Broncode van Witcher 3 en Cyberpunk 2077 is mogelijk verkocht bij veiling

De broncode van Witcher 3 en Cyberpunk 2077 is naar verluidt succesvol geveild aan een nog onbekende partij. Twee dagen geleden lekte de broncode van kaartspel Gwent online, de broncode voor de andere spellen werd per veiling aangeboden. Die lijkt nu gesloten te zijn.

Gestolen data van gameontwikkelaar CD Projekt Red die buitgemaakt is bij een ransomware-aanval vorige week, is online verschenen en geveild. Dat meldt datasecurity-platform vx-underground op Twitter. In eerste instantie leek het alleen te gaan om de broncode van het kaartspel Gwent, maar dat bleek een teaser. Broncodes van The Witcher 3, Thronebreaker en Cyberpunk 2077, plus vermeende interne documenten van CD Projekt Red verschenen niet veel later in een online veiling. Volgens vx-underground is die veiling succesvol afgerond en is de broncode van beide spellen dus verkocht.

Bij de bekendmaking van de ransomware-aanval toonde CD Projekt Red een dreigbrief waarin stond dat de aanvallers broncode van Cyberpunk 2077, Witcher 3, Gwent en de niet nog uitgebrachte versie van The Witcher 3 hadden buitgemaakt. De aanvallers schrijven daarbij dat CD Project Red 48 uur de tijd heeft te reageren op de aanval. Het Poolse bedrijf heeft aangegeven niet te onderhandelen met de aanvallers en geen losgeld te betalen.

Nu lijkt het erop dat de aanvallers daaropvolgend de broncode per veiling hebben aangeboden op een hackerforum. In afbeeldingen die vx-underground op Twitter deelt, is een deel van de uitgelekte broncode van Gwent te zien en een screenshot van de veiling. Het startbod van de veiling was een miljoen dollar, voor 7 miljoen dollar kon de data direct gekocht worden. Niet veel later meldde vx-underground dat de veiling gesloten was, omdat er buiten de veiling om een deal gesloten was. Het is onbekend wie de data gekocht heeft en wat deze persoon met de data wil doen. Ook is niet bekend voor hoeveel de data uiteindelijk gekocht is. De verkoop is bevestigd door KELA, een securitybedrijf dat gespecialiseerd is in het monitoren van het darknet.

Reacties (176)

[xenn99]

Op basis van een forum post, van een onbetrouwbare gebruiker op een onbetrouwbaar hacking forum.
Ik geloof er eerlijk gezegd weinig van dat het daadwerkelijk is verkocht voor meer dan 1 miljoen.

Van tevoren werd gezegd dat het alleen op die ene site werd aangeboden maar vervolgens is het buiten het forum om verkocht. Hoe wist deze rijke "miljonair" de betreffende groep te vinden?

Ik vind het hele zaakje stinken.

Als het broncode was van EA dan had ik me er nog iets bij voor kunnen stellen,
als je daar met de mtx kan klooien kan je dat geld wel terug verdienen, maar bij CDPR zie ik echt niet in wie daar zoveel geld in zou willen investeren.

Het zou natuurlijk ook nog kunnen dat CDPR zelf de data heeft gekocht, maar aangezien zij de hele hack zelf openbaar hebben gemaakt lijkt me dat ook niet erg waarschijnlijk.

Persoonlijk denk ik dat de data nooit verkocht is, dat de verkoper bang is geworden van alle media aandacht en deze poppenkast heeft opgezet om er vanaf te komen.
Je kunt ook uit de berichten op de verschillende fora lezen dat de hacker not amused was dat CDPR het hele zaakje in de publiciteit heeft gegooid.
"ze hadden gewoon moeten betalen en de zaak stil moeten houden"

[Reactie gewijzigd door xenn99 op 22 juli 2024 18:38]

[cricque]

Ja want in wezen ben je er niet veel mee. Je hebt een kopie, maar je moet het nog gecompiled krijgen. Als je niet alle resources hebt etc. En zelfs dan nog, een grijze editie op de markt brengen ? Het enige wat ik kan bedenken is dat een hackersgroep dit heeft gekocht om een achterpoortje te vinden om pc's met 1 van deze games te infecteren met malware. En concurrentie kan alleen de broncode eens bekijken om te zien hoe ze een probleem oplossen. Maar dan nog, heb jij een andere engine, ben je er niks mee, dusja, snap het niet goed

[Flagg]

Hoe kan een achterdeur in een offline game toegang geven tot de pc?

Serieuze vraag, lijkt me toch erg lastig worden. Tenzij je bij de broncode kon komen voordat de game gelanceerd werd.

Heb echt geen idee wat mensen moeten met die broncode eigenlijk.

En een concurrent gaat zijn vingers daar niet aan branden. Als het uitkomt dat jouw gamestudio die code gekocht heeft kan je je tent wel sluiten en dat gaat uitkomen.

[Reactie gewijzigd door Flagg op 22 juli 2024 18:38]

[sprankel]

Hoe kan een achterdeur in een offline game toegang geven tot de pc?

Je trapt in een grote valkuil wat betreft security & safety (safety als in de brede betekenis dus ook safety zoals pakweg valbescherming): een gebrek aan verbeelding.

Doordat jij u niet kan inbeelden hoe je een achterdeur kan vinden/exploiten in een offline game hou je geen rekening dat het mogelijks toch zou kunnen. Daardoor bestaat het risico niet, daardoor hou je er geen rekening mee, tot het fout loopt en je plots moet vastellen dat je impact hebt door iets wat je u niet kon inbeelden.

De eerste exploit voor Cyberpunk is reeds gekend bij het brede publiek.

https://www.theverge.com/2021/2/2/22263471/cyberpunk-2077-security-exploit-mods-custom-save-files#:~:text=CD%20Projekt%20Red%20has%20warned,to%20execute%20code%20on%20PCs.%E2%80%9D

[xenn99]

die is toch al gefixt? En hierbij moet je zelf bestandjes aanpassen, dus daarbij is het risico natuurlijk erg klein.

