O hacker do GTA 6, CyberLeek, exige uma quantia de seis dígitos para conceder acesso ao seu canal privado de anúncios

CyberLeek, o hacker responsável pela onda recente de vazamentos de jogabilidade do GTA 6, encontrou uma nova oportunidade de monetização e, desta vez, ela envolve mais do que apenas comercializar uma moeda meme. Seu site “oficial” (que não está linkado aqui por motivos óbvios) agora oferece espaços publicitários, marcas d’água com logotipos e vídeos personalizados de gameplay, incluindo conteúdo adulto, para clientes em potencial. A taxa de inscrição, porém, não é barata. Para dar o primeiro passo, os interessados devem pagar 400 XMR (cerca de US$ 169.000 no momento da redação deste artigo). O pagamento garante que o CyberLeek iniciará uma conversa privada por meio do Session em até 24 horas. 

Quando um visitante clica no botão “Contato” no site da CyberLeek, a página afirma gerar uma nova conta no Session e uma senha de recuperação. Em seguida, exibe um valor exclusivo em Monero, com 12 dígitos após a vírgula, que funciona como um identificador. Os compradores são orientados a enviar o valor exato a partir de uma carteira pessoal, pois as corretoras tendem a arredondar a transação ou deduzir uma taxa. A CyberLeeks escolheu o Monero porque ele oculta os valores das transações dos observadores públicos da blockchain. Assim, a carteira do destinatário pode identificar e descriptografar de forma privada os pagamentos a ela destinados. Utilizar um valor fracionário exclusivo como número de fatura privado é uma maneira inteligente de conciliar pagamentos, permitindo que o remetente e o destinatário correspondam a transação sem deixar muitos rastros forenses. Com a Take-Two agindo com toda a força contra o CyberLeeks, é apenas uma questão de tempo até que o hacker seja forçado a abandonar a estratégia acima e criar algo mais labiríntico. 

Aparentemente, o CyberLeek pode usar esses 12 dígitos para reconstruir a identidade de sessão do comprador sem armazenar um registro em um servidor. É nesse ponto que o esquema não passa no teste de credibilidade. Doze dígitos decimais representam cerca de um trilhão de valores possíveis, ou aproximadamente 40 bits de informação. Uma conta de sessão normal é derivada de uma semente aleatória de 128 bits. Se o valor de 12 dígitos, por si só, gerar a conta de forma determinística, a identidade resultante não terá mais do que cerca de 40 bits de entropia efetiva. Se, ao contrário, a conta utilizar uma semente aleatória de força total, ela não poderá ser recuperada a partir de apenas 12 dígitos decimais. A implementação pode recorrer a soluções alternativas, mas, até o momento da redação deste artigo, não há prova de que isso sequer funcione, e a única maneira de descobrir é bastante... onerosa. 

Embora o sistema seja, sem dúvida, criativo, ele apresenta suas deficiências. Para começar, pagar para associar uma marca a imagens de jogos supostamente roubadas criaria um risco jurídico e de reputação óbvio — o que não é um problema para operações já duvidosas, mas apenas para as legítimas. Qualquer pessoa com US$ 169.000 para gastar também dispõe de diversas opções de publicidade legítimas (ou menos legítimas). Recuperar esse valor, somado ao que a CyberLeek realmente cobra por um anúncio, seria um desafio à parte. Os fãs de GTA 6 estão aqui em busca de imagens de jogabilidade, não de publicidade não solicitada de terceiros sem escrúpulos.