Короче, выходит, что Telegram вроде как фильтрует опасные стикеры на сервере, но из-за сложностей с форматами и парсерами на клиенте всё равно могут быть дыры. Вот и получается, что даже не открывая ничего специально, можно словить бага. Очень мутная тема, особенно с этим ZDI-CAN-30207, нифига подробностей нет пока, только ждать июля. Пока безопаснее автозагрузку медиа выключить и обновляться почаще.