Zoals ik in mijn eerdere post schreef maakt Cyberpunk wel degelijk een online connectie, maar wat daar precies overheen gaat daar heb ik geen idee van.. Misschien om news op te halen, de versie te checken, voor statistieken of wat dan ook.

In theorie zou je daar misbruik van kunnen maken, maar zonder toegang tot de server aan de kant van CDPR lijkt me het nut daarvan heel beperkt..

In het beste geval zou je mogelijk direct code kunnen injecteren en daarmee een achterdeur kunnen creëren, maar je moet dan een specifiek slachtoffer op t oog hebben die dan ook nog is op dat moment cyberpunk aan het spelen is

Een Windows exploit lijkt me dan een stuk praktischer, en ik denk dat je die wel kunt vinden voor minder dan een miljoen

[cricque]

Ja en ook om zogezegd cracks te maken bijvoorbeeld. Met de source code is het een "eitje", terwijl de crack eigenlijk zelf al malware is. Of een patch/cheat etc. Er zijn er genoeg die zo een dingen installeren, en dan heb je prijs. Met de broncode is het gewoon wat gemakkelijker.

[xenn99]

CDPR games zijn drm free, dus daar zijn geen cracks voor nodig
Maar ik snap wat je bedoelt.

Overigens kun je dan net zo goed gewoon een bestaande crack/patch/cheat pakken en die repacken.
Stuk minder moeite, bijna hetzelfde effect.
Komt tegenwoordig ook steeds vaker voor.

[sprankel]

maar zonder toegang tot de server aan de kant van CDPR lijkt me het nut daarvan heel beperkt..

De server van CPDR overnemen zou je toelaten om updates te sturen waarmee je heel gemakkelijk eigen code kan injecteren, dat klopt. Daarom ook dat Windows update servers blokkeren in hosts.ini niet werkt, daar zit heel veel security in zodat men je niet kan omleiden naar een valse Windows update server, dat zijn namelijk horror verhalen van een security point of view.

Maar dat wilt ook al meteen zeggen dat je helemaal niet de CPDR server moet overnemen, als je er in slaagt te doen alsof je de CPDR server bent en de client maakt connectie heb je hetzelfde resultaat, ook daarom dat we naar DNSSEC moeten ipv DNS waarbij SEC voor security extensions staat. De huidige DNS maakt allerhande ongein mogelijk.

Daarnaast zal de client een port listener hebben openstaan, als je daar rechtstreeks op verbind kan je mogelijks ook toegang krijgen zonder dat je u moet voordoen als CPDR server.

Langs de andere kant ga je ervan uit, "dan moeten ze al toegang hebben tot de CPDR server", dat dit iets is wat niet gebeurd, heel het artikel is het gevolg dat dit net wel gebeurd is. Voor zover bekend heeft men dit niet misbruikt om vervolgens een malafide update te sturen naar alle clients maar eigenlijk zie ik maar 1 reden waarom dit niet gebeurd is, men wist niet hoe het update proces juist werkte. (of men had er simpelweg niet aan gedacht, iets met gebrek aan verbeelding)

Maar dan spreken we nog altijd zuiver over remote execution, dat je vanop afstand binnen geraakt, iets wat typerend als zeer high risk beschouwd word. Je kan ook via andere manieren binnen zijn geraakt maar dat wilt nog niet zeggen dat je voldoende rechten hebt. Games draaien typerend standaard onder full admin rechten, AV producten gaan typerend in "gaming modus" als een game gestart word om minder resources te vragen waarbij men ervan uitgaat dat games niet voorkomen op hoog kritieke machines.

Als je code kan injecteren of hooken aan een game en die game word opgestart, dat is zeer interessant, ook al moet je via een andere weg remote binnen komen.

Tot op heden zijn er niet zoveel aanvallen via games, het aantal computers dat net die ene game heeft staan is beperkt, de computers waar games opstaan zijn minder interessant, games worden continu geupdate dus als het gebeurd zoals bij cyberpunk en die DLL, die updates worden dusdanig snel uitgevoerd dat je al een onbekende zero day moet hebben terwijl de meeste aanvallen gebeuren door gekende lekken te misbruiken waarbij de updates nog niet gebeurd zijn.

Maar langs de andere kant, security is het Tom en Jerry verhaal, als Tom nooit Jerry te pakken krijgt gaat Tom andere manieren zoeken. Dat is een verhaal dat nooit stopt en dan kan het wel eens voorvallen dat games waar security niet zo belangrijk was plots aandacht begint te krijgen van Tom, dat game ontwikkelaars gehackt worden, dat broncodes gelekt worden en dat er security exploits misbruikt worden op games.

Ik kan je 1 ding verzekeren, het is niet enkel CPDR die zenuwachtig is van deze zaak, dit zijn heel duidelijke waarschuwingen naar alle game ontwikkelaars alsook alle game launchers. Tom heeft bewogen, nu is het aan Jerry.

[cyble]

"Je trapt in een grote valkuil ....", "Doordat jij u niet kan inbeelden ...", "impact hebt door iets wat je u niet kon inbeelden"

Hij vroeg het zich toch oprecht af ?

[xenn99]

Ik weet niet hoe het met de Witcher games zit, maar Cyberpunk 2077 maakt wel degelijk een online connectie bij het spelen van de game.

Of daar misbruik van gemaakt kan worden?
Het lijkt mij extreem onwaarschijnlijk en niet de moeite waard, maar het is niet compleet onmogelijk.

[Daoka]

Het kan natuurlijk dat er andere dingen gedaan wordt. Denk dan aan een keylogger/spyware/ransomware mee laten installeren. En dan uploaden in de hoop dat mensen het spel illegaal gaan downloaden.

[rubenkemp]

Wellicht zou een kwaadwillend iemand iets in een update/patch kunnen onderbrengen zonder dat al te veel developers het doorhebben?

[Bjorn89]

Als ze dit nu wat baker bij Denuvo defense was ik een stuk ondersteunender geweest. Maar de games die CDPR verkoopt zijn iig op GoG DRM vrij

[lukjah]

Ook al krijg je het compiled, CDPR brengt z'n games al DRM vrij uit. Dus je hebt dan een versie compiled die al vrij te krijgen is. Woehoe!

