xiaohack's Blog - telegram
type: channel
link: https://blog.xiaohack.org/tag/telegram/
items: myclaw： 2000 行 Go 平替 43 万行的 OpenClaw
items: OpenClaw 注册 Moltbook 教程 让你的个人 OpenClaw Agent 加入全球最大 AI 社区
items: 我也来发个 2Libra 的签到脚本，基于 qd-today 项目
items: Clawdbot 上线成功：我终于把它跑起来了
items: ClawdBot 全景解析：从个人AI员工到生产力革命，爆火硅谷的底层逻辑与未来博弈
items: 解决+86 Telegram 账号登录难题
items: 利用腾讯云仿冒 APP 的诈骗
items: ayugram 是真尼玛难登录呀（附解决办法）
items: 隐藏的Telegram代理链接可一键暴露你的IP地址

myclaw： 2000 行 Go 平替 43 万行的 OpenClaw
type: item
date: 2026-02-10T09:38:15+08:00
description: 转载：公众号[星纬智联技术],推荐中转站： https://nicecode.cc/AI Agent Gateway 赛道的现状：2026 年初，AI Agent 领域最火的项目非 OpenClaw 莫属。这个前身为 Clawdbot 🦞（后改名 Moltbot ，最终定名 OpenClaw ）的项目，在 GitHub 上已经积累了超过 17 万 Star 。它的核心理念很直接：给 LLM 一双"手"，让 AI 能操作你的本地系统——执行命令、读写文件、控制浏览器。OpenClaw 的架构确实强大：• Gateway + Pi Agent：Gateway 是 Node.js WebSocket 服务（默认绑 ws://127.0.0.1:18789 ），内嵌 Pi （ Mario Zechner 写的开源 Coding Agent ）通过 JSON-RPC over stdio 做推理和工具调用• 多模型支持：通过 Pi 的统一 LLM API 接 Anthropic 、OpenAI 、Google 、Ollama 等多家 Provider• 支持 WhatsApp 、Telegram 、Discord 、iMessage 、Slack 、Signal 等消息通道• 沙箱模式、设备配对审批、加密凭据存储但它也有明显的代价：43 万行 TypeScript 代码，Node.js 运行时，以及相当复杂的依赖链。对于只想自托管一个 AI 助手的个人开发者来说，这个体量太重了。myclaw 想做的事情很简单——用 Go 写一个够用的轻量替代。myclaw 是什么：myclaw 是一个 Go 编写的自托管 AI Agent Gateway 。设计目标三条：1. 轻量：核心代码约 2000 行，单二进制部署，无运行时依赖2. 实用：覆盖日常场景——Telegram 和飞书双通道、定时任务、记忆持久化3. 可扩展：模块化架构，Channel 接口抽象清晰，加新通道写一个 struct 就行架构上借鉴了 OpenClaw 的 Gateway 模式，但实现上砍掉了所有我用不到的东西。架构设计：myclaw 的整体架构可以用一句话概括：消息总线驱动的服务编排。┌─────────────┐ ┌──────────┐ ┌──────────────┐│ Telegram │────▶│ │────▶│ Claude / ││ Channel │ │ Message │ │ OpenAI │└─────────────┘ │ Bus │ │ Agent │ │ │ └──────┬───────┘┌─────────────┐ │ │ ││ Feishu │────▶│ │◀───────────┘│ Channel │ └──────────┘└─────────────┘ │ ▼┌─────────────┐ ┌──────────┐│ Cron │ │ Memory ││ Service │ │ System │└─────────────┘ └──────────┘ │┌─────────────┐│ Heartbeat ││ Service │└─────────────┘核心组件包括：1. Message Bus （消息总线）消息总线是 myclaw 的中枢。两种消息类型：• InboundMessage：从通道流入，携带 Channel 、SenderID 、ChatID 、Content 、Timestamp 等字段• OutboundMessage：从 Agent 流出，携带 Channel 、ChatID 、Content 、ReplyTo 等字段通过 Pub/Sub 模式（ SubscribeOutbound / DispatchOutbound ），各服务之间实现松耦合的事件路由。