El escáner de mods de DonutSMP funciona con un bug de Minecraft que Mojang aún no ha corregido

Qué ha pasado: DonutSMP, uno de los servidores públicos de Minecraft con más jugadores, detecta clientes de trampas como Meteor y mods como Freecam con un truco conocido como el exploit de traducción de carteles. Tu cliente se ve obligado a abrir un cartel invisible durante una fracción de segundo, y su respuesta revela qué mods tienes instalados. Los jugadores dicen que el mismo escáner ha baneado a gente por paquetes de recursos y mods de cliente inofensivos, y el agujero en el que se apoya sigue sin parchear en Minecraft vanilla.

A quién afecta

A cualquiera que juegue a Minecraft: Java Edition 1.20 o posterior en un servidor que use la técnica. Eso incluye DonutSMP y el número creciente de servidores con plugins imitadores como ModDetector, ModCheck y AntiMod. Los jugadores de Bedrock Edition no están afectados.

Los objetivos evidentes son los clientes de trampas. Pero la misma sonda funciona con cualquier mod que añada su propio texto, así que un servidor también puede ver mods inofensivos de rendimiento, mapas o calidad de vida. También puede leer tus controles y el idioma de tu juego.

Cómo funciona

El texto de Minecraft puede contener marcadores: una clave de traducción como key.freecam.toggle o una referencia a un control. Tu juego los sustituye por texto real usando tus archivos de idioma y tus ajustes, incluidos los archivos que añaden tus mods.

1. Al entrar, el servidor coloca un cartel con estos marcadores y fuerza que se abra el editor de carteles en tu pantalla.
2. El editor se vuelve a cerrar antes de que puedas verlo.
3. Desde la 1.20, al cerrar el editor el cartel se convierte en texto plano y se envía de vuelta al servidor, con los marcadores ya rellenados.
4. Si la respuesta dice “Toggle Freecam” en lugar de la clave sin traducir, el servidor sabe que tienes Freecam. El baneo puede llegar de forma automática.

Más tarde, varios investigadores descubrieron que el mismo truco funciona al renombrar objetos en un yunque. Antes de la 1.20 este texto solo se mostraba en tu propia pantalla, por eso el equipo de Wurst describe el cambio como una fuga de privacidad que ha causado daños reales.

Quién es responsable

Mojang es la responsable del bug. MC-265322 es público desde la época de la 1.20 y, en noviembre de 2026, la wiki de Wurst sigue sin indicar ninguna corrección oficial. Todos los jugadores de Java dependen de que Mojang lo cierre.

DonutSMP decidió basar su anti-cheat en esa fuga en lugar de limitarse a comprobaciones de jugabilidad. Atrapar tramposos es un objetivo legítimo en un servidor competitivo. Leer en silencio el contenido del cliente de los jugadores, con baneos automáticos y sin una lista clara de lo que está prohibido, es un paso mucho mayor, y cada falso positivo recae sobre un jugador real.

Los creadores de clientes de trampas mantienen una carrera armamentística con él. Meteor Client intentó bloquear la sonda, y su solución era detectable a su vez, porque devolvía la clave sin traducir en lugar del texto de reserva esperado.

Qué dicen

No hemos encontrado ninguna declaración técnica pública de DonutSMP sobre el escáner, su lista de mods detectados o cómo gestiona los falsos positivos. Las reseñas de jugadores describen baneos revertidos tras abrir tickets de soporte, lo que sugiere que las apelaciones funcionan al menos en algunos casos. Mojang no ha comentado públicamente MC-265322. Si alguno de los dos responde, lo contaremos.

Las otras polémicas de DonutSMP en 2026

El escáner de mods no fue el único choque entre DonutSMP y sus jugadores este año.

• La oleada de baneos por bots (abril): decenas de jugadores en r/DonutSMP denunciaron baneos permanentes por “botting” por estar AFK en las propias zonas AFK del servidor o por usar mods aprobados. Un jugador dijo haber perdido dos cuentas con unos 250 millones de dinero del juego. Las apelaciones se alargaron días, mientras los jugadores decían que los tramposos de verdad seguían asaltando bases. Son relatos de jugadores. DonutSMP no ha publicado cómo funciona su detección.
• El giro hacia el pay-to-win (agosto): una tienda de shards que vende mejoras directas de progreso y spawners, spawners de mobs más débiles y nuevos sistemas anti-AFK y de espionaje llevaron a los críticos a hablar del principio del fin de la economía basada en el grindeo del servidor.
• Webs de trampas falsas (octubre): una web que se hacía pasar por un portal de trampas de DonutSMP distribuyó el malware SilentNet a jugadores que buscaban ventaja. Consulta nuestra guía sobre malware en mods.

Qué hacer ahora

1. Ten claro que cualquier servidor Java puede ver tus mods. Si un servidor prohíbe un mod, da por hecho que puede detectarlo y quítalo antes de entrar.
2. Revisa las normas del servidor sobre mods permitidos y ten un perfil de mods aparte, mínimo, para servidores estrictos.
3. Cuidado con los paquetes de recursos que incluyen archivos de idioma de mods. Pueden hacer que parezca que tienes un mod instalado.
4. Si te banean injustamente, apela con detalles: tu lista de mods, tus paquetes de recursos y la hora del baneo.
5. Existen mods de privacidad. Mods de Fabric como ExploitPreventer y OpSec impiden que tu cliente resuelva estos marcadores. Algunos servidores consideran sospechosos los clientes “protegidos”, así que lee antes las normas.
6. Vota MC-265322 en el bug tracker de Mojang. Una corrección en vanilla protege a todos los jugadores, no solo a quienes usan mods.

Más cobertura sobre seguridad de servidores: Seguridad y exploits y todo sobre DonutSMP.