# Hồ sơ về “Steam”: các quy định, lộ trình và trách nhiệm giải trình Canonical: https://phishdestroy.io/steam_dossier/vi/ Language: vi Author: PhishDestroy Team Publisher: PhishDestroy > Cuộc điều tra pháp y công khai về quy trình xác thực OpenID tại Steam, việc thực thi quy định tại Valve, quyền truy cập dữ liệu tài khoản và nền kinh tế có mức trần thị trường. PhishDestroy II · Hồ sơ tuân thủ quy định Steam / Hồ sơ vụ án001 # Quy tắc của họ. *Hệ thống của họ.* Valve đặt ra các hạn chế. Steam cung cấp cơ sở hạ tầng. Hãy đặt quy định bằng văn bản bên cạnh quy trình xác thực đã quan sát được. Sau đó, hãy tự hỏi: việc thực thi bắt đầu từ đâu — và hồ sơ công khai kết thúc ở đâu. [Đọc bản tóm tắt](https://phishdestroy.io/steam_dossier/vi/#pd-tldr)[Xem mã nguồn ↗](https://phishdestroy.io/steam_dossier/vi/steam_evidence_archive) QUY TẮC / KỶ LỤC 03 TÀI LIỆU CHỨNG CỨ [01 CHẾ ĐỘ CỦA HỌ ## Dành cho cá nhân. Không mang tính thương mại. Thỏa thuận đăng ký hạn chế việc sử dụng cho mục đích thương mại, trừ khi được cho phép rõ ràng. Hiệp hội Nhà cái Trực tuyến (Valve) đã áp dụng các quy định của mình đối với các nhà điều hành cờ bạc tại 2016. Đọc quy tắc và xem bản ghi “2016” ↗](https://phishdestroy.io/steam_dossier/vi/#enforcement-standard) [02 LỐI ĐI Đà QUAN SÁT ĐƯỢC ## Trang web bị chặn. Máy chủ xác thực không bị chặn. 26 trong số các tuyến đường miền riêng biệt (44) trong sổ đăng ký đã cho thấy sự phân chia này trong các kiểm tra Bộ lọc liên kết (Link Filter) đã lưu tại 21–22 tháng 9 năm 2026. Kiểm tra các phiếu kiểm tra lộ trình có ghi ngày tháng ↗](https://phishdestroy.io/steam_dossier/vi/#proxy-bypass-explainer) [03 VẤN ĐỀ THỰC THI ## Hãy chỉ ra những quy định đã được áp dụng. Kết quả của bộ lọc liên kết không quyết định mọi biện pháp xử lý. Hãy đặt bản ghi chi tiết theo từng nhà khai thác bên cạnh quy tắc. Đọc yêu cầu về trách nhiệm giải trình ↗](https://phishdestroy.io/steam_dossier/vi/#wsgc-public-address) [01 / PHÂN TÍCH **30 các phần cần khám phá**](https://phishdestroy.io/steam_dossier/vi/#briefing-section)[02 / CÁC BẰNG CHỨNG **Duyệt qua kho lưu trữ mã nguồn**](https://phishdestroy.io/steam_dossier/vi/steam_evidence_archive)[03 / CÁC MỐI LIÊN HỆ **Khám phá mạng lưới**](https://phishdestroy.io/steam_dossier/vi/output_steam_network/index.html) HỒ SƠ VỀ STEAM / PHẦN II ## Xác thực qua bên thứ ba, Thực thi & *Truy cập dữ liệu* Nghiên cứu pháp y toàn diện về các lỗ hổng cấu trúc, cơ chế vượt qua các quy định, việc thực thi có chọn lọc và những thách thức về mặt quy định xoay quanh hệ sinh thái Web API của mạng lưới “Steam”. [Phần con về quyền truy cập tài khoản](https://phishdestroy.io/steam_dossier/vi/investigation_part2) Tóm tắt — 5 CÁC TỪNG KHAI CÓ THỂ XÁC MINH Tất cả các thông tin tại 5 đều có thể kiểm chứng thông qua các máy chủ, tài liệu và ngày công bố của chính Valve - 44 Đã phát hiện các tên miền máy chủ xác thực riêng biệt chứa thông tin đăng nhập Steam dành cho các nền tảng của bên thứ ba — mỗi tên miền được đăng ký độc lập với địa chỉ chính của nền tảng đó. [Phần 3](https://phishdestroy.io/steam_dossier/vi/#proxy-bypass-explainer) - 26 các cặp filter-split: miền chính