[mjtdevries]

Persoonlijk denk ik dat de data nooit verkocht is, dat de verkoper bang is geworden van alle media aandacht en deze poppenkast heeft opgezet om er vanaf te komen.

Hoeft niet eens dat de verkoper bang is geworden.
Grote kans dat de hackers het aan zichzelf verkocht hebben voor een paar centen om zo de indruk te geven aan ontwikkelaars dat er daadwerkelijk mensen zijn die betalen voor gestolen code.

En zo hopen ze dan dat een volgend bedrijf wel het losgeld zal betalen.

Erg vreemd dat die security organisaties die optie totaal niet overwegen.

[Blokker_1999]

Waarom zouden ze dat doen? Dan kunnen ze beter de veiling laten openstaan en op zichzelf bieden.

[mjtdevries]

Omdat geen enkele concurent zo dom is om hier op te bieden. (en al helemaal niet zo'n idioot hoog bedrag)
Dus doe je alleen alsof het gebeurd is,

[Tsurany]

Een concurrent die volgens onze regels speelt niet. Zelfs al zouden ze geen ethische bezwaren hebben dan zou het alsnog een te groot risico zijn.

Echter in andere werelddelen zijn genoeg voorbeelden te vinden waar bedrijfsspionage bij Westerse bedrijven op grote schaal plaats vind en waar copyright weinig betekenis heeft.

Een game developer in China heeft zo een schat aan informatie die ze in hun eigen games toe kunnen passen. De Chinese overheid gaat echt geen vervolging vanuit CDPR toe staan.

[Rob Coops]

Wie weet wat de deal is die er gesloten is.
Het probleem is dat als je de hele wereld niet vertrouwd, het form niet want Hack0rz de hackers zelf niet want ehm ja waarom eigenlijk niet, oh ja hack0rz en dus hoe dan ook niet te vertrouwen of zo.

De hack is werkelijk gebeurd CDPR roept dat niet voor niets. De hacker heeft dus ook daadwerkelijk data in handen dus zo onbetrouwbaar is het verhaal niet.
Dat je een veiling niet op 100 sites tegelijk zet is niet gek, je kunt dat onmogelijk bijhouden en volgen wie wat bied en wanneer en alles en iedereen steeds maar van updates voorzien is ook geen optie omdat je niet weet of op een ander forum iemand al meer geboden heeft. Om deze reden zie je ook bij veilingen in de fysieke wereld en veilingmeester die op een locatie bijhoud wie er wat bied en hoeveel er geboden is. Dat is de enige manier om dat op een redelijke manier te doen.

Dat er buiten de veiling om een deal is gesloten is niet zo heel vreemd de bieder zal waarschijnlijk geen zin hebben om met naam en toenaam bekend te worden en ondanks dat het darkweb redelijk anoniem is is het geen garantie om niet ontdekt te worden. De hacker bereiken is nu ook weer niet zo moeilijk als je de weg een beetje weet kun je al snel een introductie regelen en een gesprek aanknopen.
Ook zou het me niets verbazen als de verkoper inderdaad besloten heeft minder dan 1M te ontvangen omdat de koper hem of haar wist te overtuigen dat het risico te groot was of zo... en dat het beter was om op deze manier van de gestolen goederen af te komen.

Natuurlijk had de hacker waarschijnlijk veel liever gehad dat CDPR gewoon een miljoen in bitcoins had overgemaakt en vervolgens gedaan had als of het nooit gebeurt was dan was het allemaal een stuk makkelijker geweest om er mee weg te komen zonder dat je steeds moet vrezen dat een overheid er achterkomt wie het was en een arrestatie bevel uitvaardigd... Maar goed CDPR heeft de juiste oplossing gekozen door het niet te verbergen en iedereen te laten weten wat er gebeurt is.

[xenn99]

Het probleem is dat als je de hele wereld niet vertrouwd, het form niet want Hack0rz de hackers zelf niet want ehm ja waarom eigenlijk niet, oh ja hack0rz en dus hoe dan ook niet te vertrouwen of zo.

Het gaat hier om een criminele groep die data steelt van bedrijven en ze daar dan mee probeert af te persen, en een forum dat geld verdient aan de verkoop van dit soort gestolen data.
Als jij dat geloofwaardige bronnen vind.. prima.. Ik zie het meer als een soort digitale mafia

De hack is werkelijk gebeurd CDPR roept dat niet voor niets. De hacker heeft dus ook daadwerkelijk data in handen dus zo onbetrouwbaar is het verhaal niet.

Dat trek ik toch nergens in twijfel?
Ik zeg alleen dat ik niet geloof dat er een miljoen voor is betaald.

Daarnaast twijfel ik of het überhaupt is verkocht, omdat het in mijn ogen niet veel waarde heeft en
er grote risico's kleven aan het kopen en bezitten ervan.

Volgens mij heb ik mijn argumentatie best goed uitgelegd in mijn eerdere posts.

Ik denk dat op het moment dat via twitter uitlekte dat die veiling op was gezet om de source code te verkopen, de hele zaak veel te high profile werd.
Het was immers niet de hacker zelf die die info naar buiten bracht maar bovenstaande data security bedrijven.

Dit soort criminele organisaties houden over t algemeen niet zo van daglicht.
Wat dat betreft was de reactie van CDPR om de hele boel in het openbaar te brengen zo te zien de juiste.

[Jerie]

Ik geloof er eerlijk gezegd weinig van dat het daadwerkelijk is verkocht voor meer dan 1 miljoen.

(Ik las elders iemand het hebben over 7 miljoen.)

Dat staat nergens. De verkoper beweerde in screenshot #3 het volgende:

"An offer was received outside the forum that satisfied us"

We kennen de inhoud van deze 'offer' niet. Misschien is het 10.000 EUR. Misschien is het 1 Bitcoin. Misschien is het 0,0. We zullen het nooit weten.

[Ynst2003]

in de screenshots staat flash buy: 7kk USD.
Dus ik denk dat 'gerucht' daar van komt. Geen idee of het verkocht is of niet.

