✨︎ Resumen (TL;DR):
- CyberLeek pide 400 XMR antes de abrir un chat de Session para negociar anuncios o videos personalizados.
- Arweave conserva los archivos, pero dominios, nombres de ArNS y gateways de ar.io pueden bloquear sus rutas de acceso.
- La arquitectura muestra experiencia técnica, aunque no demuestra que CyberLeek sea un grupo, tenga GTA 6 completo o sea imposible de rastrear.
CyberLeek convirtió las filtraciones atribuidas a Grand Theft Auto VI, GTA 6, en un canal de distribución y cobro. Su página combina Arweave para alojar archivos, Session para el contacto y Monero para pedir 400 XMR antes de negociar publicidad o videos personalizados. La mezcla complica retirar el material desde un solo punto, pero no demuestra que haya un grupo detrás, que el alias tenga el juego completo o que haya ejecutado una intrusión técnicamente avanzada. Take-Two ya busca registros de Microsoft y Discord para identificar a presuntos infractores.
De los clips filtrados a un canal de cobro
Los primeros clips aparecieron el 18 de agosto de 2026 y mostraron escenas que parecían pertenecer a GTA 6. Una grabación posterior añadió un detalle deliberado: quien controlaba al protagonista ejecutó una acción para escribir el alias CyberLeek dentro del juego.
Ese gesto apunta a acceso interactivo a alguna versión jugable. No revela, sin embargo, cómo se obtuvo el material ni hasta dónde llegaba ese acceso. Rockstar no ha confirmado públicamente el origen de la filtración.
La evidencia disponible permite hablar de una versión funcional bajo control de quien grabó el clip. No permite afirmar que exista una descarga pública, un build completo verificado, la copia final del juego, el código fuente o acceso continuo a los sistemas de Rockstar.
Después apareció el componente comercial. PC Gamer y GamesRadar revisaron una sección de contacto que ofrecía colocar marcas de anunciantes en futuras filtraciones y producir grabaciones a pedido.
La transferencia de 400 XMR no compraba un anuncio. Solo prometía que CyberLeek iniciaría una conversación en Session dentro de las siguientes 24 horas; los términos y el precio final quedarían para el chat.
Entre el 21 y el 22 de agosto de 2026, distintos medios estimaron el valor de 400 XMR entre US$162,000 y US$165,000.
El giro comercial tensiona el manifiesto con el que CyberLeek dice defender los derechos de los jugadores. Los videos también promocionaron un token en Solana y vincularon la continuidad de las publicaciones con su actividad.
No existe una determinación oficial de que el token sea una estafa. Tampoco hay información verificable sobre el supuesto proyecto secreto que financiaría ni sobre quién controla la operación.
Una arquitectura con varias capas
El sitio no depende de una sola pieza. Cada servicio cumple una función distinta y deja una superficie diferente para el acceso, el contacto o la investigación.
- Contenido: Arweave es una red de almacenamiento que asigna a cada carga un identificador de transacción inmutable. Archivos estáticos, como HTML, JavaScript, imágenes y manifiestos, pueden quedar asociados a ese identificador.
- Acceso: dominios convencionales, nombres de ArNS y gateways de ar.io convierten esos identificadores en páginas que un navegador puede abrir.
- Contacto: Session es un sistema de mensajería que crea una identidad sin correo ni número telefónico y transporta mensajes cifrados de extremo a extremo mediante una red distribuida.
- Pago: Monero es una criptomoneda que oculta públicamente el remitente, el destinatario y el monto mediante firmas de anillo, direcciones sigilosas y Ring Confidential Transactions.
- Promoción y monetización: el token de Solana, los clips, los códigos QR y las comunidades donde circulan amplían el alcance, pero agregan registros públicos y servicios centralizados.
Un dominio o espejo puede depender de un proveedor de hosting tradicional, mientras los archivos que entrega están guardados en Arweave. Derribar el dominio interrumpe una entrada, pero no necesariamente elimina el paquete web subyacente.
La relación funciona en ambos sentidos. Mantener el paquete en la red no conserva automáticamente los dominios, nombres, gateways y servicios auxiliares que permiten encontrarlo. La arquitectura puede resistir el cierre de un punto sin mantener disponibles todos los demás.
Session genera una cuenta desde el navegador
Los reportes sobre la página describen un botón que genera datos de contacto y muestra un Recovery Password de Session. Ese término corresponde a una frase mnemónica de 13 palabras que representa la clave privada de largo plazo de una cuenta. Session deriva de ella el par de claves y el Account ID que otras personas usan para iniciar una conversación.
La generación puede ocurrir dentro del navegador, sin registrar previamente la cuenta en una base central. Si el JavaScript cargado en la página crea la entropía y deriva las credenciales localmente, el visitante podría restaurar esa cuenta en la app mediante la frase mostrada.