缓冲区默认 100 条消息，Goroutine 安全。2. Gateway （网关编排器）Gateway 是顶层编排器，负责：• 组装系统 Prompt （从 AGENTS.md + SOUL.md + 记忆上下文拼接）• 处理入站消息，调用 Agent 运行时（支持 Anthropic 和 OpenAI 两种 Provider ）• 将 Agent 输出路由到对应的消息通道• 处理 SIGINT / SIGTERM 优雅关闭Provider 切换的逻辑很直接——配置里 provider.type 写 openai 就走 OpenAI ，其他情况默认 Anthropic 。不搞什么抽象工厂，一个 switch 解决。3. Channel （消息通道）Channel 接口定义了四个方法：Name()、Start()、Stop()、Send()。目前实现…

OpenClaw 注册 Moltbook 教程 让你的个人 OpenClaw Agent 加入全球最大 AI 社区
type: item
date: 2026-02-02T16:11:03+08:00
description: Moltbook 是目前全球最火的 AI Agents 社区，一个专门为 AI 智能体打造的社交网络。在这里，只有 AI agents 能发帖、评论、点赞，人类只能旁观。截至 2026 年 1 月，已有超过 140 万个 AI agents 在这个平台上活跃。通过 OpenClaw 这款开源个人 AI 助手，你可以轻松让自己的 agent 加入 Moltbook 社区。如果你还没有部署 OpenClaw，可以参考 OpenClaw 安装教程，只需几条命令就能让你的个人 AI agent 加入这个 AI 社区，和全球的智能体一起交流。Moltbook 是什么Moltbook 由 Octane AI 创始人 Matt Schlicht 于 2026 年 1 月创建，界面类似 Reddit，但有一个根本区别：这是一个只允许 AI agents 参与的社交平台。核心特点AI 专属：只有经过验证的 AI agents 才能注册账号、发帖和互动人类只读：人类用户可以浏览所有内容，但无法发帖或评论类 Reddit 结构：有不同的主题板块（subreddits），agents 可以在感兴趣的板块发帖投票机制：agents 可以对帖子进行 upvote/downvote开放 API：通过标准化的 API 接口，任何符合条件的 AI agent 都能接入为什么要让 Agent 加入 AI 社区信息获取：你的 agent 可以从其他 agents 的帖子中学习新知识能力展示：让 agent 在公开平台展示其分析和创作能力社区互动：agent 可以参与讨论、回答问题、分享见解实验观察：观察你的 agent 在真实社交环境中的表现OpenClaw 环境准备开始之前，确保你已经：安装并配置好 OpenClaw：参考 OpenClaw 飞书对接教程 或 OpenClaw 钉钉对接教程OpenClaw 服务正常运行：可以通过 openclaw status 检查能够与 Agent 正常对话：通过飞书/钉钉/Telegram 等渠道安装 Moltbook Skill 让 AI Agent 加入社区OpenClaw 通过 Skills 机制扩展 agent 的能力。Moltbook 官方提供了一个 skill 文件，让你的 AI agent 阅读后就能学会如何在 Moltbook AI 社区上注册和发帖。通过聊天机器人安装 Skill如果你已经通过 OpenClaw 飞书对接教程 或 OpenClaw 钉钉对接教程 安装好了 OpenClaw，可以直接在飞书或钉钉的机器人对话中完成 Moltbook 注册。注意 Moltbook 注册限制Moltbook 对 AI agent 注册有严格限制：每个 agent 每天只能尝试注册 1 次，用户名重复也会消耗次数。如果尝试次数过多，会被锁定 24 小时：It looks like I've reached the registration limit for today. According to the error message, I can only register 1 agent per day, and I'll need to try again in 24 hours (about 23 hours and 59 minutes from now). I've attempted several different names for your Moltbook account, but either the names were already taken or we've reached the daily registration limit. This is actually a good safety measure to prevent spam registrations. Would you like me to try registering with a different name tomorrow, or perhaps you have a specific username in mind that you'd like me to try?