[mcbeef]

"ik vind dit hele zaakje stinken."

En wat als cdpr nu niet gehacked is geweest maar dit bericht zelf de wereld in heeft geholpen om van de badguy status rondom de premature release van cyberpunk 2077 af te komen door een slachtofferrol aan te nemen. De media helpt ook dan gerust een handje.
Vervolgens een gefingeerde verkoop opzetten op een duister stukje internet waarop de gehele transactie achter de coulissen wordt afgehandeld....

Het stinkt echt wel.

[MarcoDaz]

Dit soort berichten stonden ook onder het bericht van CDPR zelf op Twitter, maar ik dacht niet dat er echt mensen waren die dat soort onzin geloven..

[Vermillio]

"Ik weet niet wat de hoogte van het uiteindelijke bedrag is, maar de source code is daadwerkelijk verkocht."
"Ik weet de beweegredenen, maar het is niet aan mij om dat wereldkundig te maken."
boolean - 13 februari 2021 12:05

"Dus een goede raad om ervoor te zorgen dat je jezelf niet voor schut zet: speculeren mag, maar bevestigen of ontkennen doe je alleen als je zelf onomstotelijk bewijs aan kunt dragen dat jouw standpunt ondersteunt."
boolean - 13 februari 2021 12:24

[xenn99]

Ik weet niet wat de hoogte van het uiteindelijke bedrag is, maar de source code is daadwerkelijk verkocht.

O en hoe weet jij dat zo zeker? het enige dat ik zie is een paar screenshots van forums met nietszeggende en ongeloofwaardige info.

De Tweakers op dit forum die hiervan op de hoogte zijn weerhouden zich nu gewoon van commentaar

Oh zijn er tweakers bij de sale betrokken? Tell me more!

Wat ik vooral mis in de media is de onderliggende reden waarom de hack heeft plaatsgevonden.

Daar heb je de media niet voor nodig hoor.. De reden dat de hack heeft plaats gevonden is omdat CDPR zijn beveiliging niet goed op orde had.

Ik weet de beweegredenen, maar het is niet aan mij om dat wereldkundig te maken.

Ik geloof er geen bal van, sorry

(De hack wordt tot nu toe toegeschreven aan hellokitty die bekend zijn van ransomware aanvallen voor geld, dus dat was hoogst waarschijnlijk het originele doel, afpersing.
Tenslotte heeft de hacking groep dit hele verhaal niet wereldkundig gemaakt, dat heeft CDPR zelf gedaan.
Als jij denkt dat je er een soort van boodschap achter zit, dan zit je echt verkeerd.)

[Reactie gewijzigd door xenn99 op 22 juli 2024 18:38]

[burnedhardware]

ze hebben het vast niet gekocht om de bugs eruit te halen...

maar waarom wel? Ik zie niet waarom iemand meerdere miljoenen zou betalen om meer inzicht te hebben om zo een exploit te kunnen schrijven, een nieuwe game schrijven op de gejatte engine komt vroeg of laat uit...

edit: als de broncode van de online gokspelletjes erin zit, kan je wellicht dat uitbuiten om te kunnen winnen van het casino verkeerd onthouden

quote: https://www.theregister.com/2021/02/09/cd_projekt_red_hack/

While CD Projekt is best known for the AAA titles produced via its Red wing, it also dabbles in services, operating an online game marketplace called GOG. This platform competes directly with Steam, EA Origin, and the Epic Games Store albeit with a focus on DRM-free retro and indie titles.

- mogelijk is daar geld te halen

[Reactie gewijzigd door burnedhardware op 22 juli 2024 18:38]

[ikt]

Ze hebben ook documenten en waarschijnlijk interne communicatie gepakt. Daarmee heb je dingen om chantage mee te plegen en kun je bijvoorbeeld ook met de koers knoeien door af en toe wat viezigheid te lekken.

[redtails]

ik gok dat het gros in het Pools is

[SuperDre]

En dat maakt uit want? Genoeg mensen die pools kunnen vertalen/lezen.

[Munchie]

Misschien gekocht door een andere game-ontwikkelaar/concurrent die de code wil analyseren en/of kopiëren om hun eigen game (engine) te verbeteren.

[Wolfos]

Als ontwikkelaar zie ik de waarde daar niet van in. Er zijn weinig geheimen in game development, en ik heb niet het idee dat Cyberpunk en de Witcher 3 iets doen dat zo bijzonder is dat het 7 miljoen waard is.

[drdelta]

7 miljoen euro voor een custom game engine waar je geen royalties over hoeft te betalen is niet per se veel geld. Zeker nuttig voor landen/bedrijven die geen Amerikaanse software mogen gebruiken, die zijn namelijk ook buitengesloten van het gebruik van oa. Unity, Unreal, CryEngine, etc.

[Wolfos]

Een custom game engine waar je geen support op hebt is bijna onbruikbaar. Het is waarschijnlijk nog minder werk om er zelf één te bouwen dan een andere game hiermee, zonder steun van het originele team.

[Reactie gewijzigd door Wolfos op 22 juli 2024 18:38]

[drdelta]

Bijna onbruikbaar is natuurlijk nogal een overdrijving.

De meeste Unreal gebruikers hebben géén betaald UDN account, en de meeste Unity gebruikers zullen waarschijnlijk ook geen Premium Support hebben.

Desalniettemin bouwen de meesten zelf tòch geen volledige multi platform engine van de grond op. Zeker gezien de functionaliteiten die verwacht worden van een moderne cross platform game engine..

[lukjah]

Misschien geen betaald support account. Maar wel een documentatie website waar 99% op te vinden is (of zou moeten zijn). Ook al krijg je de engine werkend. Wat ga je er precies mee doen?

[Wolfos]

Dit is geen Unity of Unreal. "RedEngine" bestaat eigenlijk niet. Dit is de broncode van the Witcher en Cyberpunk. Zie dat maar eens los te trekken zonder ondersteuning of fatsoenlijke documentatie. Zonder forums die helpen als je vastloopt.

