Telegram ha impedito ai bot ordinari di inviare i suoi nuovi widget HTML, quattro giorni dopo blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il lancio. Dalle 15:50 UTC circa di venerdì 13 novembre, ogni tentativo di un bot normale di mandare un widget Telegram fallisce con l’errore INPUT_MEDIA_WIDGET_NOT_ALLOWED, secondo la segnalazione di uno sviluppatore sul tracker pubblico GitHub delle Bot API. Tre ore più tardi l’account del manutentore delle Bot API ha confermato: «i bot generici non possono usare i widget nemmeno nelle chat private».
Nessun motivo è stato dato. Lo stop è arrivato lo stesso giorno in cui Pavel Durov, fondatore di Telegram, rispondeva alle accuse di una società di sicurezza e di un ricercatore indipendente, secondo cui un widget poteva eseguire codice su un telefono appena il messaggio compariva sullo schermo, senza alcun tocco. Durov ha scritto che il problema «non esiste» e, nello stesso post, che è stato risolto del tutto lato server.
Le testate crypto hanno letto la restrizione come una risposta a quella disputa. Il collegamento è una loro deduzione: non lo stabiliscono né la risposta del manutentore né alcuna dichiarazione di Telegram. Non è stato mostrato alcun furto di fondi o di dati.
Chi usa le crypto ha un interesse nella risposta, perché i widget sono arrivati con collegamenti ai wallet TON. Un widget può chiedere la scheda del wallet TON dell’utente, dati firmati da quel wallet, oppure segnalare una transazione inviata da esso.
Widget Telegram: cosa ha aggiunto la Bot API 10.4 il 9 novembre
I widget sono arrivati con la Bot API 10.4, datata 9 novembre 2026 nel changelog delle Bot API di Telegram. La versione ha introdotto una classe Widget e i metodi sendWidget, sendSharedWidget, answerWidgetQuery ed editMessageWidgetData, più un oggetto WidgetQuery che riporta al bot ciò che l’utente fa dentro il widget. Durov l’ha promossa il giorno dopo, alle 12:59 UTC, sul suo canale: «Any Telegram message can now become an app» (ogni messaggio Telegram può ora diventare un’app).
La guida ai widget di Telegram descrive il formato. Un widget è un unico documento HTML con CSS e JavaScript scritti al suo interno, limitato a 32 KB, ovvero 4 KB una volta compresso. L’app di Telegram lo esegue sul dispositivo, dentro una sandbox che secondo Telegram non ha alcun accesso alla rete. Il widget non può cambiare da solo il proprio stato: può inviare al bot richieste fino a 64 byte, e il bot risponde e lo aggiorna.
Due limiti c’erano fin dal primo giorno. In produzione i widget potevano essere inviati solo nelle chat private con il bot, e il loro contenuto è protetto, quindi un widget non si può inoltrare. La guida aggiunge che la funzione viene distribuita per gradi.
I collegamenti con i wallet TON
La parte che interessa chi usa le crypto si trova nello stesso changelog. Una richiesta del widget può includere, accanto ai dati destinati al bot, la scheda del wallet TON dell’utente, un dato che l’utente ha firmato con un wallet TON, oppure una notifica che l’utente ha inviato una transazione da un wallet TON. La Bot API 10.4 ha aggiunto le classi TonWalletTransfer e TonWalletCard e un nuovo tipo di entità del messaggio, ton_address.
La guida ai widget va un passo oltre. Un widget può richiamare una funzione sendTransaction che chiede all’utente di inviare una transazione TON nel formato TON Connect, fino a 255 messaggi insieme. L’utente la conferma o la rifiuta in una finestra del wallet, e il widget ne conosce soltanto l’esito.
Un widget può dunque fare da piccola schermata di pagamento o di accesso dentro una chat. TON vive già dentro Telegram: l’11 novembre Durov ha scritto che oltre 1 milione di wallet Gram in self-custody era stato attivato nell’app in 48 ore. La nostra pagina su Gram, già Toncoin (TON) tratta la rete in sé.
L’accusa di attacco senza tocco e ciò che è stato mostrato
L’11 novembre la società V12, che sviluppa agenti di intelligenza artificiale per scovare vulnerabilità, ha pubblicato un video in cui un messaggio con widget mostra un conto alla rovescia e poi un telefono Android apre l’app Calcolatrice, secondo una cronologia pubblicata su DEV Community. La didascalia, come la riporta DEV Community, diceva «Any telegram message can now become RCE», una variazione sulla frase di lancio di Durov; RCE sta per esecuzione di codice da remoto. Il video non mostrava alcun dato sottratto. V12 non ha pubblicato dettagli tecnici.