hiển thị cảnh báo “Steam” từ bộ lọc liên kết; trong khi máy chủ đăng nhập bên cạnh thì không. [Phần 3.2](https://phishdestroy.io/steam_dossier/vi/#linkfilter-coverage) - 12 y 6m là bao lâu `api.csgem.com` đã xử lý các lượt đăng nhập vào Steam trong khi `csgogem.com` nằm trên bộ lọc liên kết. Đăng ký vào tháng 3 năm 2014. [Xem bảng](https://phishdestroy.io/steam_dossier/vi/#linkfilter-coverage) - 10 ngày đó là thời hạn “2016” mà chính tờ *Valve* đặt ra cho các nhà điều hành cờ bạc. Kể từ đó đến nay, chưa có báo cáo nào về việc thực thi quy định đối với từng nhà điều hành được công bố. [Phần 2](https://phishdestroy.io/steam_dossier/vi/#wsgc-public-address) - 830 pp Điều 15 Phản hồi của GDPR từ các luật sư của Valve — 902,270 các ký tự trong phần bị che mờ có thể trích xuất, các thanh che mờ vẫn được để dưới dạng văn bản có thể chọn. [Phần 18](https://phishdestroy.io/steam_dossier/vi/#gdpr-live-case) ĐIỀU NÀY CÓ NGHĨA LÀ GÌ — BỘ LỌC STEAM LINK Valve duy trì một bộ lọc liên kết nhằm chặn các liên kết dẫn đến các trang web cờ bạc và giao dịch khi chúng được đăng trong phòng trò chuyện Steam hoặc trong phần bình luận trên hồ sơ. Khi người dùng nhấp vào một liên kết bị chặn, Valve sẽ hiển thị một cảnh báo toàn màn hình: *"Liên kết này đã bị báo cáo là có khả năng chứa mã độc."* Tuy nhiên, Valve chỉ kiểm tra tên miền chính của trang web. Các tên miền riêng biệt được sử dụng cho xác thực OpenID tại Steam không nằm trong danh sách chặn — do đó, quy trình đăng nhập vẫn diễn ra thành công ngay cả khi trang web chính bị chặn. Phần 1 — Tóm tắt vụ án ## Quy tắc. Kỷ lục. Những câu hỏi chưa có lời giải đáp. Bối cảnh và các giới hạn về nguồn Sáu kết luận, mỗi kết luận đều được liên kết với một tài liệu công khai có ghi rõ ngày tháng. Các phần chi tiết được trình bày theo thứ tự như sau: hồ sơ kỹ thuật (Phần A), hồ sơ về quy định và việc thi hành (Phần B), khung pháp lý (Phần C), sau đó là các phụ lục kèm theo các chứng cứ chính. Sáu phát hiện. Mỗi phát hiện đều liên kết một quy định bằng văn bản với một tài liệu có ghi ngày tháng và một câu hỏi mà bằng chứng có thể kiểm chứng. 1. Máy chủ xác thực miền riêng biệt — Các tuyến đường 44 · Các cặp tách biệt 26 Các hồ sơ trong sổ đăng ký lao động **44 các nền tảng xác thực thông qua một tên miền riêng có thể đăng ký**. Còn năm tuyến đường nữa đang trong quá trình xác minh và chờ ngày được công bố trên trang RDAP; nếu các tuyến này được công bố, tổng số tuyến sẽ tăng lên 47.. Các tuyến này không được liệt kê trên trang 44 cũng như trong bảng thống kê theo độ tuổi. — **27 kèm theo tệp bằng chứng đã được công bố cho từng tuyến đường** và 17 được thêm vào từ quá trình thu thập thủ công, được liệt kê riêng biệt. Trong **26 các cặp lọc-chia nhỏ** tên miền chính là **BỊ CHẶN** trong bộ lọc liên kết “Steam” trong khi máy chủ proxy mang thông tin đăng nhập của nó thì không. Đây không phải là các tên miền tạm thời: csgogem.com bị chặn trong khi `api.csgem.com`, máy chủ có thông tin đăng nhập Steam, đã được đăng ký từ tháng 3 2014 — **12 năm 6 tháng**. Valve nhận được tên máy chủ đó trong mỗi yêu cầu OpenID và hiển thị lại cho người dùng trên trang đăng nhập của chính trang web này. Bảng đầy đủ, thông tin về thời gian tồn tại theo từng tuyến đường và nguồn gốc được trình bày tại mục 3. [Hãy đi theo lộ trình →](https://phishdestroy.io/steam_dossier/vi/#proxy-bypass-explainer) 2. 