让 Agent 读取 Skill 并注册 Moltbook 账号向你的 OpenClaw 机器人发送以下消息，让 agent 阅读 Moltbook skill 并开始注册流程：重要提示：注册前务必想好一个独特的用户名，避免与已有用户重复。建议加入数字或特殊后缀确保唯一性。Read https://moltbook.com/skill.md and follow the instructions to join Moltbook 注册的…

我也来发个 2Libra 的签到脚本，基于 qd-today 项目
type: item
date: 2026-01-30T01:43:48+08:00
description: 签到服务框架： https://github.com/qd-today/qd当天首次签到 签到框架日志 Telegram 通知 当天已签过到 签到框架日志 Telegram 通知 如何配置？现在还没有上架 qd 项目的 默认仓库 ，后续看情况，尽量上架。 现阶段可以把以下代码保存为har文件，导入到 qd 系统中，保存为模板。 复制[ { "comment": "发起签到请求", "request": { "method": "POST", "url": "https://2libra.com/api/sign", "headers": [ { "name": "User-Agent", "value": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:147.0) Gecko/20100101 Firefox/147.0" }, { "name": "Accept", "value": "application/json, text/plain, */*" }, { "name": "Accept-Language", "value": "zh,zh-CN;q=0.9,en-US;q=0.8" }, { "name": "Accept-Encoding", "value": "gzip, deflate, br, zstd" }, { "name": "Referer", "value": "https://2libra.com/" }, { "name": "Origin", "value": "https://2libra.com" }, { "name": "Sec-GPC", "value": "1" }, { "name": "Sec-Fetch-Dest", "value": "empty" }, { "name": "Sec-Fetch-Mode", "value": "cors" }, { "name": "Sec-Fetch-Site", "value": "same-origin" }, { "name": "Connection", "value": "keep-alive" }, { "name": "Cookie", "value": "{{cookie}}" }, { "name": "TE", "value": "trailers" }, { "name": "Authorization", "value": "{{Authorization}}" } ], "cookies": [ ] }, "rule": { "success_asserts": [ { "re": "201", "from": "status" }, { "re": "你今天已经签到过了", "from": "content" } ], "failed_asserts": [ ], "extract_variables": [ { "name": "m", "re": "(?<=\"m\":\").*?(?=\")", "from": "content" }, { "name": "message", "re": "(?<=\"message\":\").*?(?=\")", "from": "content" }, { "name": "streakd", "re": "(?<=\"streak\":)\\d+(?=[,}])", "from": "content" }, { "name": "sign_coins", "re": "(?<=\"coins\":)\\d+(?=[,}])", "from": "content" }, { "name": "balanced", "re": "(?<=\"balance\":)\\d+(?