Hay una reserva: los medios confirmaron que la interfaz muestra una frase de recuperación, pero no publicaron una auditoría independiente del código. Sin esa revisión, no se puede probar que todo suceda localmente, que no existan llamadas externas o que la frase nunca salga del dispositivo.
Una página puede ejecutar criptografía en el cliente y enviar datos a otro servicio al mismo tiempo. Del mismo modo, la ausencia de una base de datos visible no demuestra que no existan registros en gateways, proveedores de red, billeteras o dispositivos.
Session protege el contenido de los mensajes y oculta la dirección IP frente a sus nodos mediante onion routing. Eso no vuelve invulnerable a quien la usa. En agosto de 2026, la propia fundación de Session indicó que su protocolo V2, diseñado para reintroducir Perfect Forward Secrecy y añadir protección poscuántica, seguía pendiente de pruebas.
La versión actual comparte una clave de largo plazo entre los dispositivos vinculados. Perder la frase o comprometer uno de esos dispositivos sigue siendo un riesgo real para la cuenta.
Los 12 decimales no contienen un Account ID completo
La explicación difundida sobre el pago sostiene que la página agrega 12 decimales a los 400 XMR y usa esa fracción para que CyberLeek reconstruya el Account ID de Session al recibir el pago. El mecanismo general es plausible como sistema de conciliación: Monero admite 12 posiciones decimales y la billetera receptora puede ver el monto de sus entradas, aunque un observador de la blockchain no pueda leerlo.
El valor podría funcionar como un número privado de pedido. Quien paga conserva las credenciales de Session y envía una cantidad única. La billetera de CyberLeek detecta la entrada, lee la fracción y usa ese valor para localizar o derivar el canal al que debe escribir.
Ese método eliminaría la necesidad de publicar un Account ID junto al pago y evitaría que un tercero relacione ambos datos al revisar un explorador de bloques.
El número, sin embargo, tiene un límite matemático. 12 dígitos decimales representan un billón de combinaciones, equivalentes a unos 39.9 bits. Session explica que sus Account ID parten de 128 bits de aleatoriedad.
Por eso, la fracción no puede contener literalmente toda la identidad de Session ni su secreto criptográfico. Para que el sistema sea completamente determinista y no guarde una tabla, esos 12 dígitos tendrían que funcionar como una semilla reducida, un índice o la entrada para otra función conocida por el operador.
También podría existir una clave secreta adicional o algún almacenamiento fuera de la página. Sin el código exacto y una auditoría, no es posible decidir cuál de esas variantes utiliza CyberLeek. Un billón de valores alcanza como identificador de pedido para una operación con pocos contactos, pero no equivale a la entropía de una cuenta de Session.
La advertencia de no pagar desde un exchange también tiene una explicación concreta. Una plataforma custodial puede limitar los decimales, descontar la comisión de la cantidad solicitada o procesar el retiro con reglas propias. Cualquiera de esas condiciones rompería la coincidencia exacta.
Ese problema pertenece a la conciliación del pago, no a la criptografía de Monero. Además, un exchange puede conservar la identidad, la IP, el monto y el destino en sus registros internos aunque la blockchain pública no los muestre.
Arweave conserva el dato, no todos los accesos
Arweave se presenta como una red de almacenamiento permanente. Cada carga recibe un identificador de transacción y su contenido no se modifica en ese mismo lugar. Una actualización del sitio requiere otro paquete o identificador; un nombre legible puede apuntar después a la versión nueva.
Los gateways forman una capa diferente. Recuperan, indexan, almacenan en caché y sirven los archivos a navegadores normales. Wayfinder es un protocolo de ar.io que puede probar varios gateways, cambiar de ruta cuando uno falla y verificar que el contenido recibido corresponda al identificador solicitado.
Esa redundancia hace mucho más difícil lograr una retirada total que apagar un servidor convencional. No obstante, la documentación de ar.io permite que cada operador bloquee identificadores de transacción, nombres de ArNS y direcciones para cumplir sus políticas o las leyes locales.
La propia documentación describe como prácticamente imposible eliminar por completo un archivo ya cargado, pero reconoce la moderación voluntaria en cada punto de acceso. Un dominio también puede ser suspendido, un gateway puede filtrar el contenido y un proveedor de internet o un navegador puede bloquear la ruta.
Decir que el sitio es imposible de tumbar confunde la persistencia del dato con su disponibilidad para el usuario. El archivo puede seguir en la red mientras la mayoría de las puertas fáciles quedan cerradas.
Quien conozca el identificador y encuentre un gateway que todavía lo sirva conserva otra ruta. El público general, en cambio, puede encontrarse con interrupciones, errores o avisos de bloqueo.