Lo stesso giorno è comparsa su GitHub una seconda registrazione, distinta. Un ricercatore con lo pseudonimo davtur19 ha pubblicato un archivio chiamato tg-widget-rce che descrive come vengono disegnati i widget: l’HTML è impaginato con la libreria litehtml e il JavaScript gira in QuickJS-ng quando la chat è aperta. L’archivio sostiene che il widget viene eseguito durante l’impaginazione del messaggio e che «no tap is required», cioè non serve alcun tocco.
La voce principale è un bug del parser, che l’autore valuta 9,6 e 8,8 sulla scala di gravità CVSS. Sono punteggi attribuiti dall’autore stesso. L’archivio elenca le vecchie versioni di Telegram interessate: per Android le build 72889, 72929, 73029 e 73039, poi iOS 13.2, Telegram Desktop 7.4.0 e macOS 13.1, insieme a bug minori, e riferisce prove proprie su un telefono Android Sony e su due iPhone. Indica come correzione il commit ca3594d nel fork di QuickJS di Telegram; GitHub data quel commit alle 13:16 UTC del 10 novembre, il giorno prima del video di V12.
L’archivio si definisce una registrazione «n-day», cioè la descrizione di falle già corrette, e dice che tutto ciò che contiene è risolto nelle versioni attuali. Aggiunge che le scoperte non ancora corrette sono conservate in un archivio privato e che esiste una segnalazione per Telegram fuori dal repository. CryptoSlate, che l’ha letto, osserva che il codice raggiungeva l’app vera e propria solo su alcune vecchie build Android, mentre su altre restava dentro un processo isolato del widget.
Nessuno all’esterno ha confermato i bug e non esiste un numero CVE. L’archivio non prova nemmeno che il video della Calcolatrice di V12 usasse lo stesso bug. DEV Community, che ha collegato il commit di correzione alla dimostrazione, scrive che la corrispondenza poggia soltanto su descrizioni coincidenti.
Durov: «Nessuno poteva essere hackerato solo ricevendo un messaggio»
Telegram ha risposto per primo con una dichiarazione che DEV Community cita senza dire dove sia stata pubblicata: il problema in Telegram per Android sarebbe stato corretto un giorno e la correzione distribuita a tutti gli utenti il giorno dopo. CryptoBriefing ha riferito che la correzione ha raggiunto tutti gli utenti l’11 novembre e che Telegram non aveva rilevato né sfruttamenti confermati né furti di dati.
Durov è andato oltre alle 16:02 UTC del 13 novembre con un post sul suo canale Telegram sul presunto «RCE in new TG Android/Windows widgets», che domenica mattina aveva superato le 913.000 visualizzazioni. «Nessuno poteva essere hackerato solo ricevendo un messaggio», ha scritto. Ha detto che l’utente doveva prima avviare attivamente un servizio di terze parti, senza precisare che cosa significhi in pratica, e che anche questo percorso è del tutto corretto lato server. Ha chiuso con una sfida a chi non è d’accordo: hackerare il suo account.
Le due metà del post tirano in direzioni diverse. Una falla che non esiste non richiede una correzione. Letta nell’insieme, la posizione di Durov sembra essere che il pericolo fosse minore di quanto sostenuto, perché l’utente doveva agire per primo, e che comunque sia chiuso. L’archivio del ricercatore dice l’opposto sul primo punto, e CryptoSlate fa notare che avviare un servizio e toccare un widget già arrivato sono due passaggi distinti. Nessuna delle due parti ha pubblicato una prova che chiuda la questione.
I bot perdono i widget pochi minuti prima del post di Durov
Lo sviluppatore che ha aperto la segnalazione 947, l’utente Ivantseng123, ha scritto alle 16:36 UTC del 13 novembre che il bot aveva inviato circa 120 widget tra il 10 novembre e le 10:00 UTC circa del 13 novembre. Dalle 15:50 UTC circa ogni chiamata sendWidget verso una chat privata è fallita, una dozzina di minuti prima del post di Durov. Il codice di errore non compare nella documentazione di Telegram, che elenca solo gli errori per widget troppo grandi o non validi.
Alle 18:55 UTC l’account levlam, che mantiene le Bot API, ha risposto che i bot generici non possono al momento usare i widget, nemmeno nelle chat private. La risposta non indica né un motivo né una data di ritorno. Un commentatore successivo, baltic-tea, ha scritto alle 21:47 UTC che Telegram aveva disattivato anche la consegna e la visualizzazione dei widget sui propri server; Telegram non l’ha confermato.
