Bununla birlikte, uygulamanın Nothing'in ifade ettiği gibi "hatalar" nedeniyle değil, daha ziyade bazı göze batan güvenlik sorunları nedeniyle çekildiği fikrini desteklemek için yeterli kanıt var.

Texts.com yazarı Rida F'kih ve Twitter kullanıcıları @batuhan ve @1ConanEdogowa tarafından yapılan kapsamlı bir teknik analize göre, Nothing'in hizmet sağlayıcısı Sunbird, sunucuları üzerinden yönlendirilen mesajların uçtan uca şifrelenmiş doğası hakkında yalan söylerken yakalandı.

Daha önce de açıklandığı gibi, Nothing Chats'i kullanmak için kaydolmak, sanal bir makine çalıştıran bir Mac mini üzerinde çalıştırılan Apple Kimliğinizi kullanarak Sunbird sunucularına şarkı söylemeyi gerektiriyordu. Sunbird tarafından iddia edildiği gibi sunuculara gönderilen mesajlar şifrelenmiştir. Ancak, yukarıda bahsi geçen yazarların keşfettiği gibi, hizmetin ürettiği JSON Web Tokens ya da JWT, SSL olmadan başka bir Sunbird sunucusuna tekrar şifrelenmeden gönderilerek bir saldırgan tarafından ele geçirilebilmektedir.

Dahası, mesajların şifresi çözüldükten sonra Sunbird sunucularında depolanarak bir saldırganın kullanıcıdan önce mesajlara erişmesi için zaman tanınıyor. Texts.com bunu iki cihaz arasında birkaç mesaj göndererek ve Firebase gerçek zamanlı veritabanına erişim sağlayan JWT'yi ele geçirerek gösterdi. Bu noktadan sonra, tüm kullanıcı bilgilerini ve konuşmaları indirmek için tek gereken 23 satır koddu.

Yazar ayrıca, kod hakkında yeterli bilgiye sahip bir kullanıcının, biri Nothing Chats uygulamasını çalıştıran iki cihaz arasında mesaj gönderdiğinde kendi mesajlarını yakalayabileceği bir web sitesi de sağladı.

Açık olmak gerekirse, gizlilik sorunu doğrudan Sunbird'ün hatasıdır. Ancak, bu şirketle çalışmayı tercih ederek Nothing de kendisini bu konuya dahil etmiş oldu. Dahası, bu oldukça vahim durumu "hatalar" olarak ele almak son derece dürüstçe değildi.

Nothing uygulamayı mağazaya geri koymaya karar verdiğinde hizmetin ne durumda olduğunu görmemiz gerekecek. Şifrelenmiş olsa bile, üçüncü taraf bir hizmetin sunucularına Apple Kimliğinizle giriş yapmamanız gerektiğini söylemeye gerek yok. Ancak Apple'ın RCS desteğini duyurduğu şu günlerde özellikle anlamsız görünüyor.