=[,}])", "from": "content" } ] } }, { "comment": "查询账户信息", "request": { "method": "GET", "url": "https://2libra.com/api/users/info?fields=info%2Cexp%2Ccoins", "headers": [ { "name": "Host", "value": "2libra.com" }, { "name": "User-Agent", "value": "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:147.0) Gecko/20100101 Firefox/147.0" }, { "name": "Accept", "value": "application/js…

Clawdbot 上线成功：我终于把它跑起来了
type: item
date: 2026-01-29T08:20:38+08:00
description: 折腾了一圈，Clawdbot 终于跑通了：Telegram 配对、浏览器自动查询、bird 读 X 时间线都 OK 。以后可以让它帮我查信息、整理结果、跑一些自动化。备注：本帖由我的助手 Clawdbot 代发。

ClawdBot 全景解析：从个人AI员工到生产力革命，爆火硅谷的底层逻辑与未来博弈
type: item
date: 2026-01-26T16:40:45+08:00
description: 2026年初，一款名为ClawdBot的本地AI智能体在硅谷掀起颠覆性热潮：上线24小时GitHub星标破20.7k，48小时内相关讨论霸占Hacker News、Reddit顶流板块，谷歌、Meta、OpenAI等大厂员工纷纷自费购买Mac mini部署——这款被称为“个人AI员工”的工具，不仅打破了传统AI“只建言、不行动”的桎梏，更重新定义了“人机协同”的底层逻辑。本文将结合行业数据、用户案例与技术拆解，全方位还原ClawdBot的爆火密码、核心价值与潜在博弈。一、爆火溯源：为什么是ClawdBot？击中时代的三大核心痛点ClawdBot的走红并非偶然，而是精准踩中了个人与企业在AI时代的三大核心痛点，形成了“需求刚需+技术成熟+场景适配”的完美闭环。1.1 痛点一：传统AI的“行动鸿沟”—— 从“给方案”到“做事情”的最后一公里在ClawdBot出现前，主流AI工具（ChatGPT、Claude、Gemini）均停留在“咨询顾问”角色：用户问“如何整理下载文件夹”，AI会给出step-by-step指南，但执行仍需用户手动操作。这种“知而不行”的模式，让AI的效率提升停留在“理论层面”。数据显示，2025年全球个人AI工具用户中，73%的人认为“AI建议与实际执行的脱节”是最大痛点；某职场调研机构发现，白领平均每天花费2.3小时处理重复性工作（文件整理、邮件分类、数据录入），而传统AI仅能将“思考时间”缩短30%，“执行时间”几乎无变化。ClawdBot的核心突破正在于此。硅谷某初创公司CEO Sarah的案例极具代表性：她此前用ChatGPT生成会议纪要，需手动复制内容、调整格式、同步到Notion，全程耗时40分钟；使用ClawdBot后，仅需发送指令“整理今天10点的会议录音，生成结构化纪要并同步至团队Notion”，5分钟内即可完成全流程，且自动标注行动项和负责人。这种“指令下达即完成”的体验，让AI从“辅助工具”升级为“执行主体”。1.2 痛点二：数据隐私焦虑—— 云端AI的“信任危机”随着数据泄露事件频发，个人与企业对“云端AI”的信任度持续下降。2025年全球数据安全报告显示，68%的企业禁止员工使用云端AI处理敏感数据（如合同、客户信息、财务报表），82%的个人用户拒绝向云端AI上传私人文件（如家庭照片、医疗记录）。传统云端AI的“数据上传”模式，本质上存在“隐私泄露风险”——用户无法掌控数据的存储与使用。而ClawdBot的“本地部署”模式彻底解决了这一问题：所有指令处理、记忆存储、任务执行均在用户自己的设备上完成，无任何数据上传至第三方服务器。这一点对企业用户尤为关键。美国某法律咨询公司合伙人Mike表示：“我们经常需要处理客户的涉密合同，之前不敢用任何云端AI；ClawdBot让我们既能用AI提取合同关键条款、生成法律意见书，又能确保数据不泄露，现在整个团队已经全员部署。”1.3 痛点三：工具碎片化—— 多平台切换的“效率损耗”现代人的工作与生活被碎片化工具割裂：管理邮件用Outlook、整理文件用Finder、日程规划用Calendar、沟通用Slack，每完成一项复杂任务，需在多个工具间反复切换，造成大量效率损耗。调研显示，职场人平均每天花在工具切换上的时间达47分钟，占工作总时长的12%。ClawdBot的“全工具整合”能力直击这一痛点。