Engenharia reversa de um tracker de lançamentos de Beyblade revela como o acessório fala via Bluetooth

O autor do teardown conseguiu um Beybattle Pass (BX-09), acessório da Takara Tomy que, preso ao lançador do Beyblade X, mede o Shoot Power, que é basicamente o RPM do lançamento. O hardware não foi desmontado. A leitura vem de testes práticos: uma alavanca branca, empurrada quando o Beyblade é encaixado, liga o dispositivo e ativa um sensor que parece ser infravermelho. A teoria do autor é que ele acompanha o disco preto e branco do lançador pela variação do sinal refletido.

No lado do protocolo, o dispositivo aparece como BEYBLADE_TOOL01. Com LightBlue e PacketLogger, o autor capturou lançamentos sem precisar do app oficial. Cada lançamento gera um payload grande, antecedido por um cabeçalho de 17 bytes. As páginas são marcadas por tags (a0, b0 a b7, 70 a 73). Os valores de RPM vêm em little-endian: a2 0c vira 0c a2, ou 3.234. O dispositivo guarda no máximo 50 lançamentos em FIFO, e o último byte da página b7 é um checksum (soma dos bytes de dados, módulo 256). Os comandos 0x74, 0x75 e 0x51 foram mapeados com o app oficial no iPhone, e um deles apaga a base interna.

Com o protocolo decifrado, o autor montou um app com frontend React e backend Express.js, que fala com o dispositivo via BLE, usa WebSockets para dados em tempo real e endpoints REST para os comandos. Um modelo gemma3:1b rodando no Ollama comenta os lançamentos, com a tendência pré-calculada porque modelos pequenos erram conta. Os bytes das páginas 7* seguem sem explicação.

Para quem trabalha com BLE, o caso mostra um roteiro reaproveitável: assinar as características, provocar eventos físicos, comparar capturas e testar a ordem dos bytes quando o número não faz sentido. Também lembra que acessórios simples costumam expor dados sem autenticação, o que é leitura nossa a partir do relato. Na parte de IA local, a lição prática é calcular métricas no código e passar ao modelo só um resumo.