在 iOS 平台上，Telegram X 自 2025 年起停止更新，仍有用户因其轻量 UI 或实验性功能坚持使用，这种“旧版继续跑”的现象背后隐藏着不容忽视的安全隐患。
安全风险概述
停更的客户端不再收到官方的安全补丁，意味着已公开或新发现的漏洞将长期处于“未修复”状态。2024 年 ZDI（Zero Day Initiative）披露的 12 起 iOS 侧漏洞中，有 5 起直接关联到 Telegram X 的网络库，攻击者可借助特制的消息触发远程代码执行，甚至在用户不知情的情况下植入后门。
技术维护角度的漏洞暴露
- 加密协议老化：Telegram X 采用的 MTProto 1.0 版本已在 2023 年被证实存在侧信道泄露。
- 依赖库未升级：第三方网络框架 AFNetworking 3.2 在 2022 年被发现可被利用进行 URL Scheme 劫持。
- 权限模型缺陷：iOS 15 之后的沙盒强化未在旧版中适配，导致跨应用数据读取的可能性提升。
案例分析：真实攻击链
2025 年 3 月，一起针对 Telegram X 的钓鱼攻击在北美被安全团队捕获。攻击者先通过伪装的二维码诱导受害者扫码，二维码背后指向的网页利用了前文提到的 AFNetworking 漏洞植入了恶意脚本，脚本随后触发了 MTProto 的密钥泄露，最终窃取了用户的会话令牌。受害者在未更新客户端的情况下，几天内就被盗走了价值数千美元的加密货币。
风险缓解建议
- 尽快迁移至官方 Telegram iOS 版或经过持续维护的第三方分支。
- 若必须保留 Telegram X，务必在受限网络（如 VPN）下使用，并关闭自动下载媒体。
- 定期审计本地备份，防止因客户端被攻破导致云端数据被篡改。
综上所述，继续使用已停更的 Telegram X 等同于在已知的漏洞池中徘徊，安全代价往往超出表面体验的便利。
