En 1996, id Software a achevé Quake et a eu une idée de distribution. La version shareware n'occupait que 22 Mio, laissant la majeure partie du CD-ROM de 640 Mio vide. id a donc rempli le disque avec des copies chiffrées de tout son catalogue, dont des variantes de DOOM, HEXEN et HERETIC. Le joueur achetait le CD pour 9,95 dollars chez CompUSA ou Computer City, appelait le 1-800-ID-GAMES, payait par carte bancaire et recevait un code de déverrouillage. Pas d'intermédiaire, livraison immédiate.

Le CD est sorti le 30 août 1996. Le groupe de hackers GNOMON a publié QCRACK.EXE 39 jours plus tard, un outil capable de générer un numéro de série valide pour chaque jeu du disque. id s'est retrouvé avec environ 150 000 CD invendus en entrepôt, comme le raconte David Kushner dans Masters of Doom.

La protection venait de TestDrive Corp. Leur chiffreur remplaçait les 32 premiers Kio d'un exécutable par un en-tête maison, renommait le fichier en .MJ3 et stockait l'en-tête original chiffré dans un fichier .ST3. La pièce manquante était censée être une graine secrète dérivée du numéro de série obtenu par téléphone.

Le défaut fatal : le numéro de série ne contenait aucun secret. C'était juste une preuve de paiement. Le programme de déverrouillage FLOW.EXE présent sur le CD calculait lui-même le numéro attendu à partir du challenge et le comparait à la saisie. Tout le dispositif reposait sur la sécurité par l'obscurité. En 2016, rmolina a publié l'algorithme complet : le challenge de 11 chiffres se divise en un identifiant de jeu de 4 chiffres et une valeur de 7 chiffres donnant un offset et une profondeur, l'identifiant indexe une base chiffrée pour obtenir un nom de code comme doom2, et un fichier DOC plus la chaîne "Testdrive Corp." transforment une table codée en dur de 508 octets en 254 valeurs 16 bits, parcourues à rebours avec XOR pour produire le numéro de série.

Sanglard a trouvé d'autres négligences. Final DOOM n'a jamais pu être déverrouillé légalement, car une coquille dans la base faisait correspondre l'identifiant 12 à "Final" avec un F majuscule au lieu de "final". Les clients payants avaient donc une moins bonne expérience que les pirates. Le CD contenait aussi une copie en clair de la base censée être chiffrée. Il renfermait aussi des fichiers de sauvegarde d'éditeur et des outils inutilisés. Le verdict de Sanglard, qu'il appelle Fab's Razor : n'attribue jamais à la bêtise ce qui peut s'expliquer par la pression des délais.

Note pour les nostalgiques : la hotline de déverrouillage est encore active aujourd'hui. CompUSA a fait faillite entre 2007 et 2008, et le numéro diffuse désormais un message commercial automatisé pour des produits destinés aux seniors au lieu de vous passer un opérateur.