Trong các nhóm Telegram đang lan truyền một sticker hoạt hình khiến ứng dụng bị đóng đột ngột khi hiển thị. Lỗi này xuất hiện trên iOS, Android, macOS và Windows; phiên bản web vẫn hoạt động bình thường. Báo cáo về lỗi này đã được gửi đến bộ phận hỗ trợ Telegram từ tháng 7, nhưng việc sửa chữa mới bắt đầu vào tháng 9, khi file gây lỗi trở nên phổ biến. Nói cách khác, Telegram đã tìm thấy "kẻ gây sập" trong chính bộ sưu tập sticker của mình.
Cơ chế gây sập
Sticker hoạt hình trong Telegram là file định dạng TGS: một file JSON nén bằng gzip theo chuẩn Lottie, trong đó hoạt hình được mô tả bằng các đường viền vector theo từng điểm. Các client sẽ render file này bằng bộ động cơ hoạt hình tích hợp — chính là thành phần này không chịu được khi tiếp xúc với file độc hại. Trong các thảo luận về lỗi, người dùng cho biết vấn đề nằm ở số lượng điểm: một lượng điểm đỉnh bất thường được đóng gói trong hoạt hình, khiến client sập khi xử lý. Phiên bản web sử dụng một bộ động cơ khác để render Lottie, do đó chỉ duy nhất phiên bản web là không bị ảnh hưởng trong số các client chính thức.
Một điểm đáng chú ý: Telegram có kiểm tra server đối với sticker được tải lên — một phần file không hợp lệ sẽ bị từ chối, nhưng file gây sập vẫn vượt qua được. Client nhận file như một sticker bình thường, và sập ngay khi bắt đầu render.
Từ đó, phạm vi ảnh hưởng của lỗi là toàn bộ người dùng nào có hoạt hình nằm trong vùng hiển thị — trong tin nhắn, trong xem trước cuộc trò chuyện, hoặc trong danh sách phản hồi.
Lịch sử phát triển
Lỗi đã được biết đến từ tháng 7. Nhà phát hiện lỗi @w1r3l355 đã gửi báo cáo đến bộ phận hỗ trợ Telegram về một sticker khiến tất cả client (trừ web) sập — nhưng không công khai file demo. Báo cáo đã được kiểm tra trên Android, iPhone, Mac và Windows: tất cả bốn nền tảng đều sập, và cuộc trò chuyện nhận sticker không thể mở lại được. Không có phản hồi hay khoản thưởng nào được trao.
Đầu tháng 9, file này được phát hiện lại — lần này không báo cáo, mà bắt đầu lan truyền trong các nhóm. Ngày 8 tháng 9, một vector mới xuất hiện: sticker được chuyển thành emoji tùy chỉnh và đặt làm trạng thái trong tin nhắn. Emoji tùy chỉnh cũng dùng định dạng Lottie, và trạng thái được hiển thị cạnh tên người dùng trong mọi cuộc trò chuyện mà họ tham gia — do đó, lỗi sập không còn cần gửi tin nhắn nữa.
Việc sửa lỗi bắt đầu sau khi file lan truyền rộng rãi. Trong thời gian đó, cộng đồng mạng đã ghi nhận:
Cách xử lý trước khi có bản vá
Tất cả các biện pháp khắc phục đều hướng đến một mục tiêu: ngăn client render hoạt hình.
- Chế độ tiết kiệm pin trong cài đặt Telegram tắt tự động phát sticker và emoji hoạt hình — file không được phân tích, lỗi sập không xảy ra. Đây là biện pháp an toàn nhất.
- Nếu ứng dụng đóng ngay khi khởi động — mở bất kỳ thông báo nào từ Telegram: client sẽ khởi chạy từ một cuộc trò chuyện cụ thể, bỏ qua cuộc trò chuyện đang gây lỗi.
- Nhấn giữ lâu vào biểu tượng Telegram → chọn "Yêu thích" hoặc "Nhắn tin" — khởi chạy mà không đi qua cuộc trò chuyện cuối cùng đã mở.
- Phiên bản web vẫn hoạt động: dùng nó để tìm người gửi, xóa tin nhắn và báo cáo.
Liệt kê các biện pháp khắc phục được người dùng tổng hợp.
Và một nguyên tắc đơn giản để giữ an toàn trong vài ngày tới: đừng đặt trạng thái hay cài bộ sticker từ các tin nhắn lạ, "thử xem có hoạt động không" — cho đến khi có bản vá, bất kỳ hoạt hình nào không rõ nguồn gốc đều có thể là file gây sập. Bộ sticker đã được kiểm chứng chỉ có trong danh mục emoji và danh mục sticker.
Kinh tế báo cáo lỗi
Điều đáng chú ý không phải là lỗi tự thân, mà là hành trình mà nó đã đi qua. Báo cáo từ tháng 7 với proof-of-concept không công khai đã nằm im suốt hơn hai tháng mà không nhận được phản hồi; việc sửa lỗi mới bắt đầu sau khi file lan truyền rộng rãi. So sánh quy mô thưởng: lỗi cho phép đường link bên ngoài được che giấu như link nội bộ — tiết lộ IP người dùng — Telegram đã trả 100 đô la. Trong khi đó, lỗi khiến tất cả client native sập vẫn chưa có khoản thưởng nào được trao.
