GTA 6-hacker CyberLeek vraagt een bedrag van zes cijfers voor toegang tot zijn privé-advertentiekanaal

CyberLeek, de hacker achter de recente golf van gelekte gameplaybeelden van GTA 6, heeft een nieuwe manier gevonden om geld te verdienen, en deze keer gaat het om meer dan alleen het verkopen van een mememunt. Zijn ‘officiële’ website (om voor de hand liggende redenen hier niet gelinkt) biedt potentiële klanten nu advertentieruimte, watermerken met merknamen en op maat gemaakte gameplay-beelden aan, waaronder materiaal voor volwassenen. De toegangsprijs is echter niet goedkoop. Om een voet tussen de deur te krijgen, moeten geïnteresseerden 400 XMR betalen (ongeveer 169.000 dollar op het moment van schrijven). Deze betaling garandeert dat CyberLeek binnen 24 uur een privégesprek via Session zal starten. 

Wanneer een bezoeker op de knop ‘Contact’ op de website van CyberLeek klikt, wordt er volgens de pagina een nieuw Session-account en een herstelwachtwoord aangemaakt. Vervolgens wordt een uniek Monero-bedrag weergegeven, waarbij de 12 cijfers achter de komma als identificatiecode fungeren. Kopers wordt gevraagd het exacte bedrag vanuit een persoonlijke portemonnee over te maken, omdat beurzen de transactie vaak afronden of kosten inhouden. CyberLeeks heeft voor Monero gekozen omdat deze munteenheid transactiebedragen verbergt voor openbare blockchain-waarnemers. Zo kan de portemonnee van de ontvanger betalingen die voor hem bestemd zijn, privé identificeren en ontsleutelen. Het gebruik van een uniek fractioneel bedrag als privé-factuurnummer is een slimme manier om betalingen af te stemmen, waardoor de afzender en ontvanger de transactie kunnen koppelen zonder veel forensische sporen achter te laten. Nu Take-Two CyberLeeks met alle middelen bestrijdt, is het slechts een kwestie van tijd voordat de hacker gedwongen wordt de bovengenoemde werkwijze te verlaten en een nog ingewikkelder systeem te ontwikkelen. 

CyberLeek kan blijkbaar die 12 cijfers gebruiken om de Session-identiteit van de koper te reconstrueren zonder een record op een server op te slaan. Dat is waar het plan de toets der kritiek niet doorstaat. Twaalf decimale cijfers vertegenwoordigen ongeveer één biljoen mogelijke waarden, of ruwweg 40 bits aan informatie. Een normaal sessieaccount wordt afgeleid van een willekeurige 128-bits seed. Indien de 12-cijferige waarde op zichzelf deterministisch het account genereert, heeft de resulterende identiteit niet meer dan ongeveer 40 bits aan effectieve entropie. Indien het account daarentegen gebruikmaakt van een willekeurige seed van volledige sterkte, kan het niet worden hersteld op basis van slechts 12 decimale cijfers. De implementatie maakt wellicht gebruik van tijdelijke oplossingen, maar op het moment van schrijven is er geen bewijs dat dit überhaupt werkt, en de enige manier om daar achter te komen is nogal… kostbaar. 

Hoewel het systeem ongetwijfeld creatief is, kent het ook een aantal tekortkomingen. Om te beginnen zou het betalen om een merk te koppelen aan vermeend gestolen gamebeelden een voor de hand liggend juridisch en reputatiegevaar met zich meebrengen – geen probleem voor reeds dubieuze ondernemingen, maar wel voor legitieme bedrijven. Iedereen die 169.000 dollar te besteden heeft, beschikt ook over tal van legitieme (of minder legitieme) advertentiemogelijkheden. Het terugverdienen van dat bedrag, plus wat CyberLeek daadwerkelijk voor een advertentie in rekening brengt, zou een aparte uitdaging zijn. Fans van GTA 6 zijn hier voor gameplaybeelden, niet voor ongevraagde reclame van gewetenloze derden.