Ik kan je garanderen dat deze engine meer kost dan dat die waard is zonder het oorspronkelijke team van ontwikkelaars.

En dan nog, waarom? Ook in Iran gebruikt men gewoon Unity of Unreal, en daar zitten ook geen gamebedrijven die zo even 7 miljoen uit de kast trekken voor een brakke in-house engine.

[Reactie gewijzigd door Wolfos op 22 juli 2024 18:38]

[YopY]

Goedkoper om gewoon een licentie op een bewezen betere engine te nemen (Unreal, Unity, ID Tech, CryEngine, etc), is waarschijnlijk goedkoper dan de $1-7 miljoen die hiervoor betaald is, je krijgt er tenminste support en ondersteuning bij, en geen legale problemen als je een game uitbrengt.

Als je voorbeeldcode wilt, ID geeft veel code vrij als open source: https://github.com/id-Software

[Reactie gewijzigd door YopY op 22 juli 2024 18:38]

[Wolfos]

De open source versies van idTech zijn inmiddels vrij gedateerd. Blijft wel dat je vrij weinig hebt aan een gestolen engine. Zonder support zal je zelf alles uit moeten zoeken, je hebt een team nodig om het te onderhouden en de kans dat je aangeklaagd word en mag stoppen met verkopen.

[eternia16]

Om een kijkje te doen hoe het niet moet.

[MrBuzzkill]

Lijkt mij uiteindelijk goedkoper en sneller om iemand aan te nemen die aan een andere engine heeft gewerkt, dan dat je duizende regels code door gaat spitten waarvan je niet weet wat het nu precies doet.

[chime]

Veel te tricky.

Je wint er weinig mee, enige wat iets of wat nut kan hebben zijn algoritmes.
Maar als uitkomt dat je die gebruikt dan hang je, copyright, auteursrechtenschendingen, ... als ontwikkelaar blijf je daar best buiten.

[SuperDre]

lijkt mij zeer onwaarschijnlijk, want je hebt er helemaal niets aan omdat je dan sowieso moet oppassen dat je niet gepakt wordt.
En zoals anderen al aangeven, er zijn genoeg andere betere engines.

[markbarcinski]

ik vraag het mij ook af en of het ook waar is dat er iemand veel geld voor betaald heeft. Cd project code is eenmaal niet allerbeste te wereld, hun spellen zijn vooral bekend om het feit dat ze mooi zijn. Daar komt meer bij kijken dan code alleen.

"Niet veel later meldde vx-underground dat de veiling gesloten was, omdat er buiten de veiling om een deal gesloten was"
ik gok +- 1000 euro, meer zou ik niet voor geven zelfs als ik Bezos was.

[FrankoNL]

of CD Projekt red heeft het gewoon teruggekocht. Een van de voorwaarden was namelijk dat de verkoop "exclusief" was en dat ze hem niet meer mochten doorverkopen.

Kan me zo voorstellen dat ze eieren voor hun geld kiezen in dit geval.

[1992Mark]

Wel altijd lastig, vertrouwen op de blauwe ogen van criminelen dat het ''exclusief'' verkocht wordt. Ze gaan al zo ver om de data te stelen, en CD Projekt te chanteren. Geld is geld voor dat soort mensen, die pakken wat ze pakken kunnen.

[Dennisdn]

Ik principe kunnen ze al tegen 5 partijen zeggen dat ze de unieke veiling hebben gewonnen. Tegen de tijd dat de winnaars erachter zijn dat ze niet de enige waren is alles al weggesluisd en de vogel gevlogen....

[SuperDre]

Funny, alsof degene die de code gekocht zou hebben zich uberhaupt aan de voorwaarden van die de hacker zou houden, het gaat sowieso al om illegale zooi.

[FrankoNL]

Dat snap ik, maar als ze de boel versleuteld hebben, of erger nog, verwijderd ... dan moeten ze het wel terugkopen he.

Gaat niet alleen maar om wat de verkopende partij doet, maar dat zijn de voorwaarden die ze zelf naar buiten hebben gebracht.

Wie zou anders betalen voor gestolen broncode ?

[Reactie gewijzigd door FrankoNL op 22 juli 2024 18:38]

[LNDN]

Of ze hebben gewoon intern fake data aangemaakt en dat doorverkocht aan een sukkol die dacht dik te scoren. En daarmee dus 7 mil vrijgemaakt voor extra development.

[Paprika]

Het startbod stond op 1KK (=1.000.000) en overbieden met minimaal 500K (= 500.000), dus ik betwijfel dat ze nu voor 1000 al zijn gestopt met de verkoop.

[SinergyX]

Gezien dit al in het grijze/zwarte gebied is, zullen die genoemde miljoenen ook wel niet 'hard earned' zijn binnengehaald, dat het indirect gewoon kopen is met andermans geld.

Zou wel humor zijn als ze sneller met een full-open versie komen dan CDPR, welke dit moment nu nog niet echt baanbrekend aan de bak is gegaan, buiten wat simpele hotfixes.

[Wildfire]

Als ze de broncode hebben, betekent dat niet automatisch dat ze ook de assets hebben. Als ze alle modellen opnieuw moeten gaan ontwerpen...

[DrVic]

Een van de plaatjes bij het artikel laat 40GB aan assets zien in de listing en dat is voor Gwent alleen.

[SuperDre]

Zal niet gebeuren dat iemand hiermee zal komen, dat maakt het allemaal nog veel makkelijker om de betreffende personen te pakken, want je bent ook strafbaar als je deze code gekocht hebt.

[PvdVen777]

Dat is exact wat ik dacht, Dit is niet gekocht door een zakenman die hier een leuke investering in ziet.

Het zou me niet verbazen als een of andere hacker, die bijvoorbeeld niets geeft om een dikke sportauto voor de deur dit gekocht heeft met zijn gestolen bitcoin enkel als pronkstuk.

[Frag_majeuR]

Lijkt me dat ze het gekocht hebben om fouten in de code te vinden zodat ze kunnen inbreken bij gamers.

[Skywalker27]

Mij ook voor om remote code execution voor elkaar te krijgen of supply chain attacks.

