Схема довольно простая:
Ссылку на прокси маскируют под обычный юзернейм с помощью гиперссылки. В итоге при нажатии Telegram автоматически подключается к прокси по этой ссылке и передаёт реальный IP владельцу прокси – без каких-либо предупреждений.
Уязвимость существует ещё с 2023 года, но активно обсуждать её начали только сейчас.