L’hacker di GTA 6, CyberLeek, chiede una cifra a sei cifre per l’accesso al proprio canale pubblicitario privato

CyberLeek, l’hacker responsabile della recente ondata di fughe di notizie sul gameplay di GTA 6, ha individuato una nuova opportunità di monetizzazione e, questa volta, non si limita alla semplice vendita di una “meme coin”. Il suo sito web «ufficiale» (di cui non riportiamo il link per ovvie ragioni) offre ora ai potenziali clienti spazi pubblicitari, filigrane con marchio e filmati di gameplay realizzati su misura, compreso materiale per adulti. La quota di iscrizione, tuttavia, non è economica. Per mettere un piede nella porta, gli interessati devono versare 400 XMR (circa 169.000 dollari al momento della stesura di questo articolo). Il pagamento garantisce che CyberLeek avvierà una conversazione privata tramite Session entro 24 ore. 

Quando un visitatore clicca sul pulsante «Contatti» sul sito web di CyberLeek, la pagina dichiara di generare un nuovo account Session e una password di recupero. Successivamente visualizza un importo unico in Monero, con 12 cifre dopo la virgola che fungono da identificativo. Agli acquirenti viene indicato di inviare l’importo esatto dal proprio portafoglio personale, poiché le piattaforme di scambio tendono ad arrotondare la transazione o a detrarre una commissione. CyberLeek ha scelto Monero perché nasconde gli importi delle transazioni agli osservatori pubblici della blockchain. In questo modo, il portafoglio del destinatario può identificare e decifrare in modo riservato i pagamenti a lui destinati. L’utilizzo di un importo frazionario univoco come numero di fattura privato è un modo ingegnoso per riconciliare i pagamenti, consentendo al mittente e al destinatario di abbinare la transazione senza lasciare tracce significative a fini investigativi. Con Take-Two che sta dando il massimo contro CyberLeeks, è solo questione di tempo prima che l’hacker sia costretto ad abbandonare il percorso sopra descritto e a elaborarne uno più intricato. 

A quanto pare, CyberLeek è in grado di utilizzare quelle 12 cifre per ricostruire l’identità di sessione dell’acquirente senza memorizzare alcuna registrazione su un server. È proprio qui che lo schema non regge a un’analisi approfondita. Dodici cifre decimali rappresentano circa un trilione di valori possibili, ovvero all’incirca 40 bit di informazione. Un normale account Session deriva da un seme casuale di 128 bit. Se il valore a 12 cifre da solo genera in modo deterministico l’account, l’identità risultante non presenta più di circa 40 bit di entropia effettiva. Se invece l’account utilizza un seme casuale a piena forza, non può essere recuperato da sole 12 cifre decimali. L’implementazione potrebbe ricorrere a soluzioni alternative, ma al momento della stesura di questo articolo non vi è alcuna prova che funzioni, e l’unico modo per scoprirlo è piuttosto… costoso. 

Sebbene il sistema sia indubbiamente creativo, presenta una serie di carenze. Innanzitutto, pagare per associare un marchio a filmati di gioco presumibilmente rubati comporterebbe un’evidente responsabilità legale e reputazionale – un problema che non riguarda le operazioni già poco trasparenti, ma solo quelle legittime. Chiunque disponga di 169.000 dollari da spendere ha a disposizione anche numerose opzioni pubblicitarie legittime (o meno che legittime). Recuperare tale importo, oltre a quanto effettivamente addebitato da CyberLeek per un annuncio pubblicitario, rappresenterebbe una sfida a sé stante. I fan di GTA 6 sono qui per le immagini di gameplay, non per pubblicità indesiderata da parte di terzi senza scrupoli.