26 октября в Telegram появилась информация о том, что неизвестный злоумышленник захватил короткий адрес @Bot с использованием подмены данных. Однако технический анализ приложенного к заявлению скриншота не подтверждает факт кражи юзернейма. В сообщении мессенджера адрес @Bot помечен как text_mention, что указывает на ссылку на аккаунт по числовому идентификатору, а не на настоящий юзернейм. Telegram различает эти типы упоминаний на уровне API: обычный @username имеет тип mention и формируется автоматически сервером, тогда как text_mention связывает фрагмент текста с пользователем или ботом через ID. На опубликованном изображении внутри text_mention присутствует объект user с идентификатором и признаком is_bot: true, но отсутствует поле username. Это позволяет сделать кликабельной любую подпись и связать её с нужным аккаунтом, даже если настоящий юзернейм отличается или отсутствует вовсе. Таким образом, скриншот демонстрирует подмену отображаемого упоминания, но не доказывает регистрацию, кражу или передачу самого адреса @Bot.
Настоящий юзернейм Telegram участвует в поиске, упоминаниях и ссылках вида t.me/username. Для подтверждения захвата @Bot потребовались бы наличие профиля с присвоенным именем, работающая ссылка t.me/bot на подконтрольный атакующему аккаунт или техническое описание серверной ошибки. На момент публикации независимых доказательств подобного захвата найти не удалось. Обычные имена ботов, создаваемые через BotFather, состоят из 5-32 символов и заканчиваются на bot, хотя Telegram допускает исключения для старых служебных и коллекционных юзернеймов, поэтому необычная длина сама по себе не свидетельствует об эксплуатации уязвимости. Ключевая деталь заключается именно в типе сущности text_mention.
Авторы исходного сообщения утверждают, что предполагаемый взломщик много лет находил уязвимости Telegram и собирал пользовательские данные практически с момента появления мессенджера. Однако в публикации отсутствуют имя исследователя, ссылки на предыдущие отчёты, описание новой уязвимости или воспроизводимый пример атаки. Независимых подтверждений заявленной истории найти не удалось. Фраза «итоги вайбкодинга» в первоначальном сообщении остаётся лишь предположением: вайбкодинг подразумевает разработку с сильной опорой на генеративный ИИ и слабым контролем за кодом, но опубликованные материалы не связывают предполагаемую ошибку Telegram с ИИ-разработкой. Без исходного кода, технического отчёта или комментария от Telegram установить причину невозможно. Пока громкая формулировка про очередной взлом опережает доступные доказательства. Опубликованный скриншот демонстрирует возможность представить кликабельное упоминание бота под текстом @Bot, и подобная неоднозначность интерфейса может использоваться для имитации чужого имени и социальной инженерии, однако подтверждений реального захвата уникального юзернейма @Bot пока нет.