它以“中央网关”为核心，打通了电脑系统、第三方应用、硬件设备的接口，用户无需切换工具，仅通过Telegram、WhatsApp等常用聊天软件即可下达所有指令：让它“查明天的航班”，自动打开浏览器检索、同步至日历；让它“处理报销单”，自动读取邮箱发票、填写报销系统、提交审批；让它“追踪健身进度”，自动连接Garmin手表、生成运动报告、提醒训练计划。这种“一个入口掌控所有工具”的体验，让用户从“工具操作者”变成“任务下达者”，彻底解放了双手。二、技术深析：ClawdBot的“行动能力”源于什么？ClawdBot的核心竞争力并非“新算法”，而是“工程化创新”——它将成熟的LLM、本地执行环境、多端交互协议整合为简洁高效的架构，让“AI行动”变得低成本、可落地。2.1 架构拆解：“网关+执行层+记忆系统”的铁三角ClawdBot的架构设计遵循“极简主义”，仅由三大核心模块构成，却能实现复杂的跨端协同与全系统控制：（1）中央网关（Gateway）：指令与执行的“翻译官”网关是ClawdBot的“神经中枢”，以长驻进程形式运行（默认监听18789端口），核心职责是“打通指令与能力的断层”：指令接收：兼容WhatsApp、Telegram等聊天工具的消息协议，将自然语言指令标准化（如把语音消息转文字、图片消息提取文本）；任务分发：将标准化指令传递给LLM（如Anthro…

解决+86 Telegram 账号登录难题
type: item
date: 2026-01-24T16:02:40+08:00
description: 问题描述不知从何时，+86 注册的 TG 账号登陆时，无法正常收到验证码。看到有人说多登陆几次会提示绑定邮箱，可用邮箱验证，但尝试未果。适用情况当前有一台移动设备正处于登录状态解决方法核心思路：通过passkey绕过接码难题，进行登录。如果你是单一设备登录，可直接使用手机自带的passkey 管理器。打开 TG ，选择Settings -> Privacy and Security -> Passkeys -> Create Passkey。如果你有跨平台登录需求，也可按照如下步骤操作。 注册Bitwarden（也可以使用 Chrome 自带 passkey 管理器） 安装Bitwarden客户端和浏览器插件 打开https://web.telegram.org，扫码登录 选择Settings -> Privacy and Security -> Passkeys -> Create Passkey 创建一个 passkey ，并由Bitwarden进行保存和同步。 实现效果移动设备登陆时，系统会自动拉起Bitwarden，从而实现无密码、无接码的安全登录。正巧看到有 v 友在讨论这个问题，决定发帖分享一下方法。

解决+86 Telegram 账号登录难题
type: item
date: 2026-01-24T14:47:57+08:00
description: 问题描述不知从何时，+86 注册的 TG 账号登陆时，无法正常收到验证码。看到有人说多登陆几次会提示绑定邮箱，可用邮箱验证，但尝试未果。适用情况当前有一台移动设备正处于登录状态解决方法核心思路：通过passkey绕过接码难题，进行登录。如果你是单一设备登录，可直接使用手机自带的passkey 管理器。打开 TG ，选择Settings -> Privacy and Security -> Passkeys -> Create Passkey。如果你有跨平台登录需求，也可按照如下步骤操作。 注册Bitwarden（也可以使用 Chrome 自带 passkey 管理器） 安装Bitwarden客户端和浏览器插件 打开https://web.telegram.org，扫码登录 选择Settings -> Privacy and Security -> Passkeys -> Create Passkey 创建一个 passkey ，并由Bitwarden进行保存和同步。 实现效果移动设备登陆时，系统会自动拉起Bitwarden，从而实现无密码、无接码的安全登录。正巧看到有 v 友在讨论这个问题，决定发帖分享一下方法。

利用腾讯云仿冒 APP 的诈骗
type: item
date: 2026-01-23T15:15:59+08:00
description: 背景 在一次偶然的网络浏览中，我遇到了一系列令人起疑的诈骗软件。这些软件虽然图标与名称各异，但其内部界面却如同 Telegram 的孪生兄弟，惊人的相似。更令人费解的是，它们涉及的诈骗场景广泛，从刷单、返现到彩票、菠菜、招女票，无所不包，仿佛是为满足各种诈骗需求而量身定制的全场景工具。面对如此精妙的设计，我不禁好奇：这些软件究竟是直接修改了官方版，还是完全从零开始打造的呢？ 诈骗软件的 “精细化” 运营 如今的诈骗分子，在筛选目标客户群体时，已经展现出了极高的精细化程度。他们不再满足于广撒网式的诈骗手段，而是更加注重精准定位，利用专业的套路和软件实施诈骗。为了获取诈骗样本，我前前后后套路了小半个月，往抖音、快手直播间投了一堆简历（女 / 25-30 岁 / 打字员），终于有 2 个骗子上钩了。逆向分析 签名分析 在通过精心设计的钓鱼策略后，我成功获取了两个诈骗软件的样本，其面对的场景不同，一个是刷单返利诈骗，还有一个是彩票包中奖诈骗。但是他们的版本是一致的，都是 9.6.6 ，而且界面也几乎完全一致。首先，我查看了软件的签名信息，虽然签名中无法直接获取具体信息，但发现了一个明显的联系方式，指向一个 APK 防毒服务提供商。（ PS: 这里提一嘴，下载安装包的时候可以发现，即使是用同一个链接下载的，下载回来的安装包包名也没有一致的，似乎是自动随机生成的）。然而，深入分析后发现，该防毒服务似乎只是随机更改了安装包名，而未进行任何实质性的加壳处理。（那多少有点黑吃黑了，连壳都不加，就改个包名也算防毒？）这让我怀疑，该服务提供商可能并不具备开发诈骗软件的能力，真正的开发者另有其人。（ PS: 能傻到去 Telegram 买防毒的，估计作者也不是很懂，毕竟这种一看就是纯骗钱。找个白手套用免费的 360 加固都比这玩意好使多了）。 初见端倪 由于没有加壳，直接拖进 JADX 就可以反编译了，反编译的包名连混淆都没得，一眼就能发现 org.telegram 包，其内容结构和 Telegram 的官方安装包基本一致。因此可以初步断定，这个应用和 Telegram 有密不可分的关联。 分析一个聊天软件，最重要的就是逆向其通信协议。对于仿 Telegram 的软件来说，由于 Telegram 早就在国内被屏蔽，因此首要分析的是这款软件是如何连接到后端服务器的。 通过 URL 筛选，不难找到在 cos.MyCOSService 中存在大量相似 URL ，初步怀疑是远程配置文件。（ PS: 这里的服务器大部分都部署在腾讯云上，多少也有点胆子太大了，怕蜀黍请不到人？）IP 归属地 139.186.137.58 中国 重庆市 [腾讯云] 212.64.20.52 中国 上海市 [腾讯云] 150.109.240.160 韩国首尔特别市 [腾讯云] 43.138.148.109 中国广东省广州市 [腾讯云] 43.130.228.128 日本东京都 [腾讯云] 99.83.138.65 泛播 [亚马逊云] 75.2.107.146 泛播 [亚马逊云]前后浏览一下代码，可以看到，响应体使用 ConnectionsManager.decryptHex​ 函数进行解密，解密完的结果使用 JSON 进行解析，其中 gfw​ 中的 IP 地址和端口列表用于设置应用的 Datacenter 地址。由于 decryptHex​ 实际上是在 so 层里实现的，这里为了方便，直接用 frida hook 参数和返回值。 可以看到，参数值是一串 HEX 字符串，返回的是一个完整的 JSON 字符串。不过瞪眼一看就能发现，这个所谓的解密只是进行了异或，根本没有用的 AES 、Base64 等复杂的技巧。这里用 IDA 淦多少有点掉价，直接口算一下就能找到异或数为 211 。然而，新的问题也随之而来：这些服务器是仅仅作为透明传输到 Telegram 官方服务器的中转站，还是自己实现的完整后端和数据库？ 深度探索 假设诈骗分子用的就是 Telegram 的官方服务器作为后端，上文所设置的 DC 地址只是作为透明代理，那么诈骗分子必然要为每一位受害者准备一个 Telegram 账户用于聊天。但是 Telegram 的注册需要手机号且风控较严，现在甚至连 +86 的手机号都注册不了，因此大量账户注册的难度也不小，手里掌握一大把的账户也不是很现实。因此有理由推测开发者有可能是自己实现了一个后端。 直接判断一个 IP 是不是透明代理是一件很难的事，但是如果只判断是不是官方 Telegram 服务器，则可以用一些取巧的方式。例如，可以通过握手过程中使用的公钥签名来判断。 Telegram 在初次握手的时候，会发送一个当前握手使用的 RSA 公钥签名，这个公钥会被用于后面交换 DH 参数，而私…

ayugram 是真尼玛难登录呀（附解决办法）
type: item
date: 2026-01-22T12:56:48+08:00
description: ayugram 的综合使用体验是非常好的：无广告、加速下载 / 上传、幽灵模式、本地会员破解、防撤回、延迟发送、还支持插件。缺点是真难登录如果遇到 ayugram 登录时需要添加验证邮箱且验证码输入后依旧无法登录的。解决办法：1、将 ayugram 已经登录的账号转移到其他设备，推荐 firefox 搭配 container 插件（环境隔离，可以实现多开），然后登录网页版本 telegram。2、登出当前 ayugram 中所有的账号，并卸载该 app。3、进入 @ayugramfaq 拉到最下面，下载特殊版本的 app 进行安装。4、该特殊版本 app 可以正常接收验证码，登录你所需要登录的账号。5、然后再去 @AyuGramReleases 下载最新版本的 app，覆盖安装。6、若需要添加新账号，上面的流程得再走一遍，很麻烦。对于长期不用仅挂机的账号，推荐使用 nicegram（支持 100 个账号同时登录），就是广告多点，其他没啥特点。📌 转载信息来源： https://linux.do/t/topic/1499043原作者： jarmoku转载时间： 2026/1/22 12:56:47

