CyberLeek, le pirate informatique de GTA 6, demande une somme à six chiffres pour l'accès à sa chaîne publicitaire privée

CyberLeek, le hacker à l’origine de la récente vague de fuites concernant le gameplay de GTA 6, a trouvé une nouvelle opportunité de monétisation, et cette fois-ci, cela va au-delà de la simple vente d’une « meme coin ». Son site web « officiel » (dont le lien n’est pas fourni ici pour des raisons évidentes) propose désormais à ses clients potentiels des emplacements publicitaires, des filigranes de marque et des séquences de gameplay sur mesure, y compris du contenu pour adultes. Le prix d’entrée n’est toutefois pas donné. Pour mettre un pied dans la porte, les personnes intéressées doivent s’acquitter de 400 XMR (environ 169 000 dollars au moment de la rédaction de cet article). Ce paiement garantit que CyberLeek engagera une conversation privée via Session dans les 24 heures. 

Lorsqu’un visiteur clique sur le bouton « Contact » du site web de CyberLeek, la page prétend créer un nouveau compte Session et un mot de passe de récupération. Elle affiche ensuite un montant unique en Monero, dont les 12 chiffres après la virgule servent d’identifiant. Il est demandé aux acheteurs d’envoyer le montant exact depuis un portefeuille personnel, car les plateformes d’échange ont tendance à arrondir le montant de la transaction ou à prélever des frais. CyberLeek a choisi Monero car cette cryptomonnaie masque les montants des transactions aux observateurs de la blockchain publique. Ainsi, le portefeuille du destinataire peut identifier et déchiffrer en toute confidentialité les paiements qui lui sont destinés. L’utilisation d’un montant fractionnaire unique comme numéro de facture privé constitue un moyen astucieux de rapprocher les paiements, permettant à l’expéditeur et au destinataire de faire correspondre la transaction sans laisser de traces significatives pouvant faire l’objet d’une analyse judiciaire. Take-Two ayant décidé de mettre le paquet contre CyberLeeks, ce n’est qu’une question de temps avant que le pirate ne soit contraint d’abandonner cette méthode et d’élaborer un système encore plus complexe. 

CyberLeek peut apparemment utiliser ces 12 chiffres pour reconstituer l’identité de session de l’acheteur sans stocker d’enregistrement sur un serveur. C’est là que le stratagème ne tient pas la route. Douze chiffres décimaux représentent environ un billion de valeurs possibles, soit environ 40 bits d’information. Un compte Session standard est dérivé d’une graine aléatoire de 128 bits. Si la valeur à 12 chiffres génère à elle seule le compte de manière déterministe, l’identité qui en résulte ne présente pas plus d’environ 40 bits d’entropie effective. Si, au contraire, le compte utilise une graine aléatoire de pleine puissance, il ne peut pas être reconstitué à partir de seulement 12 chiffres décimaux. La mise en œuvre peut recourir à des solutions de contournement, mais à l’heure où nous écrivons ces lignes, rien ne prouve que cela fonctionne, et la seule façon de le vérifier est plutôt… coûteuse. 

Bien que le système soit sans aucun doute créatif, il présente son lot de lacunes. Pour commencer, payer pour associer une marque à des séquences de jeu prétendument volées entraînerait un risque évident sur le plan juridique et en termes de réputation — ce qui ne pose pas de problème pour les opérations déjà douteuses, mais uniquement pour les entreprises légitimes. Quiconque dispose de 169 000 dollars à dépenser a également le choix entre de nombreuses options publicitaires légitimes (ou moins légitimes). Récupérer ce montant, auquel s’ajoute le prix réel facturé par CyberLeek pour une publicité, constituerait un défi à part entière. Les fans de GTA 6 sont ici pour des séquences de gameplay, pas pour de la publicité non sollicitée provenant de tiers peu scrupuleux.