чутка уточню технические подробности:

со слов сео мони - это был легаси бакет, на котором не предполагалось хранение нда инфы.

я также считаю этот сценарий трущным, ведь практически никакой инфы там не было, кроме кучи ассетов и тех самых двух вещей (личная инфа дева + какие-то адерсы валетов). я не занимался изучением их инфраструктуры во всех подробностях, а просто провёл небольшой первичный аудит.

основная уязвимость заключалась в листинге бакета - кто угодно мог открыть и просмотреть все файлы, находящиеся там, а также в возможности загрузки файлов на этот бакет через сваггер апи.

любой продукт технически уязвим, просто многие уязвимости экономически невыгодно эксплуатировать.

я как пентестер, занимаюсь поиском тех уязвимостей, что слишком дёшево / финансово выгодно эксплуатировать.

хаком может называться обычный dom-based xss, хаком может называться полноценный RCE, хаком может называться эксплойт, который повлёк потерю огромного количества денег.

я веду к тому, что существует подмена понятий и именно она и произошла в сегодняшней ситуации с мони, из-за людей, не читающих дальше первой строчки.

всем понимающим спасибо, непонимающих прошу ознакомиться с текстом выше.

всех обнял, всем удачи!