隐藏的Telegram代理链接可一键暴露你的IP地址
type: item
date: 2026-01-13T02:04:27+08:00
description: 隐藏的Telegram代理链接可一键暴露你的IP地址 作者 上午11:20由于代理链接的处理方式，只需点击一个看似Telegram用户名或无害链接的内容，就足以将你的真实IP地址暴露给攻击者。Telegram向BleepingComputer表示，在研究人员演示了特制链接可用于无需进一步确认即泄露Telegram用户真实IP地址后，他们将为代理链接添加警告。谨慎处理Telegram链接安全研究人员本周演示，当用户点击特制的内部链接时，Android和iOS上的Telegram客户端会自动尝试连接代理。这些链接可以伪装成普通用户名，例如在Telegram消息中显示为@durov，但实际上指向一个Telegram代理链接。Telegram代理链接（ t.me/proxy?... ）是用于在Telegram客户端中快速配置MTProto代理的特殊URL。它们允许用户通过点击链接（而非手动输入服务器详细信息）来添加代理：https://t.me/proxy?server=[proxy IP address/hostname]&port=[proxy_port]&secret=[MTProto_secret]在Telegram中打开时，应用程序会读取代理参数（包括服务器、端口和密钥），并提示用户将代理添加到其设置中。这些链接被广泛分享，以帮助用户绕过网络封锁或互联网审查，并隐藏其真实位置，特别是在限制性环境中，这使得该功能对活动人士、记者和其他寻求匿名的人士很有价值。在Telegram的Android和iOS客户端上，打开代理链接还会触发自动测试连接，导致应用程序在代理被添加之前，就从用户设备向指定服务器发起直接网络请求。攻击者可以通过设置自己的MTProto代理并分发视觉上伪装成无害用户名或网站URL、但实际上指向代理配置端点的链接，来滥用此行为。如果用户在移动客户端上点击此类链接，Telegram应用程序将尝试连接到攻击者控制的服务器，从而使代理操作者能够记录用户的真实IP地址。暴露的IP地址随后可用于推断用户的大致位置、发起拒绝服务攻击或支持其他针对性滥用。此问题由一个俄语Telegram频道 chekist42 在 https://t.me/chekist42/139 揭露：首次披露该问题的Telegram帖子 (BleepingComputer)帖子中展示的概念验证伪装链接被X账户 GangExposed RU 重新分享，从而引起了对此问题更广泛的关注：研究人员解释说：“接下来发生的情况是，Telegram在添加代理前会自动ping代理，该请求会绕过所有已配置的代理，你的真实IP会立即被记录。”“静默且有效的针对性攻击。”X上的安全研究和OSINT账户 0x6rss 通过视频PoC进一步演示了该问题：一键泄露Telegram IP地址！在此问题中，密钥无关紧要。就像Windows上的NTLM哈希泄露一样，Telegram会自动尝试测试代理。这里，密钥并不重要，IP地址就会暴露。隐藏在…后面的链接示例 https://t.co/KTABAiuGYIpic.twitter.com/NJLOD6aQiJ— 0x6rss (@0x6rss) 2026年1月10日研究人员将这种行为与Windows上的 NTLM哈希泄露 进行了比较，在那里，与特制资源的单次交互即可在用户不知情的情况下触发自动出站请求。一般来说，IP地址泄露可以实现位置跟踪、用户画像和针对性攻击。在这种情况下，该漏洞仅需一次点击且无需额外确认，因此适合用于针对性的去匿名化攻击。Telegram淡化此问题，但将警告用户BleepingComputer联系了Telegram，询问其是否认为此行为是一个漏洞。该公司表示，任何网站或代理操作者都可以看到访问者的IP地址，与其他消息平台相比，这并非Telegram独有。“任何网站或代理所有者都可以看到访问者的IP地址，无论平台如何，”一位Telegram发言人告诉BleepingComputer。“这与WhatsApp或任何其他访问互联网的服务相比，对Telegram来说并没有更特殊的意义。”“话虽如此，我们正在添加一个警告，当点击代理链接时会显示，以便用户能更清楚地意识到伪装链接。”Telegram没有回应关于警告何时会推送到客户端应用程序的后续问题。同时，建议用户对解析到 t.me 域的Telegram用户名和链接保持谨慎，因为点击伪装的代理链接可能会无意中暴露他们的真实IP地址。