На теневых площадках снова шум вокруг мессенджера MAX. Пользователь под ником CamelliaBtw утверждает, что получил полный контроль над инфраструктурой сервиса и вынес пользовательские данные. Подают это как символический удар ровно через год после запуска, с явным намеком на прежний маркетинг про Telegram убийцу и новую эру приватности.

Это заявление , а не подтвержденный инцидент от компании или независимых исследователей. Но детали у него слишком конкретные, чтобы просто отмахнуться. CamelliaBtw говорит о массиве примерно в 15.4 миллиона записей, где якобы есть полные имена, никнеймы и подтвержденные номера телефонов. Отдельно заявляет о валидных токенах сессий, которые могут дать захват аккаунтов без классического ввода кода и, по его словам, с обходом 2FA. Там же упоминаются Bcrypt-хэши паролей.

Дальше в заявлении фигурируют логи коммуникаций с временными метками и идентификаторами отправителя и получателя, внутренние SSH-ключи, документация по API, конфигурации AWS S3 и незашифрованные медиа-ассеты. Самое тяжелое обвинение это доступ к исходникам бэкенда и к проприетарному модулю шифрования, где якобы есть захардкоженные бэкдоры. Вход описывают как 0-day RCE в движке обработки медиа с внедрением нагрузки через метадату стикерпаков. По таймлайну автор пишет, что копал систему 12 месяцев, а уязвимость существовала еще с беты начала 2025 и не была исправлена.

Есть и давление на публику: CamelliaBtw обещает разослать первые 5 ГБ сырого SQL на 10 публичных торрент-трекеров в течение 24 часов, плюс намекает, что в базе есть верифицированные аккаунты известных политиков и корпоративных руководителей.

Это уже второе громкое заявление о компрометации MAX. В октябре 2025 Titusko25357 говорил о 46.2 миллиона записей, но компания тогда назвала данные фейком и не связанными с реальной инфраструктурой. Сейчас заявления другие и технически плотнее, но пока нет публичного ответа MAX, это остается неподтвержденной историей. Игнорировать ее при этом сложно, потому что комбинация телефонов, логов и токенов это идеальная почва для фишинга и угонов, если хотя бы часть сказанного окажется правдой.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS