Недавно наткнулся на Bug Bounty от социальной сети love ru, в которой вроде как зарегистрировано ~40 млн пользователей.

Стало интересно 👨‍💻. Скачал моб. приложение на iOS и начал перехватывать трафик. Почти сразу выявил довольно интересный баг — API для моб. приложений сливает координаты (широту и долготу) всех пользователей, а значит, можно узнать точное местоположение любого пользователя.

К примеру, за аналогичный баг, американская соцсеть Bumble выплатила $2000.

Отправил отчет о баге в поддержку, как положено. Наличие такой уязвимости их совсем не удивило, сказали, что когда-то это исправят, а платить мне вообще не стали 🙄

Зашел в свой WhatsApp через Telegram 😄

😓 Добавил возможность запуска веб-ботов для заказа еды в свой конструктор @gobot

🍔 Тестовый бот: @foodz_bot

❤ Telegram официально запустил аукционную платформу Fragment для покупки и продажи юзернеймов.

Пока можно только покупать, но через несколько дней обещают предоставить возможность для пользователей — продавать свои юзернеймы.

На моем старом юзернейме @auction запустили канал для информирования пользователей.

Придется наблюдать за тем, как отжатые у меня юзернеймы будут продаваться на аукционе 😖

Школьники нашли баг, позволяющий бесплатно дарить подписку Telegram Premium 🌟

По их словам, за 2 месяца сумели продать уже более 100 тыс. подписок и заработать на этом более $500 000.

Оказывается, что при покупке премиума через App Store — недостаточно проверяется оплата на серверной стороне Telegram.

Кстати, баг все еще активен 🤫

Загляни в комментарии

⛔️ Только что пофиксили.

Пока школьники в течение нескольких месяцев продавали премиум подписки — Телеграм потерял потенциальные несколько миллионов долларов.

Но почему не фиксили раньше?

Вся команда Телеграма была занята все это время, они занимались отжатием юзернеймов у своих пользователей.

Только что завершился аукцион по юзернейму @pasta.

Когда-то этот юзернейм был моим, но мне он особо не нравился и я отдал его тогда своему старому знакомому, который впоследствии его потерял. Сегодня обнаружил его на аукционе — и вот только что он был продан.. за $91000 😨

Идет ожесточенная борьба за юзернейм @kasta

Последняя ставка: ~200000 руб.

Прикол в том, что 2 года назад я его продал за 1500 руб. 🤬

Пруфы в комментариях

👨‍💻 Искал кое-какую информацию в поисковике, гугл выдал в результатах довольно интересную ссылку, которая содержит более 12000 текстовых файлов со сливами логинов и паролей разных сайтов по всему миру.

Почти во всех из них — пароли вообще не зашифрованы. Если хорошо почекать, можно наткнуться на что-то интересное там.

Делюсь ссылкой с вами: https://www.selx.io/DataBaseLeaked/database/

😎 Поставил крутой юзернейм на один из своих аккаунтов Ram Test

😂 Запустил еще и канал

🤑 Ставки делаем в коммах

Осталось всего 20 часов до окончания моего первого аукциона.

@lenta — единственное, что я сумел сохранить в течении этих 7 лет.

Последняя ставка пока не такая уж и аппетитная, правда? 🥪

https://fragment.com/username/lenta