O que o token realmente é
Quando um bot é criado, o Telegram devolve uma sequência com um número, dois-pontos e uma longa cadeia aleatória. Todas as solicitações que seu software faz ao Telegram levam essa sequência, e o Telegram a usa para determinar se a solicitação realmente vem do seu bot.
Não há um segundo fator nem uma senha separada. O token é a autenticação completa, por isso a forma como você o trata importa mais do que qualquer outra configuração do bot.
O número antes dos dois-pontos é o próprio ID do bot e não é secreto. A cadeia que vem depois é.
O que alguém com seu token pode fazer
Tudo o que seu bot pode fazer, e essa é a parte que as pessoas subestimam. Se o bot for administrador do seu canal, uma pessoa desconhecida com o token poderá publicar em seu nome, excluir mensagens e remover membros. Ela também poderá ler tudo o que o bot receber, o que, em um grupo, inclui as mensagens que ele foi adicionado para ver.
Nada disso parece um ataque para quem vê de fora. Parece apenas que seu bot está se comportando de forma estranha, por isso tokens vazados muitas vezes só são percebidos tarde demais, depois da terceira publicação estranha, e não da primeira.
O prejuízo também não se limita ao que acontece em seguida. Um bot que publicou um link fraudulento para seus membros desperdiçou a confiança que você levou um ano para construir, e nenhuma explicação posterior consegue recuperá-la por completo.
Onde os tokens vazam
Quase nunca pelo Telegram. Eles vazam em capturas de tela publicadas para pedir ajuda, em códigos enviados para um repositório público, em mensagens para um desenvolvedor que depois deixa o projeto e em conversas com o suporte, quando alguém os pede de forma convincente.
O padrão é sempre o mesmo: o token foi tratado como uma configuração, e não como um segredo. Ele fica em um arquivo de configuração ao lado do esquema de cores, então acaba sendo copiado com o mesmo cuidado dedicado ao esquema de cores.
Os repositórios públicos são a fonte mais comum desses vazamentos e também a mais fácil de evitar. Tudo o que se parece com um token deve ficar em uma variável de ambiente e nunca em um arquivo que você envia para o repositório.
O que fazer se um token vazar
Revogue-o. No BotFather, gerar um novo token para o bot invalida o antigo imediatamente, e tudo o que ainda estiver usando a sequência antiga deixa de funcionar. Faça isso primeiro e descubra depois como ele vazou, nessa ordem.
Em seguida, verifique o que aconteceu enquanto ele esteve exposto: publicações recentes no seu canal, remoções recentes da lista de membros e qualquer conteúdo enviado pelo bot que não tenha sido escrito por você. A revogação fecha a porta, mas não desfaz o que passou por ela.
Como uma plataforma deve armazená-lo
Se você fornecer seu token a um serviço, ele deverá ser criptografado em repouso, em vez de ficar armazenado como texto simples em um banco de dados, e nunca deverá aparecer em uma linha de log. No BotLaunch, os tokens de bots e outros dados confidenciais são criptografados em repouso com AES-256, e você pode revogar e substituir um token a qualquer momento pelo BotFather sem perder sua configuração.
Essa é uma pergunta válida para qualquer plataforma antes de você colar qualquer informação, e uma plataforma que não consegue respondê-la com clareza já revelou algo sobre si.
Quando você não precisa de um token
A maioria das pessoas nunca precisa lidar com um token. No BotLaunch, você adiciona o bot compartilhado ao seu canal como administrador e ativa os módulos pela web, portanto não há nenhum bot para criar nem token para armazenar. Conectar seu próprio bot personalizado, situação em que o token é necessário, é uma opção dos planos pagos para quem deseja usar um bot com o próprio nome.