GTA 6-hackaren CyberLeek vill ha ett sexsiffrigt belopp för tillgång till sin privata annonskanal

CyberLeek, hackaren bakom den senaste tidens flod av läckta spelklipp från GTA 6, har hittat en ny möjlighet att tjäna pengar, och den här gången handlar det om mer än att bara sälja en mememynt. Deras ”officiella” webbplats (som av uppenbara skäl inte länkas här) erbjuder nu annonsplatser, vattenstämplar med varumärken och skräddarsydda spelklipp, inklusive vuxenmaterial, till potentiella kunder. Inträdesavgiften är dock inte billig. För att komma in på marknaden måste intresserade parter betala 400 XMR (cirka 169 000 dollar vid skrivande stund). Betalningen garanterar att CyberLeek inleder en privat konversation via Session inom 24 timmar. 

När en besökare klickar på knappen ”Kontakt” på CyberLeeks webbplats påstår sidan att den skapar ett nytt Session-konto och ett återställningslösenord. Därefter visas ett unikt Monero-belopp, där 12 siffror efter decimaltecknet fungerar som identifierare. Köparna uppmanas att skicka det exakta beloppet från en personlig plånbok eftersom börserna ofta avrundar transaktionen eller drar av en avgift. CyberLeeks har valt Monero eftersom det döljer transaktionsbeloppen för allmänna blockchain-observatörer. På så sätt kan mottagarens plånbok privat identifiera och dekryptera betalningar som är avsedda för den. Att använda ett unikt bråkbelopp som ett privat fakturanummer är ett smart sätt att avstämma betalningar, vilket gör det möjligt för avsändaren och mottagaren att matcha transaktionen utan att lämna några större spår. Nu när Take-Two satsar fullt ut på att sätta stopp för CyberLeeks är det bara en tidsfråga innan hackaren tvingas överge ovanstående metod och konstruera något mer labyrintiskt. 

CyberLeek kan tydligen använda dessa 12 siffror för att rekonstruera köparens Session-identitet utan att lagra någon post på en server. Det är där upplägget inte håller måttet. Tolv decimalsiffror motsvarar ungefär en biljon möjliga värden, eller ungefär 40 bitar information. Ett normalt sessionskonto härleds från ett slumpmässigt 128-bitars utgångsvärde. Om det 12-siffriga värdet på egen hand deterministiskt genererar kontot, har den resulterande identiteten inte mer än cirka 40 bitar effektiv entropi. Om kontot istället använder ett slumpmässigt startvärde med full styrka kan det inte återställas utifrån endast 12 decimalsiffror. Implementeringen kan använda kringgående lösningar, men i skrivande stund finns det inget bevis för att det ens fungerar, och det enda sättet att ta reda på det är ganska... dyrt. 

Även om systemet utan tvekan är kreativt har det sina brister. Till att börja med skulle det innebära en uppenbar juridisk och anseendemässig risk att betala för att koppla ett varumärke till påstått stulna spelklipp – inget problem för redan skumma verksamheter, men däremot för legitima sådana. Den som har 169 000 dollar att spendera har också gott om legitima (eller mindre legitima) annonseringsalternativ. Att få tillbaka det beloppet, plus vad CyberLeek faktiskt tar betalt för en annons, skulle vara en helt annan utmaning. GTA 6-fans är här för att se spelbilder, inte för att få oönskad reklam från skrupelfria tredje parter.