Как мы потеряли 3 миллиона из-за уязвимости в Telegram
Наверняка вы слышали, что в телеграме надюпали звезд, а команда Telegram на прошлой неделе большую их часть откатили (но не все), а заодно подарки и премиум подписки. Расскажу подробно, что случилось и как это работало.
Как дюпали
Дюпали звезды не с помощью чарджбэка, как многие думают и даже пишут, а с помощью бага.
В API для ботов Telegram есть метод refundStarPayment, с помощью которого владельцы ботов могут делать пользователям возвраты за покупки внутри бота. По вопиющей оплошности разработчиков Telegram оказалось, что метод работает и вне бота, а потому звезды можно дюпать (размножать) по очень простой схеме:
- Подарить подарок самому себе на другой аккаунт.
- Продать подарок.
- Сделать возврат подарка с помощью API. При этом получатель подарка, который уже его продал, не терял звезды.
- PROFIT! Повторить неограниченное количество раз.
Важно, что это именно дюп, причиной которого является ошибка разработчика, а не какой-то внешний схематоз с откатами платежей или чем-то подобным.
Как откатывали
Коротко — на отъебись.
Звезды — это полноценная валюта внутри экосистемы телеграма: их передают, дарят, продают и покупают на вторичном рынке, оплачивают ими покупки, разыгрывают.
Но когда уязвимость обнаружили, администрация телеграма со словами «и так сойдет» просто взяла и откатила все (на самом деле не все, но значительную часть) звезды, подарки и подписки. И похер этой самой администрации, что эти звезды уже по 10 раз сменили владельцев и находились в руках людей, которые сами ничего не дюпали.
Представьте себе, что в ММО случился дюп, кто-то наштамповал валюты и вывалил ее на рынок. Дюпаная валюта быстро распространится среди игроков, ведь они используют ее для торговли. То есть в короткие сроки валюта окажется на руках людей, которые к дюпу не имеют никакого отношения. На моей памяти, даже на самых обрыганских фришках Lineage 2 в таких случаях валюту не откатывали. А как, блин, ее откатить, если человек продал свою Арку за 700 миллионов дюпаной адены? Все сделки одним щелчком не аннулируешь. А в случае с телегой и подавно, ведь сделки вполне могут осуществляться наполовину вне телеграма.
Что, если человек честно выиграл звезды в розыгрыше или конкурсе? Что, если на перемене выменял их на свой аккаунт в Бравл Старсе? А ничо, пошел нахер ¯\_(ツ)_/¯
Команда телеграма обкакалась дважды: технический провал она решила закрепить идиотским административным решением. И это немного грустно. Телеграм был классным, но появилось ощущение, что свет его свечи будет коротким, хоть и ярким. Искренне считаю, что братья Дуровы могут делать крутые продукты. Но кажется, что они подрастеряли интерес к своему детищу и подзабили на него, а команда эффективных менеджеров вместо них сразу потянула проект на дно. Возможно, это те же челы, что делали редизайн на DTF.
А что FunPay?
Значительную часть надюпаных звезд продали через нас. И кто-то скажет: а нефиг, мол, на каких-то сомнительных сайтах покупать непонятного происхождения звезды по явно заниженной цене. Но!
- Звезды можно продавать и передавать. В этом, можно сказать, «смысл механики».
- На них не указано, дюпаные они или нет.
- Даже рыночная цена — это не залог честного происхождения звезд. Ничто не мешает человеку, надюпавшему звезды, продавать их по реальной цене.
- Покупатель вообще может быть не в курсе, чо и сколько стоит. Мы проанализировали все проблемные заказы, подавляющее их большинство на очень маленькие суммы: 30 звезд или около того. Скорее всего, их покупали дети на сэкономленные с завтрака деньги.
В результате мы пришли к следующему:
- Заказы c Telegram Stars, в которых из-за дюпа пострадали покупатели, должны быть возвращены. Это — зона ответственности продавцов.
- В случаях, когда продавец уже вывел деньги с баланса, мы всё равно возвращаем их пользователям за свой счет, если претензия по заказу была подана до 04.04.2025 14:00. С продавцами уже будем разбираться сами.
- Претензии, поданные после 14:00 04.04.2025, мы также рассмотрим, но отдельно. Это ограничения по срокам претензий связаны с действиями некоторых покупателей. Они подали претензии несмотря на то, что не потеряли звёзды и не пострадали от Telegram. Мы не хотим создавать почву для того, чтобы таких случаев стало больше. Рассматривать их мы продолжим, но в индивидуальном порядке.
Уже вернули 3 миллиона рублей, наверняка будет больше. Тем, кто покупал звезды не у нас, соболезную. Искренне считаю решение телеграма мудацким. Не потому, что мы денег потеряли, а потому что пострадали в основном невиновные, а виновные чиллят с надюпанными бабками :)
Как видите, FunPay — не беспроблемный сайт, но мы потихоньку работаем над тем, чтобы гарантии безопасности были железными. Уже сейчас у нас есть безусловная гарантия на покупку игр (ключей, гифтов и так далее) — даже если продавец чарджбэкнет покупку, мы возвращаем деньги за свой счет. Насколько я знаю, подобных гарантий нет ни на одном другом маркетплейсе. Со временем мы планируем распространять подобную гарантию и на другие разделы.