El hacker de GTA 6, CyberLeek, pide una cantidad de seis cifras a cambio del acceso a su canal privado de anuncios

CyberLeek, el hacker responsable de la reciente avalancha de filtraciones sobre el juego GTA 6, ha encontrado una nueva oportunidad de monetización y, en esta ocasión, va más allá de la simple venta de una moneda meme. Su página web «oficial» (cuya dirección no se incluye aquí por razones obvias) ofrece ahora a los posibles clientes espacios publicitarios, marcas de agua con el logotipo de la marca y material de juego personalizado, incluido contenido para adultos. Sin embargo, la cuota de acceso no es barata. Para abrirse camino, las partes interesadas deben pagar 400 XMR (unos 169 000 dólares en el momento de redactar este artículo). El pago garantiza que CyberLeek iniciará una conversación privada a través de Session en un plazo de 24 horas. 

Cuando un visitante hace clic en el botón «Contacto» de la página web de CyberLeek, la página afirma que se crea una nueva cuenta de Session y una contraseña de recuperación. A continuación, muestra una cantidad única en Monero, con 12 dígitos después de la coma que actúan como identificador. Se indica a los compradores que envíen la cantidad exacta desde un monedero personal, ya que las plataformas de intercambio suelen redondear la transacción o deducir una comisión. CyberLeek ha elegido Monero porque oculta los importes de las transacciones a los observadores públicos de la cadena de bloques. De este modo, el monedero del destinatario puede identificar y descifrar de forma privada los pagos que le están destinados. El uso de una cantidad fraccionaria única como número de factura privado es una forma ingeniosa de conciliar los pagos, lo que permite al remitente y al destinatario cotejar la transacción sin dejar un rastro forense significativo. Dado que Take-Two está haciendo todo lo posible para contrarrestar a CyberLeeks, es solo cuestión de tiempo que el hacker se vea obligado a abandonar la vía anterior y a idear algo más laberíntico. 

Al parecer, CyberLeek puede utilizar esos 12 dígitos para reconstruir la identidad de la sesión del comprador sin almacenar ningún registro en un servidor. Ahí es donde el esquema no supera la prueba de credibilidad. Doce dígitos decimales representan alrededor de un billón de valores posibles, o aproximadamente 40 bits de información. Una cuenta de sesión normal se deriva de una semilla aleatoria de 128 bits. Si el valor de 12 dígitos por sí solo genera la cuenta de forma determinista, la identidad resultante no tiene más de unos 40 bits de entropía efectiva. Si, por el contrario, la cuenta utiliza una semilla aleatoria de máxima solidez, no puede recuperarse a partir de tan solo 12 dígitos decimales. Es posible que la implementación utilice soluciones alternativas, pero, en el momento de redactar este artículo, no hay pruebas de que funcione siquiera, y la única forma de averiguarlo resulta bastante… costosa. 

Aunque el sistema es sin duda creativo, presenta una serie de deficiencias. Para empezar, pagar por asociar una marca con imágenes de un videojuego presuntamente robadas supondría una evidente responsabilidad legal y reputacional —algo que no supone un problema para las operaciones ya de por sí dudosas, sino solo para las legítimas—. Cualquiera que disponga de 169 000 dólares para gastar también cuenta con numerosas opciones publicitarias legítimas (o no tan legítimas). Recuperar esa cantidad, más lo que CyberLeek cobre realmente por un anuncio, supondría un reto aparte. Los aficionados a GTA 6 están aquí en busca de imágenes del juego, no de publicidad no solicitada por parte de terceros sin escrúpulos.