O scanner de mods do DonutSMP funciona com um bug do Minecraft que a Mojang ainda não corrigiu

O que aconteceu: O DonutSMP, um dos servidores públicos de Minecraft mais movimentados, detecta clientes de cheat como o Meteor e mods como o Freecam com um truque conhecido como exploit de tradução de placas. Seu cliente é forçado a abrir uma placa invisível por uma fração de segundo, e a resposta revela quais mods você tem instalados. Jogadores dizem que o mesmo scanner já baniu gente por pacotes de recursos e mods de cliente inofensivos, e a falha em que ele se baseia continua sem correção no Minecraft vanilla.

Quem é afetado

Qualquer pessoa que jogue Minecraft: Java Edition 1.20 ou mais recente em um servidor que use a técnica. Isso inclui o DonutSMP e o número crescente de servidores com plugins imitadores como ModDetector, ModCheck e AntiMod. Jogadores da Bedrock Edition não são afetados.

Os alvos óbvios são os clientes de cheat. Mas a mesma sondagem funciona com qualquer mod que adicione texto próprio, então um servidor também consegue ver mods inofensivos de desempenho, mapa e qualidade de vida. Ele também pode ler suas teclas e o idioma do seu jogo.

Como funciona

O texto do Minecraft pode conter marcadores: uma chave de tradução como key.freecam.toggle ou uma referência a uma tecla. Seu jogo troca esses marcadores por texto real usando seus arquivos de idioma e configurações, incluindo os arquivos que seus mods adicionam.

1. Quando você entra, o servidor coloca uma placa com esses marcadores e força o editor de placas a abrir na sua tela.
2. O editor fecha de novo antes que você consiga ver.
3. Desde a 1.20, fechar o editor converte a placa em texto simples e o envia de volta ao servidor, com os marcadores já preenchidos.
4. Se a resposta disser “Toggle Freecam” em vez da chave crua, o servidor sabe que o Freecam está instalado. O banimento pode vir automaticamente.

Pesquisadores descobriram depois que o mesmo truque funciona ao renomear itens na bigorna. Antes da 1.20 esse texto só aparecia na sua própria tela, e é por isso que a equipe do Wurst descreve a mudança como um vazamento de privacidade que já causou danos reais.

Quem é responsável

A Mojang é a dona do bug. O MC-265322 é público desde a época da 1.20 e, em novembro de 2026, a wiki do Wurst ainda não registra nenhuma correção oficial. Todos os jogadores de Java dependem de a Mojang fechar a falha.

O DonutSMP escolheu basear seu anti-cheat nesse vazamento em vez de usar apenas verificações de jogabilidade. Pegar trapaceiros é um objetivo legítimo em um servidor competitivo. Ler em silêncio o conteúdo dos clientes dos jogadores, com banimentos automáticos e sem uma lista clara do que é proibido, é um passo muito maior, e cada falso positivo cai sobre um jogador de verdade.

Os criadores de clientes de cheat estão numa corrida armamentista com ele. O Meteor Client tentou bloquear a sondagem, e a própria correção era detectável, porque devolvia a chave crua em vez do texto alternativo esperado.

O que eles dizem

Não encontramos nenhuma declaração técnica pública do DonutSMP sobre o scanner, sua lista de mods detectados ou como ele lida com falsos positivos. Avaliações de jogadores descrevem banimentos revertidos depois de tickets de suporte, o que sugere que as apelações funcionam pelo menos em alguns casos. A Mojang não comentou publicamente o MC-265322. Se algum dos dois se pronunciar, vamos informar.

As outras polêmicas do DonutSMP em 2026

O scanner de mods não foi a única briga entre o DonutSMP e seus jogadores este ano.

• A onda de banimentos por bot (abril): dezenas de jogadores no r/DonutSMP relataram banimentos permanentes por “botting” por ficarem AFK nas próprias áreas AFK do servidor ou usarem mods aprovados. Um jogador disse ter perdido duas contas com cerca de 250 milhões em dinheiro do jogo. As apelações demoraram dias, enquanto jogadores diziam que os trapaceiros de verdade continuavam invadindo bases. São relatos de jogadores. O DonutSMP não divulgou como sua detecção funciona.
• A virada para o pay-to-win (agosto): uma loja de shards vendendo impulsos diretos de progresso e spawners, spawners de mobs mais fracos e novos sistemas anti-AFK e de vigilância fizeram críticos falarem no começo do fim da economia baseada em grind do servidor.
• Sites de cheat falsos (outubro): um site que se passava por central de cheats do DonutSMP espalhou o malware SilentNet entre jogadores que buscavam vantagem. Veja nosso guia sobre malware em mods.

O que fazer agora

1. Saiba que qualquer servidor Java pode ver seus mods. Se um servidor proíbe um mod, presuma que ele consegue detectá-lo e remova-o antes de entrar.
2. Confira as regras do servidor sobre mods permitidos e mantenha um perfil de mods separado e mínimo para servidores rígidos.
3. Cuidado com pacotes de recursos que trazem arquivos de idioma de mods. Eles podem fazer parecer que você tem um mod instalado.
4. Se for banido injustamente, apele com detalhes: sua lista de mods, seus pacotes de recursos e o horário do banimento.
5. Existem mods de privacidade. Mods de Fabric como ExploitPreventer e OpSec impedem que seu cliente resolva esses marcadores. Alguns servidores tratam clientes “protegidos” como suspeitos, então leia as regras antes.
6. Vote no MC-265322 no bug tracker da Mojang. Uma correção no vanilla protege todos os jogadores, não só quem usa mods.

Mais sobre segurança de servidores: Segurança e exploits e tudo sobre o DonutSMP.