Hackean Créditos y Diamantes

Hoy os contaré la que sin duda es una historia increíble en la que podremos ver lo nunca visto, dos usuarios que consiguieron Hackear los créditos y diamantes de todos los hoteles. Por suerte este fallo solo afectó a dos hoteles, Habbo.com y Habbo.nl aún que  podían haberlo hecho también en Habbo.es

No puedo mostrar el post original ya que entran muy en detalle sobre lo que hicieron para hackearlo y esto podría dar más pistas sobre como volver a hacerlo pero os contaré cosas no tan comprometedoras de una forma simplificada.

Todo comienza en Enero del año 2017, tenemos a dos usuarios que son devilll (Matthew) de Países Bajos y Kenny de Bélgica (El dueño de un foro de scripting llamado Sulakore) que por cierto ya cerró.

Una vez vista la introducción contaré todo como lo contaron ellos, evidentemente como dije arriba hay cosas que no se pueden mostrar, pero este método obviamente ya está parcheado para los curiosos.

Día 1: Kenny y Matthew estaban hablando sobre que ya había conseguido Hackear compañías muy grandes y nunca habían hecho nada en Habbo y dijeron ¿Por que no intentamos Hackear Habbo?

Matthew empezó a buscar xploits en la web de Habbo y en unas horas encontró varios xploits pero ninguno para poder obtener Créditos y Diamantes de forma ilimitada.

Después entró en la sección de Ganar créditos y pensó que ahí tenía que atacar, pensó que muchas veces se habían encontrado formas de obtener créditos gratis mediante xploits pero nunca de manera ilimitada a gran escala.

Vio que solo había un iframe en la encuesta de una página llamada Offertoro. Creó una cuenta en Offertoro y intentó invertir el funcionamiento del servidor, creó un script que le enviase los Cookies de la persona que abriese la página.

Le envió esta página al dueño de Offertoro con la intención de robarle los Cookies y obtener sus inicios de sesión, ese día el dueño de Offertoro no entró en la página así que empezó a darse por vencido.

Más tarde su amigo Kenny encontró un xploit en la propia página de Habbo, que le daba 590 Créditos y diamantes totalmente gratis, pero este método requería 10 minutos para poder conseguir los 590 Créditos y diamantes, además de que a veces fallaba.

Ellos querían encontrar algo mejor que poder obtener 12 Lingotes cada 10 minutos.

Día 2: Matthew se despertó y recibió las Cookies del dueño de Offertoto en su correo, las ingresó en su navegador y visitó la página de administración de Offertoto y ahí lo tenía.

Buscó Sulake en el panel de administración y encontró las APIs. Comenzó a aprender el funcionamiento de la API leyendo documentos y intentó enviarse créditos a si mismo.

(He tenido que censurar algunas partes)

El sistema funcionaba de la siguiente manera, cuando un usuario completa una encuesta en Habbo Offertoro le dice a Habbo a través de una URL especial que el usuario ha completado la encuesta, Habbo comprueba si es una solicitud válida y en caso afirmativo le da los créditos y diamantes.

(He tenido que censurar algunas partes)

Al hacer todo esto obtuvo un enlace similar a este, que ha sido modificado para no revelar datos del servidor de Habbo.

https://pagos.paginaweb.com/pagos-integrados/online/webnl_offers_offertoro_nl/service/offerCallback?id=1256&oid=3454&;amount=8000 & currency_name=HabboCreditos%20Credits&user_id=s-hhnl-3854bbbe7f0f34i9f59it6cefc6261&payout=1&o_name=Google%20App&sig=62d151d57d7950555bbf44289645538d&ip_address =89.0.0.1

Como podéis ver la parte turquesa del enlace no cambia, mientras que la verde podría ser modificada. Cambiando el ID del usuario que seria en este caso: s-hhnl-3854bbbe7f0f34i9f59it6cefc6261 podían seleccionar que usuario es el que recibe créditos, desde Habbowidgets por ejemplo es posible ver este ID de cada usuario.

En donde dice amout=8000 está el número de créditos que recibiría el usuario y este número también podían ponerlo negativo, lo que significa que podían quitarle créditos a cualquier usuario solo con su ID, en caso de que los tuviera canjeados en el catálogo.

Como todos sabéis al comprar por ejemplo 590 créditos y diamantes recibimos más o menos el doble de diamantes. Esto solo ocurre con cantidades grandes, cuando compras por ejemplo 90 créditos y diamantes no te dan tantos.