2016: cơ chế đã được đặt tên, thời hạn đã được ấn định Vào ngày **13 Tháng 7 năm 2016** Valve đã công khai mô tả cách các trang web cờ bạc sử dụng Steam OpenID và các tài khoản giao dịch tự động, cùng với các thông báo của luật sư đại diện cho công ty này về **20 Tháng 7 năm 2016** đặt thời hạn mười ngày. Kể từ đó, chưa có báo cáo thực thi nào theo từng nhà khai thác được công bố. Mười năm sau khi thời hạn đó được đưa ra, cơ chế cùng tên này đang được sử dụng trên các máy chủ xác thực thuộc các miền riêng biệt, những máy chủ này không trả về bất kỳ lệnh chặn nào từ Link Filter trên 2026-09-21. [Đọc thư ngỏ gửi đến WSGC →](https://phishdestroy.io/steam_dossier/vi/#wsgc-public-address) 3. Mối liên hệ giữa các thiết bị, trên giấy tiêu đề của luật sư Trong các thư từ được trích dẫn ở đây, luật sư của Valve đã mô tả cơ chế tương quan ở cấp độ thiết bị, liên kết một thiết bị với nhiều tài khoản — một tính năng mà bộ phận Hỗ trợ của Steam trước đó đã thông báo với người dùng là không thể thực hiện được về mặt kỹ thuật. Câu hỏi còn bỏ ngỏ là Valve đang lưu giữ những hồ sơ cấp độ thiết bị nào và trên cơ sở nào mà chủ tài khoản bị từ chối quyền truy cập vào những hồ sơ đó. [Đọc bản ghi nhớ →](https://phishdestroy.io/steam_dossier/vi/#official-memorandum) 4. Hai phản hồi về quyền truy cập. Một phản hồi đã không cung cấp dữ liệu, một phản hồi đã để rò rỉ dữ liệu. **Tháng 10 năm 2025:** Luật sư của Valve đã trả lời yêu cầu theo Điều 15 bằng một phụ lục trang 830-, trong đó các phần bị che giấu được tô đè lên văn bản thay vì xóa bỏ — **902,270 ký tự** đưa ra một công cụ trích xuất tiêu chuẩn, bao gồm cả các định danh của bên thứ ba mà các thanh đó được thiết kế để che giấu. Điều 15 (4) chính là lý do khiến các thanh đó tồn tại. **Tháng 9 năm 2026:** Phiếu yêu cầu HT-2YBP-F7JP-D4VB đã bị đóng sau ba ngày kèm theo một liên kết đến trang Dữ liệu Tài khoản tự phục vụ — không có dữ liệu, không nêu rõ cơ sở pháp lý. Thời hạn một tháng theo Điều 12(3) vẫn chưa hết hiệu lực tại thời điểm công bố; sự phản đối này liên quan đến nội dung. [Xem kết quả kiểm tra việc che giấu thông tin →](https://phishdestroy.io/steam_dossier/vi/#academic-response)[Xem hồ sơ vé →](https://phishdestroy.io/steam_dossier/vi/#gdpr-live-case) 5. Thị trường đang ở mức cao hơn mức trần mà cuốn sách “Steam” đề cập Steam giới hạn mức niêm yết trên thị trường ở mức khoảng **$1,800**. Trên năm sàn thương mại điện tử trong một bản chụp nhanh đã lỗi thời (**23 2026 tháng 9**), **248 Các danh mục sản phẩm CS2** có mức giá cao hơn mức trần đó do hai hoặc nhiều bên trong số đó độc lập với nhau, và **Tất cả các tệp 248 đều không có trong thư mục Steam**; một cuốn “Dragon Lore” mới nguyên hộp có giá khởi điểm là **$10,941** Trên các trang 389, giá của mẫu nhân vật “CSFloat” được liệt kê trên cả năm trang (mẫu nhân vật chỉ có tại “” trong mục 13, từ bản cập nhật tháng 9 của 20) là $10,623.95 trên các trang 62. Việc bán hàng