Leí el Código Fuente de Honey

El presentador explica que analizará el código fuente de Honey, una extensión de Chrome para cupones, porque todo su código está disponible públicamente. Menciona que puede revisar las alegaciones hechas en videos de YouTube y verificar si realmente están ocurriendo estos comportamientos cuestionables. Además, puede examinar cómo el código ha evolucionado con el tiempo para determinar si los ingenieros han hecho cambios deliberados para mejorar estos comportamientos problemáticos. Introduce un extracto de tres minutos de un video revelador sobre Honey para proporcionar contexto sobre las acusaciones de robo de comisiones a influencers y el uso selectivo de políticas de repliegue.

Se muestra evidencia de cómo Honey se comporta de manera diferente según el estado de la cuenta del usuario. El video demuestra que cuando se visita Newegg.com sin enlace de afiliado, Honey aparece ofreciendo reembolso, pero con un enlace de afiliado, Honey se desactiva correctamente. Sin embargo, al probar con dos navegadores simultáneamente usando diferentes cuentas de Honey, la cuenta sin puntos se desactiva apropiadamente, mientras que la cuenta con puntos de recompensa acumulados NO se desactiva, robando así la comisión del afiliado. Esta demostración evidencia que Honey elige selectivamente cuándo aplicar las reglas de repliegue basándose en si el usuario tiene puntos de recompensa.

El presentador explica su metodología para revisar el código de Honey, comenzando desde versiones de febrero de 2019 hasta la versión actual 1901. Su objetivo principal es determinar si el código problemático simplemente quedó abandonado (como sucede en muchas empresas grandes) o si hubo cambios significativos e intencionales a lo largo del tiempo. Menciona que usará IA para buscar a través del código minificado a velocidades sin precedentes. También explica que mostrará sus hallazgos en una pizarra para evitar problemas de derechos de autor, ya que aparentemente los abogados de PayPal están demandando a quienes muestran el código directamente.

La versión 11 de 2019 contenía lógica de repliegue (stand down) con archivos JSON que incluían campos como UP (puntos de usuario), ADB (última vez que se usó bloqueador de anuncios) y estado de inicio de sesión. El código usaba una declaración switch gigante con verificaciones explícitas, incluyendo una verificación turbia que bloqueaba cualquier correo que contuviera la palabra 'test', evitando así que afiliados pudieran probar si sus enlaces funcionaban correctamente. El sistema tenía verificaciones codificadas de forma rígida para proveedores específicos como LinkShare (LS), y procesaba reglas en un bucle que verificaba cada una, desactivándose si alguna fallaba. Esta estructura rígida era típica de proyectos iniciales con pocos proveedores.

Entre las versiones 11 y 14 (hasta 2022), el código se mantuvo relativamente constante sin cambios significativos. Sin embargo, comenzando con la versión 16 en 2024, se realizó una refactorización robusta que permitió impulsar decisiones desde un endpoint en Honey. Este nuevo sistema envía un objeto JSON complejo con valores base y valores específicos bajo diferentes categorías. El cambio representa una transición de código rígido con múltiples declaraciones if a un sistema más dinámico y configurable basado en datos del servidor, demostrando una evolución deliberada hacia mayor sofisticación técnica.

El sistema refactorizado de 2024 funciona estableciendo una clase base que determina comportamientos predeterminados, como requerir 65,000 puntos de usuario para no desactivarse (usuarios sin iniciar sesión tienen 0 puntos, por lo que Honey se desactiva). Luego el sistema verifica de qué red de afiliados llegó el usuario y envuelve el objeto base con valores específicos del proveedor. Por ejemplo, si viene de LinkShare, reduce el requisito a solo 5,001 puntos. Además, el sistema incorpora valores específicos de tiendas individuales bajo la sección 'X'. Esta ingeniería más sofisticada reemplazó las declaraciones if codificadas rígidamente con un sistema auténtico de expansión de objetos basado en configuración JSON, haciendo el sistema más fácil de mantener y más robusto.

