Eu Li o Código Fonte do Honey

O desenvolvedor apresenta sua proposta de analisar o código-fonte da extensão Honey do Chrome para verificar as alegações feitas em vídeos recentes sobre práticas fraudulentas. Ele explica que, por ser uma extensão de navegador, todo o código está disponível para análise detalhada. A vantagem dessa abordagem é poder observar a evolução do código ao longo do tempo e identificar se decisões ruins foram não apenas mantidas, mas ativamente aprimoradas pelos engenheiros. O objetivo é ir além das alegações e examinar evidências técnicas concretas de comportamento questionável no código.

Um trecho do vídeo de MegaLag é apresentado explicando como o Honey supostamente rouba comissões de influenciadores. As redes de afiliados implementam políticas de 'stand down' (recuo) para evitar que extensões de cupons roubem comissões sob a regra 'último clique ganha'. O vídeo demonstra que o Honey se comporta corretamente recuando quando um usuário sem pontos de cashback clica em um link de afiliado, mas não recua quando o usuário tem pontos acumulados. Essa diferenciação seletiva no comportamento do sistema de recuo é o centro da controvérsia. O desenvolvedor decide investigar se essa lógica realmente existe no código e como evoluiu ao longo do tempo.

O desenvolvedor explica sua metodologia de análise, obtendo múltiplas versões da extensão Honey desde fevereiro de 2019 até a versão atual. Ele usa IA para ajudar a pesquisar código minificado em velocidades antes impossíveis. A primeira descoberta confirma que a lógica de stand down baseada em pontos de usuário realmente existe no código. No entanto, a pergunta crucial não é apenas se existe, mas se mudou ao longo do tempo - se foi apenas código esquecido há anos ou se houve mudanças significativas e intencionais. O desenvolvedor enfatiza que em grandes empresas, código antigo frequentemente fica abandonado sem modificações, então é importante distinguir entre código legado e desenvolvimento ativo.

A análise da versão 11 de 2019 revela que o sistema de stand down já existia com lógica chamada 'SSD' (stand down logic). O código utilizava um arquivo JSON com dados incluindo UP (user points/pontos do usuário), ADB (ad block), e status de login. O sistema funcionava através de um switch statement gigante com casos hardcoded para diferentes situações. Uma descoberta suspeita foi uma verificação explícita que desabilitava o Honey se o email do usuário continha a palavra 'test', possivelmente para evitar que contas de teste descobrissem o comportamento real do sistema. O código verificava provedores específicos como Link Share (LS) e aplicava regras diferentes para cada um, passando por todas as regras descobertas em um loop e fazendo stand down se qualquer regra falhasse.

Entre as versões 11 e 14 (2019-2022), o código permaneceu praticamente constante com apenas pequenos ajustes e correções de bugs sem relevância significativa. No entanto, por volta da versão 16 em 2024, foi implementada uma refatoração robusta e fundamental. O sistema passou de verificações hardcoded para um sistema dinâmico controlado por endpoints do Honey que enviam objetos JSON com valores base, valores específicos de provedores, e valores específicos de lojas. Esta mudança representa uma evolução de engenharia de software significativa, transformando múltiplas declarações if em um sistema configurável e orientado a dados. A implementação de 2024 demonstra claramente intenção de longo prazo e manutenção ativa do sistema, não apenas código abandonado.

O desenvolvedor detalha como o novo sistema funciona na prática usando dados reais de um usuário não logado. A classe base estabelece que são necessários 65.000 pontos de usuário para que o Honey não recue - usuários com menos pontos (como não logados com zero) fazem o sistema recuar. No entanto, quando o acesso vem de redes de afiliados específicas como Link Share, esse requisito cai drasticamente para apenas 5.001 pontos através de encapsulamento de objetos. O sistema também adiciona valores específicos da loja atual, criando um esquema tri-dimensional de decisões baseado em: tipo de usuário, provedor de afiliados, e loja específica. Esta arquitetura demonstra engenharia sofisticada projetada para máxima flexibilidade e controle granular sobre o comportamento de stand down.

O desenvolvedor conclui sua análise sobre a evolução do sistema de stand down, enfatizando que as mudanças ao longo do tempo não foram manutenção básica, mas melhorias significativas de engenharia. A transição de código hardcoded para um sistema dinâmico, robusto e orientado a configuração demonstra intenção clara de manter e aprimorar o comportamento do sistema. Embora não possa determinar legalmente se o sistema é fraudulento, pode afirmar tecnicamente que houve decisões deliberadas para torná-lo mais robusto e melhor ao longo de cinco anos. Dado que a percepção geral deste sistema é de ser duvidoso, os engenheiros tornaram esse sistema duvidoso muito mais sofisticado e eficiente, indicando que não é um acidente ou código esquecido.

Durante a análise, o desenvolvedor encontrou referências constantes a 'VIM' e descobriu que não se trata do editor de texto, mas de um 'Virtual Instance Manager' - um interpretador JavaScript completo rodando dentro do JavaScript da extensão. O Honey incorporou o Acorn (um parser JavaScript) que produz uma Abstract Syntax Tree (AST) de código JavaScript válido e alimenta um motor VIM customizado. O código faz referências a objetos como 'cart_ops_retrieval_JS' e 'product_ops_retrieval_JS' que às vezes contêm código JavaScript real. Embora o desenvolvedor não tenha conseguido acionar a execução desse código nos seus testes com breakpoints, toda a infraestrutura está configurada. Isso significa que o Honey tem capacidade técnica para executar código remoto ofuscado na máquina do usuário de forma muito complexa.

O desenvolvedor explica que tecnicamente o código JavaScript em formato string está dentro do produto e não viola os antigos termos de serviço do Google. O Manifest V3 do Chrome proíbe o uso de eval() do JavaScript, mas o Honey contorna isso incorporando um motor JavaScript completo para executar operações que não quer que outros plugins detectem. Os requisitos do V3 especificamente mencionam não construir interpretadores para executar comandos complexos buscados remotamente, mas o Honey argumentaria que são strings disponíveis dentro da extensão, não código remoto. Aparentemente, essa arquitetura serve para evitar detecção por bloqueadores de anúncios que podem bloquear a extensão se ela executar certas funções diretamente, mas através do interpretador consegue executar operações sem ser detectada.

O desenvolvedor conclui que esta é talvez a engenharia mais incomum que já viu em toda sua carreira, descrevendo-a como uma 'máquina de Rube Goldberg' de complexidade máxima. Embora tenha trabalhado em bases de código com mais de 10 mil linhas de máquinas de estado estranhas, o sistema do Honey é excepcionalmente complexo e ofuscado. Ele resume que as regras dinâmicas de stand down são robustas e foram projetadas para serem controladas via JSON por loja, provedor e usuário, independentemente de serem fraudulentas ou não. O desenvolvedor agradece ao MegaLag pela colaboração e recomenda assistir seus vídeos detalhados. Finaliza perguntando se os espectadores gostaram desse formato de análise ao vivo de código, convidando para suas transmissões ao vivo onde esse tipo de investigação acontece em tempo real.