telegram tem verificação no servidor para arquivos de stickers enviados — parte dos arquivos inválidos é rejeitada pelo carregador — mas a animação crasher passa por essa verificação. O cliente recebe o arquivo como um sticker normal e trava durante a renderização.
É por isso que o impacto é geográfico: o aplicativo fecha para qualquer pessoa cuja interface tenha a animação dentro da área visível — em um chat, na prévia de conversa ou na lista de reações.
Cronologia
A vulnerabilidade é conhecida desde julho. O caçador de bugs @w1r3l355 enviou um relato ao suporte do Telegram sobre um sticker que fechava todos os clientes, exceto a versão web — sem divulgar publicamente o arquivo. O relato foi testado em Android, iPhone, Mac e Windows: os clientes travavam em todas as quatro plataformas, e o chat onde o sticker foi enviado deixava de abrir para os participantes. Nenhuma resposta ou pagamento foi recebido.
No início de setembro, o arquivo foi encontrado novamente — e, dessa vez, não foi reportado, mas enviado em massa por chats. Em 8 de setembro, surgiu um novo vetor: o sticker foi convertido em um emoji personalizado e colocado no status do perfil (veja aqui). Emojis personalizados usam o mesmo formato Lottie, e o status é exibido ao lado do nome em todos os chats em que a pessoa escreve — assim, o crash passou a não exigir sequer o envio de uma mensagem.
A correção começou após o arquivo se espalhar amplamente. Enquanto isso, a internet contabilizou o impacto:
O que fazer até a correção
Todos os métodos de contorno funcionam com uma única ideia: impedir que o cliente renderize a animação.
- Modo de economia de energia nas configurações do Telegram desativa a reprodução automática de stickers e emojis animados — o arquivo não é processado, então o crash não ocorre. O método mais confiável.
- Se o app fechar logo ao abrir, abra qualquer notificação do Telegram: o cliente inicia em um chat específico, pulando o que está travando.
- Toque longo na ícone do Telegram → "Favoritos" ou "Escrever mensagem" — inicia o app fora do último chat aberto.
- O cliente web funciona: por ele, é possível localizar o remetente, excluir a mensagem e reportar o problema.
Resumo dos contornos foi compilado por usuários.
E uma regra simples de higiene nos próximos dias: não coloque em seu status nem instale pacotes de stickers de mensagens aleatórias ou de "veja se funciona pra você" — até a correção, qualquer animação desconhecida pode ser esse arquivo perigoso. Pacotes confiáveis estão nos catálogos de emojis e stickers.
Economia do relato
O que chama atenção não é a vulnerabilidade em si, mas o caminho que ela percorreu. O relato de julho, com um proof-of-concept não divulgado, ficou sem resposta por mais de um mês; a correção só começou após o arquivo se tornar viral. Para comparar o valor: por um bug que mascara links externos como internos — revelando o IP do usuário — o Telegram pagou 100 dólares. Até hoje, não houve pagamento algum por uma animação que fecha todos os clientes nativos.