với mức giá này đòi hỏi phải thông qua một nền tảng bên ngoài, trong khi việc chuyển nhượng vật phẩm vẫn được thực hiện qua Steam. [Theo dõi giá và chuyển khoản →](https://phishdestroy.io/steam_dossier/vi/#market-gap-section) 6. Quy tắc này được nêu rõ ràng; còn dấu vết kiểm toán thì không Thỏa thuận người đăng ký quy định rằng Steam chỉ dành cho mục đích sử dụng cá nhân, phi thương mại; cấm khai thác thương mại trừ khi được cho phép rõ ràng; cấm sử dụng các chương trình tự động và bot; đồng thời cho phép chấm dứt tài khoản. Valve đã áp dụng các điều khoản này đối với các nhà điều hành cờ bạc trong vụ 2016.. Bên cạnh đó, theo tài khoản kỹ thuật của CSFloat, Valve đã bị đóng cửa `IEconItems_730/GetPlayerItems` trong 2017,, đã gỡ bỏ quyền truy cập công khai vào các ID mục gốc (không tìm thấy nhật ký thay đổi tại Valve). [Đặt quy tắc bên cạnh mạng →](https://phishdestroy.io/steam_dossier/vi/#enforcement-standard) [2016 / Yêu cầu bằng văn bản **10 ngày** Hạn chót được nêu trong các thông báo ngày 7/2016 của luật sư thuộc Ủy ban Cờ bạc Tây Virginia (Valve) gửi đến các trang web cờ bạc. Thư ngỏ gửi Ủy ban Cờ bạc Tây Virginia (WSGC): Mục 2.](https://phishdestroy.io/steam_dossier/vi/#wsgc-public-address) [2017 / Dòng sự kiện kiểm toán công khai **Đã đóng quyền truy cập ID** CSFloat ghi lại việc mất các mã định danh ban đầu của các mục.](https://phishdestroy.io/steam_dossier/vi/#evidence-blackout) [Thư từ của luật sư **Tương quan giữa các thiết bị** Một thiết bị có liên quan đến hàng chục tài khoản bị đánh cắp.](https://phishdestroy.io/steam_dossier/vi/#official-memorandum) [Sổ đăng ký tuyến đường **Bị chặn, nhưng vẫn đang đăng nhập** **Quy tắc:** Tuyên bố “2016” của Valve nghiêm cấm việc kinh doanh cờ bạc trên OpenID của Steam. **Bản ghi:** 26 Các tên miền chính được đặt trên Link Filter, trong khi máy chủ lưu trữ thông tin đăng nhập Steam của từng tên miền hoạt động trên — máy chủ của csgogem.com đã hoạt động được 12 năm 6 tháng.](https://phishdestroy.io/steam_dossier/vi/#proxy-bypass-explainer) Mục “2” — Thư ngỏ ## Thư ngỏ gửi Ủy ban Cờ bạc Tiểu bang Washington Mười ngày đã trở thành mười năm. Câu hỏi của Ủy ban tại 2016 gửi đến Valve vẫn chưa được trả lời kèm theo bản ghi chi tiết theo từng nhà mạng; lá thư này yêu cầu Ủy ban mở lại hồ sơ. HỆ THỐNG LOA PHÁT THÔNG BÁO · ỦY BAN CÁ CƯỢC TIỂU BANG WASHINGTON ### Mười ngày bỗng chốc trở thành mười năm. *Mở lại bản ghi.* Gửi Ủy ban Cờ bạc Tiểu bang Washington: Trong bài viết “2016,”, Giám đốc David Trujillo đã yêu cầu Valve trình bày những biện pháp mà cơ quan này đã thực hiện để ngăn chặn việc sử dụng các vật phẩm từ Steam trong hoạt động cờ bạc. Ông Chris Stearns, khi đó là Chủ tịch, cùng Ủy ban đã đối mặt với một ngành công nghiệp dựa trên các vật phẩm do Valvephát hành và các giao dịch chuyển nhượng từ Steam. Cả hai người này đều đã rời khỏi các vị trí của mình tại Ủy ban. Câu hỏi mà họ đặt ra cho Valve vẫn chưa hết hiệu lực. Tổng cố vấn pháp lý của Valve, ông Karl Quackenbush, đã yêu cầu các nhà điều hành cờ bạc ngừng việc sử dụng thương mại các tài khoản trên Steam trong vòng mười ngày. Trong phản hồi gửi đến Ủy ban vào tháng 10, Valve đã phủ nhận việc tạo điều kiện cho hoạt động cờ bạc, cho biết họ đã gửi thư yêu cầu ngừng vi phạm đến hơn 40 trang web và đã vô hiệu hóa các tài khoản liên quan. Công ty này cũng biện minh cho việc duy trì dịch vụ giao dịch Steam và OpenID vì những dịch vụ này mang lại lợi ích cho khách hàng và các nhà phát triển trò chơi. **Đó là một hành động thể hiện quyền kiểm soát. Điều đó cần được kiểm chứng, chứ không phải sự tuân phục.