Un desarrollador de software utilizó técnicas de ingeniería inversa para extraer la lógica de generación de códigos QR de la aplicación de una cadena de gimnasios, con el objetivo de evitar la exposición a contenido de redes sociales no deseado durante la entrada y salida. El autor, quien no utiliza redes sociales desde hace más de 12 años, identificó que la interfaz de la app, diseñada para fomentar la publicación de fotos, actuaba como una forma de guerra psicológica. Tras descartar la posibilidad de que el código fuera un TOTP por la validación local sin conexión Wi-Fi, el equipo determinó que la lógica se ejecutaba localmente en Android.
Para obtener las claves necesarias, el autor combinó herramientas de análisis de código como jadx y blutter con la asistencia de modelos de lenguaje de IA, específicamente DeepSeek v4.1 Flash, para guiar el proceso de extracción. Se identificó que la URL del QR contenía un handle de cuenta, un timestamp de expiración cifrado con AES-128-CTR, un nonce aleatorio y un checksum. Al no poder emular Android en su equipo, se utilizó un teléfono Android rooteado conectado vía ADB para inspeccionar los registros de la app, donde se encontraron las claves en texto plano. Con estas claves, se construyó una aplicación web sencilla en SvelteKit que generaba los códigos QR localmente. El proyecto requirió la corrección de errores técnicos, como el uso incorrecto de base64url y la implementación de AES, antes de validar que la salida coincidiera con la de la app original. El resultado permitió al autor acceder al gimnasio sin interactuar con el feed social, demostrando la viabilidad de la técnica para manipular aplicaciones móviles específicas.