Qué está confirmado y qué sigue siendo inferencia
La evidencia pública permite separar los hechos comprobables de las conclusiones que todavía no tienen respaldo suficiente:
- CyberLeek controla una versión jugable: Probable, pero no confirmado por Rockstar. La acción personalizada dentro del juego apunta a control interactivo, aunque no revela el origen ni el alcance del acceso.
- CyberLeek tiene el build completo de GTA 6: No demostrado. Los clips no prueban acceso a toda la historia, a los archivos finales ni al código fuente.
- Los 12 decimales contienen el Account ID: Incorrecto si se interpreta literalmente. Un valor de 39.9 bits no puede contener una identidad derivada de 128 bits; puede ser un índice o una semilla reducida.
- El sistema no guarda nada en un servidor: Técnicamente posible, pero no auditado. Una app estática puede derivar datos en el navegador, aunque no existe una revisión pública del código y de todas sus conexiones.
- Arweave vuelve imposible retirar el sitio: Exagerado. El dato es difícil de eliminar de toda la red, pero los dominios, nombres y gateways sí pueden bloquearse.
- CyberLeek es un grupo profesional: No hay evidencia suficiente. La marca usa lenguaje colectivo, pero la infraestructura está al alcance de una persona competente con herramientas abiertas.
La infraestructura no revela quién opera
La operación muestra planificación. Coordina la publicación de clips, una web estática, almacenamiento distribuido, mensajería cifrada, pagos privados y la promoción de un token. Es una combinación menos común que abrir una cuenta desechable y subir archivos a un servicio gratuito.
Nada de eso exige por sí solo un equipo. Arweave, ar.io, Session, Monero y Solana ofrecen documentación, clientes y bibliotecas abiertas. Una sola persona con experiencia en desarrollo web y criptomonedas puede integrarlos.
El uso de la palabra nosotros, una cadencia de publicaciones o una identidad visual consistente tampoco permite contar operadores. La sofisticación del escaparate dice todavía menos sobre el método con el que se obtuvo el material.
No se sabe si hubo explotación de una vulnerabilidad, credenciales robadas, acceso de un tercero, una fuente interna o la reventa de archivos adquiridos por otra persona. Llamar experto en criptografía a quien conecta herramientas criptográficas existentes tampoco prueba que haya diseñado criptografía propia.
La huella económica ofrece incluso una lectura opuesta a la de una operación invisible. Monero protege el nuevo canal de contacto, pero el token promocionado funciona en Solana, una red con movimientos públicos.
Las cargas de Arweave, el registro y la resolución de dominios, los proveedores de gateways, las plataformas donde se distribuyeron enlaces y cualquier conversión mediante un exchange pueden producir piezas de una cronología. Cada componente resiste un tipo de intervención y, al mismo tiempo, abre otra superficie de investigación.
Take-Two sigue los puntos centralizados
Take-Two presentó solicitudes de citación bajo el mecanismo de la DMCA para obtener datos de Microsoft y Discord. Los documentos del 20 de agosto de 2026 piden registros capaces de identificar cuentas relacionadas con la difusión del material, incluidos correos, teléfonos, direcciones IP, conexiones vinculadas y determinados identificadores de dispositivo.
También solicitan contenido relacionado con GTA, Rockstar o CyberLeek en servicios de Microsoft para las cuentas descritas. El alcance de la petición no demuestra que todas las cuentas o comunidades mencionadas pertenezcan a CyberLeek.
Una citación busca evidencia sobre presuntos infractores. No es una sentencia ni confirma la autoría de una intrusión. Sí muestra que almacenar el sitio en Arweave no vuelve irrelevantes a los servicios convencionales utilizados antes, durante o después de publicar.
Scott Van Vliet, director de tecnología de Xbox, declaró que Microsoft trabaja con Take-Two y Rockstar para proteger su propiedad intelectual. Las citaciones fijan el 4 de septiembre de 2026 como fecha de cumplimiento, según los documentos y la cobertura de The Verge.
Rockstar mantiene para el 27 de agosto su presentación extendida de GTA 6 en Netflix y YouTube. El lanzamiento oficial continúa programado para el 19 de noviembre de 2026 en PlayStation 5 y Xbox Series X|S.
La lectura técnica más defendible es menos espectacular que la versión viral. CyberLeek armó una infraestructura resistente y bien ensamblada, con un método para conciliar pagos privados y contactos desechables. Eso no acredita una organización numerosa, criptografía propia ni anonimato absoluto.
La misma operación que dificulta borrar sus archivos también multiplica dominios, transacciones, dispositivos y servicios. Esas piezas pueden terminar conectando el alias con una persona, justo la superficie que Take-Two intenta seguir mediante Microsoft, Discord y otros puntos centralizados.
