Telegram kriptó lopás – SlowMist malware felfedezése és védekezés

A SlowMist blockchain biztonsági cég 2026-ban dokumentált egy olyan macOS-es kártevőt, amely kifejezetten Telegram-munkameneteken keresztül próbál hozzáférni kriptó walletekhez. Nem brutális erővel törnek be — hanem te magad „engedélyezed” a hozzáférést, csak éppen nem tudod róla. Ez a cikk nem a technikai részletekről szól elsősorban, hanem arról, hogy te mit tehetsz.

Mit csinált pontosan ez a malware?

A SlowMist által azonosított kártevő macOS-en futott, és a Telegram session fájlokat vette célba. A Telegram ugyanis helyben tárolja a bejelentkezési adatokat — ha ezeket valaki megszerzi, saját telefonod, saját fiókoddá válik a szemükben. Nem kell jelszó, nem kell SMS-kód, mert a session már „hitelesített”.

A támadási lánc általában így nézett ki:

1. Az áldozat letölt egy látszólag ártatlan alkalmazást — legtöbbször kalóz szoftvert, „ingyenes” VPN-t, vagy egy állítólagos kriptó-eszközt.
2. Az alkalmazás a háttérben hozzáfér a Telegram session adataihoz (~/Library/Group Containers/ könyvtár).
3. A session tokeneket kiszivárogtatta egy távoli szerverre.
4. A támadók ezután a te Telegram-fiókodon keresztül próbálkoztak — privát üzenetek átnézése, seed phrase-ek, wallethez kapcsolódó botok manipulálása.

A végcél egyértelmű: megtalálni azt a pár sort, ahol leírtad a seed phrase-t, vagy ahol valamilyen wallet bot tárolta az adataidat.

Miért veszélyes a Telegram a kriptós felhasználóknak?

Sokan használják a Telegramot kriptó-kereskedéshez, wallet botokhoz, DEX aggregátorokhoz, NFT projektekhez. Ez teszi különösen értékes célponttá. Ha valaki átveszi a Telegram-munkamenetedet, nem csak az üzeneteidet látja — hanem minden botot, csatornát, csoportot is, ahol esetleg érzékeny adatot osztottál meg.

A probléma egy másik dimenziója: sokan a seed phrase-t Telegram üzenetben „mentik el” maguknak. Saját mentett üzenetek, „Saved Messages” — nagyon kényelmes, és nagyon veszélyes. Ez a sérülékenység még kritikusabb, ha treasury management rendszerekhez vagy exchange integrációkhoz kapcsolt walleteket használsz — ahogyan azt a Triple-A feltörésénél is láttuk.

Hogyan ismered fel, hogy bajban vagy?

Sajnos a session hijacking sokszor tünetmentes — egészen addig, amíg el nem tűnik valami a walletből. Néhány figyelmeztető jel azért akad:

• Ismeretlen bejelentkezések a Telegram aktív munkamenetek listájában (Beállítások → Eszközök)
• Olyan üzenetek, amelyeket te nem küldtél
• Ismeretlen csoportokba való „belépés” a tudtad nélkül
• A macOS Activity Monitor gyanús processzeket mutat, amelyek hálózati forgalmat generálnak
• Ismeretlen alkalmazás kér hozzáférést a ~/Library könyvtárhoz

Ha ezek közül bármelyiket tapasztalod, ne várd meg a következő lépést.

Azonnali teendők, ha kompromittálódtál

Pánik helyett sorban:

1. Telegram: minden más munkamenet azonnali lezárása. Beállítások → Eszközök → „Minden más munkamenet lezárása”. Ez azonnal érvényteleníti az összes ellopott session tokent.
2. Jelszó módosítása és 2FA bekapcsolása, ha még nem tetted.
3. Walleteid áthelyezése. Ha bármi esélye van, hogy a seed phrase kiszivárgott, az ott lévő eszközöket azonnal mozgasd egy teljesen új, frissen generált wallet-be. Nem holnap — most.
4. A fertőzött alkalmazás eltávolítása és macOS teljes átfésülése egy megbízható eszközzel (Malwarebytes Mac verzió például ingyenes alapcsomaggal is detektál sokat).

Megelőzés: a Telegram-fiókod megerősítése

Kétlépéses hitelesítés bekapcsolása

Ez az első és legfontosabb lépés. Beállítások → Adatvédelem és biztonság → Kétlépéses hitelesítés. Állíts be egy erős jelszót, amit máshol nem használsz. Ez nem pótolja a session lopás elleni védelmet teljesen, de jelentősen megnehezíti a támadó dolgát.

Aktív munkamenetek rendszeres ellenőrzése

Havonta egyszer nézd meg, hogy milyen eszközökről van aktív Telegram-bejelentkezésed. Beállítások → Eszközök. Ha ismeretlen eszközt, ismeretlen IP-t vagy gyanús helyszínt látsz — azonnal lezárás.

Telegram letöltése csak hivatalos forrásból

Hangzik triviálisnak, de sokan kalóz vagy „módosított” Telegram verziókat telepítenek. Kizárólag a Mac App Store vagy a telegram.org az elfogadható forrás. Semmi harmadik fél, semmi „jobb verzió”.

macOS biztonsági beállítások, amelyeket érdemes átgondolni

App engedélyek átvizsgálása

Rendszer-beállítások → Adatvédelem és biztonság. Nézd meg, melyik alkalmazásnak van hozzáférése a lemezhez (Full Disk Access), a mikrofónhoz, a kamerához, a névjegyekhez. Ha ott van valami, amit nem ismersz fel vagy nem te engedélyeztél — ki vele.

Gatekeeper és a „nem azonosított fejlesztők” csapdája

A macOS alapból blokkolja az App Store-on kívüli, aláíratlan alkalmazásokat. Sokan ezt kikapcsolják, mert valamelyik „hasznos kis programhoz” kellett. Ez óriási kockázat. Ha mégis szükséges egy ilyen alkalmazás, utána azonnal kapcsold vissza a Gatekeeper védelmet.

A Library könyvtár figyelése

A ~/Library/Group Containers/ mappa tartalmazza többek között a Telegram helyi adatait. Normál esetben ehhez csak maga a Telegram fér hozzá. Ha valami mást is látsz ott turkálni az Activity Monitorban vagy egy engedélykérő ablakban — piros zászló.

Wallet-kezelési gyakorlat: mit ne tárolj Telegramban

Ide tartozik minden, amit tapasztalatból vagy lu