** Theo đánh giá của chúng tôi, câu trả lời của Valve không chứng minh được rằng biện pháp thực thi mà họ lựa chọn tương xứng với quy mô của mạng lưới mà họ mô tả. Một lá thư đe dọa gửi đến nhà điều hành không thể so sánh được với việc chặn vĩnh viễn các tài khoản Steam, cơ sở hạ tầng giao dịch và các đường dẫn xác thực – những yếu tố làm nên hoạt động của doanh nghiệp. Các ước tính được báo cáo cho thấy [Chỉ riêng CS:GO Lounge đã đạt doanh thu cá cược hơn $1 tỷ trong thời gian diễn ra giải đấu 2016](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896); đó là con số ước tính từ bên ngoài về số tiền đặt cược, chứ không phải doanh thu từ Valve, và hoạt động cá cược trực tuyến ban đầu của trang web này sau đó đã bị đóng cửa. Quy mô hoạt động này khiến việc thực thi pháp luật có thể kiểm chứng trở nên thiết yếu. Hôm nay, chính Valve [Thỏa thuận người đăng ký](https://store.steampowered.com/agreement/?l=english) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) hạn chế việc khai thác thương mại, trừ những trường hợp được cho phép rõ ràng, đồng thời cấm riêng các hình thức tự động hóa cụ thể. Chúng tôi [sổ đăng ký lộ trình đã hết hạn](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) các bản ghi được khai báo là OpenID trả về các máy chủ cho các dịch vụ bên ngoài; `openid.realm` và `openid.return_to` là các trường dữ liệu được gửi đến Steam, chứ không phải là các thông tin bí mật được giấu khỏi trang web này. Trang web của chúng tôi [Kiểm tra bộ lọc liên kết](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) trình bày các trường hợp mà địa chỉ chính đã bị cảnh báo nhưng máy chủ đăng nhập liên quan lại không bị. Chỉ riêng kết quả lọc không thể chứng minh rằng Valve đã cho phép đăng nhập hay một bot cụ thể nào đó đã lách được lệnh cấm tài khoản. **Điều này thực sự chứng minh rằng một thông báo cảnh báo trên trang chủ không thể được coi là câu trả lời đầy đủ về vấn đề truy cập.** Sự tồn tại của các chức năng giao dịch và OpenID hữu ích, hợp pháp tại Steam cũng không thể trả lời liệu các nhà điều hành bị cấm có thực sự bị loại trừ hay không. Chính các quy tắc của Valve cũng cho phép các trường hợp ngoại lệ rõ ràng. Nếu Valve dựa vào sự phân biệt đó, Ủy ban nên yêu cầu họ xác định các tiêu chí về cấp phép, kiểm soát tài khoản và thực thi áp dụng cho các doanh nghiệp kinh doanh skin thương mại, cũng như các mục đích sử dụng cụ thể không liên quan đến cờ bạc mà họ đã viện dẫn trong 2016.. Chỉ đơn thuần là khả năng sử dụng hợp pháp không phải là câu trả lời cho việc sử dụng bị cấm đã được ghi nhận. Chúng tôi đề nghị Ủy ban xem xét lại hồ sơ “2016” và yêu cầu cung cấp báo cáo chi tiết theo từng nhà điều hành: những tài khoản Steam và bot giao dịch