[k995]

op single player games?

[gedonie]

Ja ook op een single player game. Deze hebben ook tegenwoordig vaak gewoon een internet verbinding, bovendien is het nooit gezegd dat CDPR niet met een online stuk bezig was.

Daarnaast kun je naar kwetsbaarheden zoeken om ze dan via de modding community op de computer van slachtoffers te krijgen.

[Skywalker27]

Het maak niet uit of deze multi-player zijn of niet of een internet connectie nodig hebben, met een private key kan de onbekende party bijvoorbeeld een update aanbieden, met een exploid er in verstopt om bv. remote code execution mogelijk te maken. Deze manier van aanvallen heet supply chain attack en heeft een zeer hoge kans van slagen en kan bijna niet gestopt worden zie Solarwinds enz.

[k995]

Supply chain attack moet je een deel van CDPR hun infrastructuur overnemen. Dan ben je weinig met de broncode van een spel van hen, als ze dit hadden willen doen was het wel erg dom geweest dat nadat ze inbraken ze dat bekend maakte om hen te chanteren.

[Skywalker27]

Nee hoor dat hoeft zeker niet. Je moet wel zeker verstand van zaken hebben dat weer wel.

[Reactie gewijzigd door Skywalker27 op 22 juli 2024 18:38]

[White Feather]

Nogal nutteloos met een single player spel.
Als je dat nu zou doen bij GTAV online, dan heb je door de multiplayer functionaliteit de mogelijkheid om de gehele groep aan te vallen.

Wat wil je hier doen dan? Kloten met de achievements die misschien gesynchroniseerd worden via GOG of Steam?

[gimbal]

Een game als the Witcher 3 daar zit vele jaren aan research & development in, door dat op te kopen kun je een behoorlijke inhaal slag maken.

[g0tanks]

Een inhaalslag van wat? Het is niet alsof er met de REDengine nou zoveel technisch interessante dingen worden gedaan. Naar mijn mening moet CD Projekt Red het vooral hebben van hun creativiteit in het maken van de werelden. Om dat te kopiëren heb je geen broncode nodig.

[markbarcinski]

als je hun kopieert..., ben je dan net zo creatief?

[SuperDre]

Hoe dan? Je kunt het niet gebruiken omdat dan toch wel relatief snel naar voren komt dat jij degene bent geweest die de code gekocht heeft. En als het gaat om de engine zelf, tja, genoeg andere engines die vele malen beter zijn en voor meerdere titels battletested zijn, en dus ook nog een HEEEEEEEL stuk goedkoper dan voor deze illegale muk betalen, want die 7 miljoen dollar kun je ook niet zo makkelijk wegpoetsen in je boeken.

[Eonfge]

赛博朋克 = Cyberpunk in het Chinees. Gewoon de alternatieve markt een tijdje in de gaten houden en voor je het weet vindt je daar 赛博朋克2088

[PCG2020]

Een beetje nadenkende Chinees maakt daar natuurlijk wel 超级大块头2088 (SuperHunk2088) van

[Danielsydel123]

beetje raar om te zeggen dat het gelijk chinees moet zijn daarnaast heeft tencent vorig jaar al een cyberpunk game aangekondigd genaamd CODE: SYN

[Eonfge]

Niet heel raar hoor. Huawei had vorig jaar zijn eigen mobiele besturingssysteem aangekondigd, en dat blijkt gewoon Android te zijn met de versienummers eraf gefijld. Als Tencent dus een Cyberpunk-achtige game aankondig, verwacht ik niets minder. Daarnaast, het is ondertussen een feit dat China allemaal intellectueel eigendom overneemt.

[Danielsydel123]

dat kan wel zo zijn maar android is open source en heeft er ook niks mee te maken. je verwacht niks minder? dus tencent heeft ook een tijdmachine uitgevonden en en zo de broncode van cyberpunk gekregen ? er is al gameplay footage van niet alles wat uit china komt is een kopie of gestolen vind het een beetje een negatieve mindset. daarnaast kun je moeilijk zeggen dat de sancties op huawei nog iets met spionage intellectueel eigendom te maken heeft het was duidelijk dat Huawei groter werd dan apple en samsung

[Reactie gewijzigd door Danielsydel123 op 22 juli 2024 18:38]

[i-chat]

porten naar een ander platform ? - maar wat het nut is? ik durf het niet te zeggen want zodra je die bins dan verkoopt ga je voor gaas zou ik denken.

misschien voor een chineese gameontwikkelaar die niet graag zelf code schrijft en er een china-friendly-nepversie van wil maken.

[BertBertjes]

En wie zou die "mysterieuze" koper dan wel zijn, CD Projekt Red zelf misschien?

[Byron010]

Tja kunnen we eeuwig over speculeren, maar naast CDPR zelf, lijkt het me logisch dat ook concurrentie etc dit wellicht interssant kunnen vinden en willen er natuurlijk niet aan gelinkt worden.

[White Feather]

De concurrentie zit hier echt niet op te wachten hoor.

Als er ooit uitkomt dat jij alleen al inzicht hebt gehad in de code, kun je je verantwoorden in de rechtbank.

Als je de code gekocht hebt, kun je gelijk je toko sluiten.

En wat is het nut?
Er zijn genoeg engines te koop die kunnen wat Cyberpunk laat zien.

Het meeste werk gaat zitten in de assets, physics en AI.

De assets kun je niet hergebruiken en de physics en AI zijn juist knudde in CP.

[Jiskefet296]

Tencent (?)

[Tristan]

Misschien wel!

[Haruhi]

Of een vermogende aandeelhouder, toch blijft dat..... "speculeren"

[Reactie gewijzigd door Haruhi op 22 juli 2024 18:38]

[Schway]

Rusland of China?

[pixeled]

En dan is het nu nog maar de vraag of de verkopers het bij 1 veiling laten. Schijnbaar is het erg lucratief, waarom zouden ze de broncode niet vaker verkopen aan andere geïnteresseerde partijen? Wie weet stiekem wel concurrerende gamestudio's

[LOTG]

Ik weet niet wat de voorwaarden voor de veiling waren, maar doorgaans daalt een product in waarde als het meer dan een keer gekocht kan worden.