CryptoSlate e The Defiant, che hanno riferito della restrizione nelle prime ore del 15 novembre, precisano entrambi che riguarda solo i widget HTML. I normali messaggi dei bot funzionano, e The Defiant, citando un contributore anonimo delle Bot API, descrive la misura come più circoscritta di un blocco delle mini app. La formula «bot generici» lascia aperta la possibilità che alcuni bot possano ancora inviare widget. L’archivio del ricercatore, scritto prima dello stop, già diceva che un bot o un account non in whitelist riceve lo stesso errore.
| Data (2026) | Evento | Fonte |
|---|---|---|
| 9 novembre | La Bot API 10.4 introduce i widget con i collegamenti ai wallet TON | Changelog delle Bot API di Telegram |
| 10 novembre, 12:59 UTC | Durov presenta i widget: «Any Telegram message can now become an app» | Canale Telegram di Durov |
| 10 novembre, 13:16 UTC | Il commit ca3594d arriva nel fork di QuickJS di Telegram, poi indicato dall’archivio come correzione | GitHub, TelegramMessenger/quickjs |
| 11 novembre | V12 pubblica un video di un widget che apre la Calcolatrice su Android | DEV Community |
| 11 novembre, 13:28 UTC | L’archivio tg-widget-rce viene creato su GitHub | GitHub |
| 13 novembre, ~15:50 UTC | sendWidget inizia a fallire per i bot ordinari | Segnalazione GitHub 947 |
| 13 novembre, 16:02 UTC | Durov dice che il problema «non esiste» ed è del tutto corretto | Canale Telegram di Durov |
| 13 novembre, 18:55 UTC | Il manutentore conferma che i bot generici non possono usare i widget | Segnalazione GitHub 947 |
Cosa significa per wallet TON, mini app e bot di trading
Telegram ospita buona parte degli strumenti crypto che le persone comuni toccano ogni giorno: wallet TON integrati nell’app, mini app che vendono token o fanno giocare, canali di segnali e bot di trading che custodiscono chiavi o chiedono di collegare un wallet. Un bug che permette a un messaggio di eseguire codice nell’app di chat riguarderebbe tutti, perché wallet e chat condividono lo stesso dispositivo e spesso la stessa app.
Resta però un’ipotesi. Nessuno ha mostrato che i collegamenti ai wallet TON possano essere sfruttati, né che un widget possa arrivare alle chiavi di un wallet. Le accuse dell’archivio riguardano i motori HTML e JavaScript del client, non le funzioni dei wallet, e la richiesta di transazione di un widget passa comunque da una finestra del wallet che l’utente deve approvare. Il rischio che chi usa le crypto già conosce, un bot o un link che induce a firmare un trasferimento, non richiede alcun bug.
All’inizio del mese uno schema simile si è visto con gli iPhone: Bitquery aveva ricostruito USDT sottratti da wallet TRON, e il legame con un exploit iOS senza clic poggiava su una sola vittima. Le accuse di attacchi senza clic si diffondono in fretta, e le prove arrivano spesso dopo, o non arrivano.
Cosa possono fare ora utenti e sviluppatori di bot
Durov dice che il problema è risolto sui server di Telegram, e l’archivio sostiene che le build attuali contengono le correzioni. I passi pratici costano poco:
- Aggiorna Telegram su ogni dispositivo, Android, iOS, desktop e macOS, perché l’archivio elenca vecchie build su tutti e quattro.
- Non avviare bot o servizi che non conosci: secondo lo stesso Durov, l’avvio di un servizio di terze parti era il passaggio necessario all’attacco.
- Non firmare mai una richiesta del wallet che non hai avviato tu, e leggi che cosa autorizza una firma prima di approvarla.
- Tratta ogni bot o widget che chiede una firma del wallet TON come una transazione, perché potrebbe esserlo.
Per le autorizzazioni date in passato ad app su altre blockchain, la nostra routine in sei passaggi per revocare le approvazioni dei token vale altrettanto dopo uno spavento come questo.
Gli sviluppatori di bot che avevano spostato funzioni sui widget hanno bisogno per ora di un’alternativa: tastiere inline, mini app o semplici messaggi. Il manutentore non ha detto quando, né se, l’accesso tornerà.
Cosa osservare nei prossimi giorni
Il prossimo segnale arriverà da Telegram stessa. Potrebbe ripristinare i widget per tutti i bot, e ciò suggerirebbe che la misura fosse una pausa e non una politica. Potrebbe pubblicare un’analisi a posteriori, oppure potrebbe essere assegnato un CVE, che chiarirebbe quali fossero i bug e quali build li contenessero. V12 potrebbe anche rendere nota la propria tecnica, e si vedrebbe così se l’utente dovesse fare qualcosa prima che il codice girasse.
Per chi detiene TON, l’altra data in calendario non c’entra con i widget: il blocco di 1,08 miliardi di TON delle prime fasi termina il 21 febbraio 2027.