nào đã bị vô hiệu hóa sau khi nhận được thông báo 10 ngày; liệu các tài khoản liên quan hoặc máy chủ lưu trữ có được giám sát hay không; những nhà điều hành nào sau đó đã được khôi phục quyền truy cập; những trường hợp miễn trừ nào đã được cấp; và những hồ sơ nào làm cơ sở cho tuyên bố của Valve gửi tới Ủy ban. Công bố những tài liệu mà pháp luật cho phép công chúng tra cứu. So sánh các tài liệu đó với các lộ trình hiện tại và với các can thiệp sau này của Valve, bao gồm [OPSkins trong trò chơi “2018”](https://blog.counter-strike.net/expresstrade/) [đã lưu trữ 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/). **Thông báo này đã đặt ra thời hạn mười ngày vào tháng 7 năm 2016; mười năm là khoảng thời gian đủ dài để xác định liệu việc đó có được thực hiện hay không.** Ủy ban nên đối chiếu tài khoản 2016 của Valve với cơ sở hạ tầng vẫn còn có thể quan sát được cho đến ngày nay. Cuộc điều tra của “Steam” · Tuyên bố công khai, 20 tháng 9 năm 2026 [2016 Thông báo của Ủy ban ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [đã lưu trữ 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Phản hồi của Valve về “2016” (bản sao tài liệu) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Tuyên bố OpenID của Valve về “2016” ↗](https://store.steampowered.com/oldnews/22883) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [Thỏa thuận hiện tại về “Steam” ↗](https://store.steampowered.com/agreement/?l=english) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · Lịch trình của cuộc trao đổi “2016”: [Phần “11” →](https://phishdestroy.io/steam_dossier/vi/#case-study-section) Phần A — Hồ sơ kỹ thuật · Mục3 ## Trang web này bị chặn. Tuy nhiên, đường dẫn đăng nhập thì không. **26 các tên miền chính bị chặn. Máy chủ proxy xác thực phía sau mỗi tên miền đó, và thời gian hoạt động của nó.** Các máy chủ xác thực riêng biệt này không phải là những địa chỉ phụ ngẫu nhiên — mỗi máy chủ là một **máy chủ proxy xác thực cho Steam**, đóng vai trò trung gian giữa nền tảng và điểm cuối OpenID củValve, đồng thời đảm nhận việc đăng nhập mà tên miền bị chặn không còn có thể thực hiện công khai nữa. Valve đã đặt “cửa chính” trên Link Filter. Quá trình đăng nhập vẫn tiếp tục diễn ra thông qua máy chủ proxy: csgogem.com bị chặn, và `api.csgem.com` đã được đăng ký từ tháng 3 năm 2014 — **mười hai năm rưỡi**. Trong mỗi ngày đó, máy chủ đó đều gửi tên máy chủ của mình đến điểm cuối OpenID của Valve, và Steam hiển thị lại thông tin đó ngay lập tức cho người dùng trên trang đăng nhập. **Valve là tuyến đường chính mà tất cả các tuyến này đều đi qua; nó không cần phải tìm ra các tuyến đó.** Đó chính là điều mà phần này đo lường: không phải là liệu có cảnh báo hay không, mà là đoạn đường phía sau cảnh báo đó vẫn mở trong bao nhiêu năm. 44 các tuyến đường thuộc miền riêng biệt trong sổ đăng ký, 27 trong số đó có tệp bằng chứng được công bố cho từng tuyến — như bảng dưới đây. Hãy xem xét một ví dụ, sau đó tiến hành đo lường tất cả các trường hợp. ### Hình 3.1 — Hai tuyến đường được vẽ ra. Một nền tảng, một người dùng, hai yêu cầu được gửi đi từ cùng một trình duyệt. Tính năng Lọc Liên kết (Link Filter) của