Dus als die verkocht is onder het mom van je bent de enige, en je gaat het dan nog een keer verkopen dan daalt de waarde en je geloofwaardigheid enorm.

[er0mess]

Ik neem aan dat bij een veiling waarin illegaal (verkregen) materiaal verkocht wordt door een partij die uit is op “snel” geld, geloofwaardigheid niet zo’n issue is.

edit: typo

[Reactie gewijzigd door er0mess op 22 juli 2024 18:38]

[rbr320]

Als ze zichzelf op de kaart proberen te zetten als hack-groep met kennis van zaken die binnen kan komen bij high-value doelwitten dan lijkt me betrouwbaarheid juist wel een issue. Ze doen dan misschien illegale dingen, maar binnen het wereldje waarin ze zich bewegen willen ze waarschijnlijk wel hun reputatie hoog houden. "Honor amongst thieves" en dergelijke.

[Reactie gewijzigd door rbr320 op 22 juli 2024 18:38]

[The_Woesh]

Klopt, bovendien worden zakelijke geschillen in dat wereldje niet via de rechter uitgevochten. Je houden aan een afspraak kan letterlijk van levensbelang zijn

[Wraldpyk]

Dat het illegaal is betekend het niet automatisch dat je te maken hebt met een wereld van criminelen die huurmoordenaars en dergelijke inhuren.

[StefanJanssen]

Ik denk wel dat je kan rekenen op een hacker die je leven zuur probeert te maken als je een verkeerd persoon bedonderd.

[Kjoe_Ljan]

Als ik dat .txt bestandje lees, zijn de aanvallers er vooral op uit om het bedrijf CDPR minder waard te laten worden.

Voordat de release van Cyberpunk werd uitgesteld, waren best veel mensen best tevreden over het bedrijf. Zowel de manier waarop ze omgaan met hun community, als de zorgen voor hun medewerkers. Die publieke mening draaide snel, nadat Cyberpunk meerdere keren werd uitgesteld en er van developers werd verwacht om toch een paar overuren te draaien. De buggy release van Cyberpunk en het niet voldoen aan de verwachtingen van de game, heeft ongetwijfeld niet geholpen.

Uit het tekstbestandje van de aanvallers maak ik op dat ze proberen om het CDPR nog moeilijker te maken, zowel qua publieke opinie (met het uitlekken van documenten aangaande HR enzo), als financieel (door de waarde van de aandelen te laten zakken).

Behoorlijk kinderachtig, als je het mij vraagt.

[terror538]

Ik snap het wel, CDR heeft mensen een enorme loer gedraaid.
Continu gedaan of het spel gewoon goed in elkaar zit en dan zo'n misbaksel releasen. Vooral de issues op de last gen consoles. Wat mij betreft gaat dat ook richting oplichting.
Dus ik snap wel dat mensen flink boos zijn, niet over de meerdere uitstellen maar wel over achterhouden van informatie over de kwaliteit van de release.

[PatrickH89]

Ja, heel begrijpelijk om dan proberen ‘het moeilijk te maken’ voor zo’n bedrijf. Dat zou elke gefrustreerde gamer moeten doen

[KingFrogzz]

Tenzij je het volgende week nog eens wil doen met een andere game studio, dan is het wel handig om iets van een "reputatie" te hebben, hoe twijfelachtig die ook is in de branche

[SuperDre]

Maarja, aangezien je echte identiteit toch niet bekend is kun je zo onder een andere naam een ander project doen. het is sowieso niet zo slim om altijd dezelfde identiteit te blijven gebruiken, maakt je alleen maar makkelijker op te sporen op de langere termijn.

[DataGhost]

Alleen is 7 miljoen vragen niet zo makkelijk met een splinternieuwe account die geen naam/reputatie heeft opgebouwd. Pas nadat je betaald hebt weet je of het legit was of niet. Als diezelfde naam op dat forum al tig andere leaks verhandeld heeft met tevreden klanten, ben je eerder geneigd zo'n bedrag neer te leggen.

[Vipertje]

Geloof het of niet, maar die ransomware gasten zijn eigenlijk altijd te vertrouwen. Ik ben niet bekend met een zaak waar losgeld is betaald voor decryption keys en die dan niet geleverd zijn. De hele ransomware business valt en staat ook bij betrouwbaarheid. Als in het nieuws komt dat betalen toch geen zin heeft, doet ook niemand dat meer. Zelfde geldt voor dit soort veilingen.

[Scriptkid]

Als di dan meteen ale bugs even fixen

[batteries4ever]

Wat ik me afvraag: stel ik heb die code gekocht en dan?
Ik kan daarmee mijn eigen Cyberpunk uitbrengen, maar dat valt nogal op, kan daarmee een variant maken, b.v. door het spel in de Middeleeuwen te laten plaatsvinden, maar dan moet ik al veel verstand van zaken hebben, of de "bouwstenen" gebruiken voor mijn eigen spel, wat het lastigst te bewijzen is, maar ook het minste oplevert.
Wat moet de koper hiermee?

[Blokker_1999]

Zoals je in het artikel kunt lezen en in de screenshots kunt zien gebeurd zoiets niet. Iemand heeft buiten de veiling om een hoog genoeg bedrag geboden met de eis van exclusiviteit en daarom is de veiling stopgezet. Zulke afspraken kom je ook geowon na omdat anders je reputatie om zeep is en je de volgende keer geen vertrouwen meer krijgt van eventuele kopers.

[maxkranendijk]

Wat is het probleem als een broncode van een spel openbaar is? Bij software zoals windows snap ik dat je makkelijker kan inbreken/zaken kan aanpassen om te hacken. Bij games kun je dan makkelijker cheats maken of ander gewin? Ik neem aan dat je niet een spel kopieert en Cyberpunk 2077 uitbrengt in cowboy stijl op basis van een aangepast Cyberpunk wat je via de broncode hebt kunnen doen.

