Не очень понятно, что вам удивительно? Заставить отправить обновление в репозиторий пользующегося многолетним авторитетом и доверием разработчика в надежде что остальные не заметят и дружно обновятся. Если это сделать аккуратно, тонко, возможно не за один раз, маскируя изменения под нечто безобидное... Думаете, невозможно? Тут непубличность, а тем более анономность может быть обоюдо острым, могут и не заметить, что разраб под контролем.