今天，Minecraft 玩家醒来时，迎来了一则来自最了解 Java 披风的人士的重磅消息。 James090500是 MinecraftCapes 模组及其配套图库的创作者。他刚刚宣布，备受热议的万圣节披风并非真实存在。它是一个漏洞利用的产物，该漏洞在一台波兰盗版服务器上运行，能够用有效的 Mojang 签名为任意 Minecraft 档案签名。
最初的泄露消息在四天前出现：两张清晰的截图展示了一款南瓜主题披风，看起来完全像是 Mojang 会在这个季节推出的东西。许多创作者和服务器都开始围绕它策划活动。随后，MinecraftCapes 账号顺着线索追查，却碰上了一堵本不该存在的墙。
这整个万圣节披风事件简直太离谱了。我们现在不再认为这是一款真正的披风，而是认为一台波兰 Minecraft 盗版服务器找到了一个漏洞，可以用有效签名为 Minecraft 档案签名。这本不应该做得到！
相关纹理包使用的档案 UUID，能从 Mojang 自己的系统获得一个签名完全有效的响应。如果这一点属实，那么该服务器就绕过了那项特定的加密验证机制，而这项机制正是用来阻止假披风和假皮肤进入官方生态系统的。这不是皮肤泄露，而是协议层面的突破。
目前看来，这个漏洞似乎仅限于那一台盗版服务器，但其影响却波及所有 Java 启动器、所有披风模组，以及所有信任已签名档案数据的服务器。如果签名可以被伪造，那么官方装饰品与玩家自制假货之间的界限就此消失了。Mojang 尚未发表评论；通常发布披风的渠道也依然保持沉默。
自 2015 年以来，James090500 一直在追踪官方、创作者和泄露的披风。当他说签名链存在问题，并指出一个能证明这一点的公开端点时，Java 社区会认真倾听。最初的泄露帖目前浏览量已超过 10 万。今天的反转消息传播得同样迅速。
目前建议很简单：将任何新的万圣节披风下载或相关活动都视为未经证实。纹理可用，签名也能通过验证，但其来源是一台根本不该持有 Mojang 私钥的服务器。它究竟是如何做到的，是今晚所有人都在追问的问题。
其他
