Я не вижу ничего нереального в такой манере написания кода. Сначала проверяешь значения ключа в реестре и если нет то нет. Обычный IF statement. Я думаю там есть тысячи ключей, которые обрабатываются таким образом.

По второй ссылке получается, что пока юзер спал система 1619 раз соединялась с майкрософтовтоским сайтом в Дублине через подозрительный порт порт 3544. Ну, во-первых, чтобы слить накопленную телеметрию достаточно одного подключения. Делать это каждые 20 секунд совсем не обязательно.

Во-вторых, никто из нас точно не знает правильно ли этот юзер opted out. В третьих мы не знаем, может у него там какой-нибуть messenger бегал в бакграунде, а он не заметил. Ну и главное, все же требуется вещдок, что они там именно телеметрию сгружают, а не догадки.

Пока что IMXO the evidence is thin.