Конечно, возможно, ведь это гораздо проще.

Например, у всех пользователей Телеграм под капотом есть и светится несменяемый id. Соответственно, если достаточно помониторить крупные группы, иметь доступ к популярным ботам и т.п., то без всяких привилегий можно отслеживать пользователей - что пишут в пабликах, где состоят, смену ников и аватарок и т.п. Всё это доступно без хаков.

С другой стороны, этот же id позволяет очень легко работать с ботами для Телеги. Не надо париться с регистрацией-авторизацией, просто делай всё по id. Это удобная прямолинейная реализация. Чтобы это сделать хитрее, надо приложить гораздо больше усилий, причём не только Телеге, но и тем, кто под неё пишет.

Это не чушь, так как прямо сейчас в Телеге есть куча ботов, явно не связанных непосредственно с ней, но позволяющих пробивать пользователей. Логов сервера там, конечно, не будет, но в каких группах засветился, с кем трепался, когда - такое может быть.

Так как система изначально не имеет высокой защиты, это больше публичный сервис. Паша его пиарит как что-то секурное и в какой-то степени там можно отгородиться, но мало кто питает иллюзии.

Копы про этих ботов тоже в курсе и охотно используют, чего и сами не скрывают.