El presentador concluye que los cambios a lo largo del tiempo demuestran clara intención detrás del sistema. En 2024, los desarrolladores hicieron el sistema más robusto, mejor y más mantenible, pasando de código hacky que existió por casi una década a un sistema de ingeniería de software apropiado. Pueden ahora tomar decisiones sobre más tiendas y proveedores de manera más fácil. Aunque el presentador no puede declarar si esto es fraudulento legalmente, puede afirmar con certeza que las decisiones han sido hacer el sistema turbio mucho mejor y más sofisticado. Esta evolución deliberada contradice la posibilidad de que sea simplemente código antiguo olvidado.

El presentador encontró algo inesperado: referencias constantes a 'VIM' en el código, que resultó no ser el editor de texto sino un 'gestor de instancias VIM'. Al investigar, descubrió que Honey contiene un motor completo de JavaScript ejecutándose dentro de JavaScript. Este hallazgo lo describe como 'lo más extraño que he visto jamás' en su carrera. La extensión utiliza Acorn, un analizador de JavaScript que produce un AST (árbol de sintaxis abstracta) a partir de código JavaScript válido, y luego alimenta este código al motor VIM para ejecutarlo. El presentador admite no ser experto en desarrollo de plugins de Chrome y no entender inicialmente por qué alguien ejecutaría JavaScript dentro de JavaScript.

Dentro del código hay referencias a objetos llamados 'cart ops retrieval JS' y 'product ops retrieval JS' que a veces contienen código JavaScript real. Aunque el presentador no pudo activar este código mediante puntos de interrupción durante sus pruebas, el aparato existe completamente configurado. Esto significa que Honey tiene la capacidad técnica de ejecutar código remoto en la máquina del usuario basado en lo que sus servidores devuelvan, de manera muy ofuscada. Este sistema de JavaScript dentro de JavaScript, con su propio analizador y máquina virtual, representa una capacidad extremadamente preocupante. Además, hay secciones con funciones convertidas en cadenas de texto y JavaScript en línea para buscar en páginas web.

Técnicamente este sistema no viola los términos de servicio antiguos de Google porque las funciones vienen incluidas con el producto en lugar de ser descargadas remotamente. Los requisitos de Manifest V3 prohíben usar JavaScript eval, así que Honey evita esto codificando de forma rígida operaciones que no quiere que otros plugins detecten, luego usa un motor completo de JavaScript para ejecutarlas y ofuscar aún más sus acciones. Irónicamente, el documento V3 específicamente menciona 'construir un intérprete para ejecutar comandos complejos obtenidos de una fuente remota', y Honey argumenta que estas no son cosas remotas sino cadenas disponibles dentro de la extensión. Sin embargo, el presentador considera esto pura ofuscación y algo muy extraño sin razón justificable.

Aparentemente este sistema inusual existe debido a interacciones con otras extensiones, específicamente bloqueadores de anuncios. Los bloqueadores de anuncios podrían bloquear la extensión de Honey si ejecuta directamente ciertas funciones, pero de alguna manera a través de este intérprete extraño, Honey logra ejecutar operaciones que evitan ser detectadas. El presentador admite no comprender completamente esta justificación y la considera un desastre total. Enfatiza que nunca había hecho ingeniería inversa ni revisado código fuente minificado de otra persona antes. Describe esto como quizás la ingeniería más inusual que ha visto en su vida, incluso comparándola con bases de código de más de 10,000 líneas de máquinas de estado imposibles de mantener.

El presentador concluye que este es el artilugio más complejo nivel 'máquina de Rube Goldberg' que jamás haya visto. Resume que las reglas dinámicas para el sistema de desactivación son robustas y, cualquiera que sea su propósito (fraudulento o no), han sido diseñadas para ser controladas dinámicamente mediante JSON por tienda, por proveedor y por usuario. Da un saludo especial a MegaLag, con quien pudo conversar y quien lo ayudó revisando algunas cosas, recomendando ver sus videos que están enlazados en la descripción. Pregunta a la audiencia si les gusta este formato nuevo de contenido basado en streams, invitándolos a su canal de Twitch. Termina con un anuncio humorístico de café de terminal.shop, bromeando sobre pedir café por SSH y mencionando suscripciones y contenido exclusivo.