Aquí podéis ver una prueba de cuando Matthew lo probó por primera vez en Habbo.nl y le funcionó:

Después de haber descubierto todo esto Matthew empezó a comprar todos los Mega Rares que pudo en su hotel que es Habbo.nl y Kenny hizo lo mismo en Habbo.com

Aquí podéis ver los furnis que compró Kenny en unos minutos del mercadillo de Habbo.com así como algunos canjeables de diamantes que compró en el catálogo.

Mientras en Habbo.nl Matthew compró su primer Eid Mubarak que es el Mega Rare más caro de Habbo.nl

Después de haber empezado ya sabían que tarde o temprano les terminarían baneando así que Matthew le dio muchísimos Mega Rares y créditos a amigos suyos. Lo hacía por ejemplo comprando algún LTD de 100$ a 25.000$ ya que no podían banear al que había puesto el LTD en venta.

Aquí podéis ver una conversación entre Matthew y Mika (también un scripter) por Telegram, está en Holandés

En esta conversación Mika le está diciendo que algunas personas estaban comprando Thrones a 1000 - 1300$ y que solían estar a 350$ que el entraría a jugar a Habbo.com

La gente empezó por salas a comprar tronos a 500$ para meterlos en mercadillo a 1000$ y muchísimos usuarios en minutos ganaron miles de créditos con esto.

Matthew empezó a comprar todos los Eid Mubarak de Habbo NL y a comprar cientos de Mascotas, Bots etc... todo por diversión, ya que nunca había podido hacer eso.

Aquí podéis ver como iba la sala de Matthew:

El cuenta que le vendió todos los Eid Mubarak a un usuario de Habbo.nl llamado Robertinie11 a 1800€ y después de haberselos vendido se los volvió a comprar en Habbo a muchos más créditos de lo que valían antes.

Por la noche una persona avisó a Macklebee

Que para los que no sepáis quien es, es un antiguo Scripter de Habbo que fue contratado por Sulake después de crear un programa script llamado "Lemon Packetlogger"

El se encargaba de la seguridad de Sulake en todos los hoteles programando diferentes cosas.

La gente estaba comprando Trones en Habbo.com a mucho más de 1000 créditos, ni siquiera eran ellos. Los usuarios empezaron a comprarlos tan caros para poder revenderlos a mucho más pensando que subirían.

Macklebee investigó que estaba sucediendo y descubrió que habían hackeado a Offertoro, bloquearon el mercadillo y los cambios en Habbo.com

En este momento Matthew empezó a comprar todo lo que pudo en Habbo.nl ya que este aún no había sido cerrado y le pasó millones de créditos a sus amigos.

30 Minutos después de bloquear el hotel de Habbo.com bloquearon también el de Habbo.nl

Aquí podéis ver los Trones que compró Kenny en Habbo.com que fueron 261 Trones, todos los que pudo:

Una o dos horas más tarde banearon a Kenny y Matthew sus cuentas principales y dejaron bloqueado el mercadillo, pero no los tradeos y el siguió pasando créditos con otras cuentas a amigos suyos.

Esta es la última captura de la sala de Matthew antes de que Habbo le banease y le quitara todo de sus salas. 

Después de todo esto Matthew respondió algunas preguntas que supuso que le harían los usuarios después de revelar todo esto:

¡Eres estúpido! ¡Debería hacer esto silenciosamente y vender todo para ganar mucho dinero! 

No. Habbo no es el único sitio que usa Offertoro :-). Tal vez no hicimos tanto como pudimos en Habbo pero ganamos más dinero en un mes de otros sitios de Offertoro que lo que ganan tus padres en un año :-). Además, joder Habbo. Nos divertimos ese día y arruinamos la economía bastante mal. También todavía hay un montón de furni en cuentas. 

En resumen consiguieron muchísimo dinero de otras páginas de las que habían obtenido las APIs gracias a Offertoro y aquí finaliza esta gran historia.

La culpa realmente no ha sido de Habbo, sino de Offertoro y actualmente no se puede hacer por suerte, si hubiera pasado esto en nuestro hotel habría destrozado la economía como pasó en Habbo.com y Habbo.nl

Aquí podéis ver el precio de un Throne en Habbo.nl

Sin duda la economía de este hotel quedó destrozada y muchos Mega Rares únicos baneados, al igual que en Habbo.com donde no afectó tanto pero si se nota el cambio.

Espero que os haya gustado esta historia que es real y estoy casi seguro de que nunca la habíais escuchado ya que no afectó a nuestro hotel. También es importante decir que los precios en otros hoteles de Habbo son muy diferentes, por ejemplo mientras que en Habbo.es los infobuses cuestan 3000 Lingotes en Habbo.fi apenas 30$

Aquí podéis poner lo que pensáis sobre esto, ¿Que habrías hecho tu si fueras Kenny y Matthew?