1996 stellte id Software Quake fertig und hatte eine Vertriebsidee. Die Shareware-Version belegte nur 22 MiB und ließ den Großteil der 640-MiB-CD-ROM leer. Also füllte id die Scheibe mit verschlüsselten Kopien des gesamten Katalogs, darunter DOOM-Varianten, HEXEN und HERETIC. Spieler kauften die CD für 9,95 Dollar bei CompUSA oder Computer City, riefen 1-800-ID-GAMES an, zahlten per Kreditkarte und erhielten einen Freischaltcode. Kein Zwischenhandel, sofortige Lieferung.

Die CD erschien am 30. August 1996. Die Hackergruppe GNOMON veröffentlichte 39 Tage später QCRACK.EXE, ein Tool, das für jedes Spiel auf der CD eine gültige Seriennummer erzeugte. id blieb auf rund 150.000 unverkauften CDs im Lager sitzen, wie David Kushner in Masters of Doom beschreibt.

Der Schutz stammte von der TestDrive Corp. Der Verschlüssler ersetzte die ersten 32 KiB einer EXE-Datei durch einen eigenen Header, benannte sie in .MJ3 um und legte den verschlüsselten Originalheader in einer .ST3-Datei ab. Das fehlende Stück sollte ein geheimer Seed sein, abgeleitet aus der Seriennummer vom Telefon.

Der fatale Fehler: Die Seriennummer enthielt keinerlei Geheimnis. Sie war nur ein Zahlungsnachweis. Das Unlock-Programm FLOW.EXE auf der CD berechnete die erwartete Seriennummer aus der Challenge komplett selbst und verglich sie mit der Eingabe. Das ganze System beruhte auf Security by Obscurity. 2016 veröffentlichte rmolina den vollständigen Algorithmus: Die 11-stellige Challenge teilt sich in eine 4-stellige Game-ID und einen 7-stelligen Wert für Offset und Tiefe, die Game-ID indexiert eine verschlüsselte Datenbank und liefert einen Codenamen wie doom2, und eine DOC-Datei plus der String "Testdrive Corp." verwandelt eine fest einprogrammierte 508-Byte-Tabelle in 254 16-Bit-Werte, die rückwärts mit XOR abgelaufen werden, um die Seriennummer zu erzeugen.

Sanglard fand weitere Schlampereien. Final DOOM ließ sich legal nie freischalten, weil ein Tippfehler in der Datenbank die Game-ID 12 auf "Final" mit großem F statt "final" abbildete. Zahlende Kunden hatten damit ein schlechteres Erlebnis als Piraten. Die CD enthielt außerdem eine unverschlüsselte Klartextkopie der eigentlich verschlüsselten Datenbank. Dazu kamen Editor-Backups und ungenutzte Werkzeuge. Sanglards Fazit, das er Fab's Razor nennt: Schreibe niemals Dummheit zu, was man mit Zeitdruck erklären kann.

Eine Fußnote für Nostalgiker: Die Freischalt-Hotline ist heute noch aktiv. CompUSA ging zwischen 2007 und 2008 pleite, daher spielt die Nummer jetzt einen automatisierten Verkaufstext für Seniorenprodukte ab, statt einen Mitarbeiter zu verbinden.