Minecraft-Spieler wachten heute mit einer stillen Bombe auf, die von der einen Person stammt, die sich besser mit Java-Capes auskennt als jeder andere. James090500, Ersteller der MinecraftCapes-Mod und der dazugehörigen Galerie, erklärte gerade, dass der gehypte Halloween-Cape nicht echt ist. Er ist das Ergebnis eines Exploits auf einem gecrackten polnischen Server, der beliebige Minecraft-Profile mit gültigen Mojang-Signaturen signieren kann.
Der ursprüngliche Leak tauchte vor vier Tagen auf: zwei klare Screenshots eines kürbisbezogenen Capes, der genau wie etwas aussah, das Mojang zur Saison veröffentlichen würde. Viele Content-Ersteller und Server begannen, Events dazu zu planen. Dann verfolgte der MinecraftCapes-Account die Spur und stieß auf eine Mauer, die es nicht geben dürfte.
Die ganze Halloween-Cape-Sache ist IRRE. Wir glauben nicht länger, dass es sich um einen echten Cape handelt, sondern dass ein gecrackter polnischer Minecraft-Server einen Exploit gefunden hat, mit dem sich Minecraft-Profile mit einer gültigen Signatur signieren lassen. Das sollte NICHT möglich sein!
Der Exploit scheint vorerst auf diesen einen gecrackten Server beschränkt zu sein, doch die Folgen reichen bis zu jedem Java-Launcher, jeder Cape-Mod und jedem Server, der signierten Profildaten vertraut. Wenn sich Signaturen fälschen lassen, ist die Grenze zwischen offiziellen Cosmetics und von Spielern erstellten Fälschungen gerade verschwunden. Mojang hat sich noch nicht geäußert; die üblichen Kanäle für Cape-Veröffentlichungen schweigen weiterhin.
James090500 dokumentiert seit 2015 offizielle, von Creatorn erstellte und geleakte Capes. Wenn er sagt, dass die Signaturkette nicht stimmt, und auf einen öffentlichen Endpunkt verweist, der das beweist, hört die Java-Community zu. Der ursprüngliche Leak-Beitrag hat bereits mehr als 100.000 Aufrufe. Die heutige Kehrtwende verbreitet sich genauso schnell.
Bis auf Weiteres ist der Rat einfach: Behandelt alle neuen Halloween-Cape-Downloads oder -Events als unbestätigt. Die Textur funktioniert, die Signatur wird validiert, aber die Quelle ist ein Server, der keinen Zugriff auf Mojangs private Schlüssel haben dürfte. Wie genau sie das geschafft haben, ist die Frage, die sich heute Abend alle stellen.
Sonstiges
