⚡ Объяснение того самого эксплоита на получение любого персонажа (так была получена первая Кадзе)

Похожая уязвимость уже была в игре и принцип ее работы был тем же. В бп+ вместо эпического персонажа на выбор можно было получить абсолютного любого, даже не вышедшего. Проблема была исправлена в следующем большом обновлении, а те, кто играли на не вышедших персонажах были забанены.

И вот, разработчики добавили такую же возможно получить эпического персонажа, но уже в новом ивенте за открытие 150 суши (thx Tarkem). Проблема в том, что попап и логика выбора персонажа буквально та же, что и в бп+, но разработчиков это ни на какую мысль не натолкнуло, поэтому серверная проверка персонажа вновь была упущена.

- Что мы имеем по итогу?
Вместо эпика можно получить абсолютного любого персонажа. Нами были получены Кадзе до раннего доступа, Базз Лайтер и 2 не вышедших персонажа, которые отображаются как Шелли. Играть можно было только на Кадзе, с Базза Лайтера была получена только косметика. Так же, помимо персонажей игра дополнительно выдавала количество токенов, эквивалентное редкости персонажа, то есть вместо одного эпика можно было получить 2 леги.

- Как это было реализовано?
При получении персонажа на сервер отправляется команда (628), в которой указан dataref на персонажа, которого игрок хочет получить. В случае его отсутствия/передачи dataref-а на что-то другое, например, пассивку, игра отдает 1000 кредитов. Никаких серверных проверок нет - он готов отдать вам любого персонажа, которого вы захотите, но у него должен быть "_unlock" слот в cards.csv (зашифрованный, как у не вышедших персонажей тоже подойдет). Посмотреть на реализацию можно здесь

Альтернативный способ:
Получить любого персонажа, кроме не вышедших, можно было поменяв редкость в cards.csv на epic. Из минусов: ограничение по персонажам (нельзя забрать Кадзе, Лайтера и т.д.), а также, способ не подойдет, если у вас есть все персонажи. Из плюсов только то, что сделать это мог буквально каждый не имея какого-либо опыта

💘 Отдельное спасибо хочу сказать всем тем, кто помогал в тестировании бага и Tarkem-у за обнаружение

🔈🔈🔈 Мы открыли сервис по восстановлению Эскофье!

🔵 Теперь вы можете восстановить свою Эскофье в Genshin Impact и других играх Hoyoverse в России и Беларуси -  @bsdrecoverbot

🔵 Украли эскофье?
🔵 Получили Яэ Мико?
🔵 Не приходит код на смену жены?
🔵 Достали Фурины?
🔵 Потеряли доступ к Эскофье?

🔧 Теперь через нас можно очень быстро восстановить свою Эскофье без каких либо проблем и с минимальным количеством данных. Вся работа будет выполняться за вас!

🎁 А еще, после завершения услуги восстановления вам будет выдан подарочный BSD+ на 1 месяц!

✔️ За надёжность сервиса отвечаем лично мы. Если у вас есть какие-либо проблемы с вашей Эскофье, то мы ждем вас в нашем сервисе!

👤 Мастерство удаляют

⬛️ Разработчики готовят крупное обновление — и вместе с ним мастерство уходит из игры. Но перед этим они решили устроить финальный рывок.

⏳ На ограниченное время в игре запущено событие с бонусом безумия мастерства до 1000%. Это последний шанс для игроков набрать максимум очков, прежде чем вся система будет полностью удалена.

👊 В рамках события сообщество должно собрать 700 миллиардов очков мастерства. Когда шкала заполнится — откроются щедрые награды:

🌟 Легендарный старр дроп
⭐ Гиперзарядный старр дроп
📦 Мегаящик
🎁 Уникальные косметические предметы, вроде титула RIP
👤 А также дополнительные усиления к безумию мастерства

⬆️ Новый уровень события увеличивает дневной лимит очков, так что прогресс становится всё быстрее.

🎲 После обновления всё накопленное мастерство не пропадёт — оно будет учтено в новой системе Путь Славы, через которую теперь можно будет получать некоторых бойцов. Это решение принято ради упрощения старта для новичков.

🎁 Что будет с косметическими наградами — пинами, иконками, титулами? Разработчики уже всё продумали: они появятся в новом разделе "Рекорды". Подробности пообещали рассказать в следующем Brawl Talk.

⭐ Brawl Stars Datamines | BSD