Trong các nhóm Telegram đang lan truyền một bộ stiker hoạt hình khiến ứng dụng bị đóng đột ngột khi hiển thị. Lỗi này xuất hiện trên iOS, Android, macOS và Windows; phiên bản web vẫn hoạt động bình thường. Báo cáo về lỗi này đã được gửi đến bộ phận hỗ trợ Telegram từ tháng 7, nhưng việc khắc phục chỉ bắt đầu vào tháng 9, khi file stiker trở nên phổ biến. Nói cách khác, Telegram đã tìm thấy "kẻ gây sập" trong chính bộ stiker của mình.
Cơ chế gây sập
Stiker hoạt hình trong Telegram là file định dạng TGS: một file JSON nén bằng gzip theo chuẩn Lottie, trong đó hoạt hình được mô tả bằng các đường viền vector theo từng điểm. Các client sẽ render file này bằng bộ động cơ hoạt hình gốc — và chính động cơ này không chịu nổi file độc hại. Trong các thảo luận về lỗi, người dùng cho biết vấn đề nằm ở số lượng điểm: file chứa quá nhiều đỉnh đường viền, khiến client sập khi xử lý. Phiên bản web sử dụng một bộ động cơ khác để render Lottie, nên chỉ duy nhất phiên bản web là không bị ảnh hưởng trong số các client chính thức.
Một điểm đáng chú ý: Telegram có kiểm tra server đối với các stiker được tải lên — một phần file không hợp lệ sẽ bị từ chối — nhưng stiker gây sập vẫn vượt qua được kiểm tra này. Client nhận file như một stiker bình thường, và sập ngay khi bắt đầu render.
Do đó, phạm vi ảnh hưởng của lỗi là toàn bộ người dùng nào có stiker hoạt hình đó nằm trong vùng hiển thị — trong tin nhắn, trong xem trước cuộc trò chuyện, hoặc trong danh sách phản ứng.
Lịch sử phát triển
Lỗi đã được biết đến từ tháng 7. Nhà phát hiện bug @w1r3l355 đã gửi báo cáo đến bộ phận hỗ trợ Telegram về stiker khiến tất cả client (trừ web) sập — nhưng không công khai file demo. Báo cáo đã được kiểm tra trên Android, iPhone, Mac và Windows: tất cả các client đều sập, và cuộc trò chuyện chứa stiker không thể mở lại được cho các thành viên. Không có phản hồi hay khoản thưởng nào được trao.
Đầu tháng 9, file này được phát hiện lại — lần này không báo cáo, mà bắt đầu lan truyền trong các nhóm. Ngày 8 tháng 9, xuất hiện vectơ mới: stiker được chuyển thành emoji tùy chỉnh và đặt làm trạng thái trong tài khoản. Emoji tùy chỉnh cũng dùng định dạng Lottie, và trạng thái hiển thị ngay bên cạnh tên người dùng trong mọi cuộc trò chuyện — do đó, lỗi sập không còn cần gửi tin nhắn nữa.
Việc sửa lỗi bắt đầu sau khi file lan truyền rộng rãi. Trong thời gian đó, cộng đồng mạng đã ghi lại số liệu:
Cách xử lý trước khi sửa lỗi
Tất cả các biện pháp tránh lỗi đều xoay quanh một nguyên tắc: ngăn client render hoạt hình.
- Chế độ tiết kiệm pin trong cài đặt Telegram tắt tự động phát stiker và emoji hoạt hình — file không được xử lý, nên không sập. Đây là biện pháp an toàn nhất.
- Nếu ứng dụng đóng ngay khi khởi động — mở bất kỳ thông báo nào từ Telegram: client sẽ khởi chạy từ một cuộc trò chuyện cụ thể, bỏ qua cuộc trò chuyện đang gây sập.
- Nhấn giữ lâu vào biểu tượng Telegram → chọn “Yêu thích” hoặc “Nhắn tin” — khởi chạy mà không đi qua cuộc trò chuyện gần nhất.
- Sử dụng client web: qua đó bạn có thể tìm người gửi, xóa tin nhắn và báo cáo.
Tổng hợp các biện pháp tránh lỗi được người dùng thu thập.
Và một nguyên tắc vệ sinh cơ bản trong vài ngày tới: đừng đặt trạng thái hay cài bộ stiker từ các tin nhắn lạ, hay những lời mời kiểu “thử xem có hoạt động không” — cho đến khi lỗi được sửa, bất kỳ hoạt hình nào không rõ nguồn gốc đều có thể là file gây sập. Các bộ stiker đã được kiểm chứng có thể tìm thấy trong danh mục emoji và danh mục stiker.
Kinh tế báo cáo lỗi
Điều đáng chú ý không phải là lỗi本身, mà là hành trình mà nó đã đi qua. Báo cáo từ tháng 7 với proof-of-concept không công khai đã nằm im suốt hơn hai tháng mà không nhận được phản hồi; việc sửa lỗi chỉ bắt đầu sau khi file lan truyền rộng rãi. Để so sánh quy mô thưởng: lỗi cho phép đường link bên ngoài được che giấu như link nội bộ — tiết lộ IP người dùng — Telegram đã trả 100 đô la. Trong khi đó, lỗi khiến tất cả client gốc sập vẫn chưa có khoản thưởng nào được trao cho đến nay.
Các câu hỏi thường gặp
Sticker gây lỗi đóng ứng dụng trong Telegram là gì?
Là các sticker động hoặc biểu tượng cảm xúc tùy chỉnh mà khi được hiển thị, ứng dụng Telegram sẽ bị đóng. Đây là một tệp TGS — một ảnh động Lottie được nén, trong đó các đường viền được xác định bằng các điểm; trong tệp gây lỗi này có số lượng đỉnh bất thường, và công cụ hiển thị ảnh động gốc bị lỗi khi xử lý chúng.
Sticker gây lỗi đóng ứng dụng có hoạt động trên iPhone không?
Có: lỗi đóng ứng dụng xảy ra trên iOS, Android, macOS và Windows. Phiên bản web của Telegram hiển thị ảnh động bằng một công cụ khác và vẫn hoạt động bình thường. Telegram Desktop đã khắc phục lỗi đóng ứng dụng trong các phiên bản 7.2.7 và 7.2.8.
Làm thế nào để tự bảo vệ khỏi sticker gây lỗi đóng ứng dụng?
Bật chế độ tiết kiệm pin trong cài đặt Telegram — chế độ này sẽ tắt tính năng tự động phát các sticker động và biểu tượng cảm xúc. Nếu ứng dụng bị đóng ngay khi khởi chạy, hãy mở nó thông qua thông báo hoặc nhấn giữ vào biểu tượng, sau đó xóa tin nhắn chứa sticker đó từ phiên bản web.
Tại sao ở đây không có liên kết đến chính sticker đó?
Đây là một tệp độc hại: các liên kết đến nó không được công bố.
