Если у бота были все полномочия т.е ✓
Челики заходили через бота добавляли свой аккаунт в администраторы, после нужно было только Каким то образом войти в аккаунт владельца, фишинг или любой стилер, " т.е без входа на его аккаунт с нового устройства "
Допустим словил владелец вирусняк Заходишь на его пк открываешь тг передаешь права себе. И все удаляешь всех лишних админов.