[Generaal Pep]

Goed idee! Dat ga ik met de broncode doen!

Zonder gekkigheid: Ik heb ook geen idee. Het enige wat ik kan verzinnen is dat een andere ontwikkelaar zou kunnen leren van de werkwijze van CDPR?? Zodat zij bepaalde elementen ook kunnen toepassen?

[claudior]

Afkijken van de Engine. Ik denk dat CDPR best blij geweest als ze af en toe eens konden kijken bij GTA V hoe zaken zijn geïmplementeerd

[Flagg]

Ze zijn helemaal niet gehacked.

Ze staan zover in de min dat ze zo proberen om nog íets te verdienen aan cyberpunk.

[liberque]

Beetje late reactie maar kon het niet laten:

Met de broncode wordt het inderdaad erg makkelijk om een cheat te maken, maar kan je ook eenvoudig de phone home sectie van het spel opzoeken.

Nu download Speler X de cheat die jij als bezitter van de broncode heb gemaakt. Hij installeert deze en heeft god mode aanstaan. Echter zonder dat hij het weet wordt de phone home sectie ook aangepast. Het spel maakt plots verbinding met een hele andere server.

Deze server roept aan Speler X: hey joh.. ik heb een update. Speler X installeert die en bah bah wat is die update bagger: het spel loopt opeens een stuk trager. In de tussentijd is zijn PC lekker een cryptovaluta aan het minen of onderdeel van een botnet. Speler X denkt dat het trage door zijn cheat komt en verwijdert die, maar nog steeds is het spel een stuk trager. Buggie rotspel

[maxkranendijk]

Tjah, mocht dit kunnen, dan haal je toch je (online) spel offline. Is dit al een keer voorgekomen?

[liberque]

https://www.google.com/am...nto-cryptocurrency-miners

Het is al voorgekomen in een game, in gaming platforms en zelfs online. De term ervoor is cryptojacking en een ervaren gebruiker kan het spel dan wel offline halen (eg firewall of hosts file aanpassen), maar dat stopt het minen an sich natuurlijk niet.

[Geekomatic]

Mijn vraag is: Wat heb je er aan, zonder de bijbehorende ontwikkelaars?
Closed-source van besturingssystemen / firmware kun je nog gebruiken om te hacken.
Maar deze code ga je echt niet hergebruiken in een nieuw spel ofzo,
want je wordt dan snel betrapt.

[Reactie gewijzigd door Geekomatic op 22 juli 2024 18:38]

[Craftypiston]

Maar deze code ga je echt niet hergebruiken in een nieuw spel ofzo,
want je wordt dan snel betrapt.

Ik denk dat we vast wel wat landen kunnen bedenken waar er niet bepaald zo moeilijk over rechten word gedaan waar tevens ook genoeg klandizie te vinden is

[Geekomatic]

Die landen zijn er vast wel.
Maar een goed (door)ontwikkel team neerzetten kost serieus geld en tijd.
Om die kosten er uit te halen moet je miljoenen exemplaren verkopen, dus ook aan "serieuze" landen.
Wanneer die laatste zien dat het gejat spul is, gaat de verkoop niet door.

[Risce]

Het voelt toch een beetje moeilijk om te geloven dat die data uiteindelijk verkocht is. Wie gaat er zoveel geld betalen aan een anonieme en onbetrouwbare partij die dit bovendien gestolen heeft. De 'bevestiging' van KELA is meer dat zij ook het bericht hebben gelezen dat de hackers zeggen dat de data verkocht is.

[telenut]

Wie koopt dit nu? En zeker voor zoveel geld....
Als je er zo veel voor over hebt, koop je beter een developer van het originele spel. Heb je maar aan dan aan de code toch.

[MeMoRy]

Er is echt heel veel bedrijfsspionage in de wereld. Echt de meest futiele dingen als driverbordjes voor ledlampen worden gekopieerd. Nee, voor een game development bedrijf is dit goud.

[gedonie]

Een game bedrijf heeft weinig aan deze code. Een game engine licentie afnemen is goedkoper, en er zijn betere engines in de wereld. Daar komt nog bij dat ze de code niet 'as is' kunnen gebruiken. Dit is namelijk te herleiden en dan mag je jezelf in de rechtbank verantwoorden.

Daar komt nog bij dat de code zonder assets waardeloos is. Als je alle assets nog moet gaan maken kost je dat een sloot geld.

[MeMoRy]

Zijn de assets niet gestolen dan?
Verder valt er altijd wel wat te leren van andermans code. Zeker deze, van uitgegeven trippleA games.
Misschien zijn er betere engines, maar van deze is de broncode te koop.
En je hoeft code niet 1-op-1 over te nemen. De algoritmes en gedachten bekijken is ook al veel waard.
De koper heeft er niet voor niets veel geld voor betaald.

[thof]

Wel interessant om te zien dat er een ".vs" folder aanwezig is in de ZIP-file.

Deze komt normaal gesproken niet in je repository terecht, dus het lijkt er op dat de hack heeft plaats gevonden op een machine die source files heeft en Visual Studio. Dan denk ik dus aan een developer machine dan wel build agent.

[NZwaal]

Wel een interessant idee dat er dan mogelijk private keys in de data zouden kunnen zitten. Dan zou je elk programma dat je compileert kunnen voordoen als 'afkomstig van CDPR/gog.com'.

[Skywalker27]

Precies dat voor supply chain attacks. Gamers krijgen dan een update met maleware.

[bzuidgeest]

Ik vraag mij ook af wat iemand er mee moet...

Als het om oudere games ging die niet meer worden verkocht zou ik nog kunnen denken dat een "fan" de source wil publiceren voor archief en onderhoud.

Maar met recente games is het weinig waard denk ik. Je kunt het hier niet gebruiken, word te makkelijk herkend. Wellicht wat schimmige Aziatische of Russische game studio's die alleen in eigen markt iets willen doen?

Zelfs als er een store of crafting systeem is om uit te buiten, dat word dan toch gepatched of gesloten voor je er 7 miljoen uit hebt....

Dat iemand het koopt geloof ik wel, maar voor miljoenen?