Valve hoạt động trên cả hai yêu cầu này. Tính năng này chặn yêu cầu chứa liên kết và cho phép yêu cầu chứa thông tin đăng nhập đi qua. Tất cả các số liệu được đo lường trong phần này đều thể hiện thời gian mà đường dẫn dưới cùng duy trì trạng thái mở. Vuốt sơ đồ sang bên → Liên kết được đăng trên Steam — đã ngừng hoạt động Yêu cầu đăng nhập — đã được chấp nhận Các bản sao lưu của các bài viết “19” và “21” ngày 2026 tháng 9 **Valve có thể nhìn thấy cả hai yêu cầu, nhưng chỉ có một yêu cầu được xử lý.** Bộ lọc liên kết (Link Filter) là một danh sách các liên kết được phê duyệt (Valve), được kiểm tra bởi dịch vụ xác thực (Valve). Yêu cầu OpenID truyền tên máy chủ xác thực (auth host) đến điểm cuối của Valve, và tên này sẽ được hiển thị ngay lập tức trên trang đăng nhập. Dù sao đi nữa, tên máy chủ vẫn có trong yêu cầu — điểm khác biệt nằm ở việc liệu có thực hiện bất kỳ thao tác nào với nó hay không. **Một nền tảng. Hai lộ trình khác nhau.** ROLLBIT / CÁC QUAN SÁT Đà LƯU TRỮ **01** KIỂM TRA BỘ LỌC LIÊN KẾT ĐIỂM ĐẾN**rollbit.com** Tên miền chính của nền tảng Bộ lọc kết nối STEAM**Kiểm tra liên kết** Một hệ thống cảnh báo điểm đến độc lập KẾT QUẢ Đà LƯU**Liên kết bị chặn** 19 & 21 tháng 9 năm 2026 **02** QUY TRÌNH ĐĂNG NHẬP Đà QUAN SÁT ĐƯỢC TRÊN NỀN TẢNG**Đăng nhập bằng Steam** Nền tảng này khởi tạo một yêu cầu OpenID MÁY CHỦ XÁC THỰC TÁCH BIỆT**rbsnin.com** Không có khối “Link Filter” trong bản kiểm tra đã lưu STEAM**Biểu mẫu đăng nhập đã được hiển thị** Máy chủ được yêu cầu xuất hiện trong thông báo của Steam **Hãy bắt đầu từ điểm đến.** rollbit.com là tên miền chính của nền tảng. Làn đầu tiên này hiển thị kết quả kiểm tra “Link Filter” đã được lưu, chứ không phải là hành trình người dùng đã hoàn tất. **Một khối có thể nhìn thấy.** Tính năng Link Filter của Steam đã trả về thông báo “Link Blocked!” cho tên miền chính. Phản hồi thô đã được lưu lại. **Quá trình xác thực sử dụng một đường dẫn khác.** Tính năng “Đăng nhập bằng Steam” của nền tảng này sẽ khởi tạo một yêu cầu OpenID thông qua một máy chủ xác thực riêng biệt. **Một tên máy chủ khác.** rbsnin.com không trả về khối Link Filter nào tại 21 vào ngày 2026 tháng 9 — cùng ngày, trong cùng một lần kiểm tra không xác thực, trang rollbit.com lại trả về một khối. Được đăng ký ba ngày trước đó, tại 18 vào ngày 2026. tháng 9 **Yêu cầu được gửi đến Steam.** Lộ trình được ghi nhận đã dẫn đến biểu mẫu đăng nhập của Steam. Các tác giả đã không hoàn tất quá trình đăng nhập. Việc chặn liên kết từ miền chính không ngăn được lộ trình này dẫn đến biểu mẫu. Kiểm tra các ghi chú ban đầu về việc thu thập mẫu, ngày đăng ký và chi tiết về quy trình Công tác thực thi pháp luật của Cơ quan Bảo vệ Môi trường Hoa Kỳ (Valve) diễn ra như thế nào Tên miền chính: bị chặn Người dùng → rollbit.com (tên miền chính) ↓ BỘ LỌC STEAM LINK — Đà BỊ CHẶN "Liên kết bị chặn!" — được báo cáo là có khả năng gây hại rollbit.com Đã phát hiện một khối Link Filter trên các trang 2026-09-19 và 2026-09-21 (kiểm tra không cần xác thực; mã HTML thô và mã SHA-256đã được lưu lại). Một bản ghi rõ ràng và có thể kiểm chứng. Điều thực sự xảy ra — xác thực Máy chủ xác thực: không bị chặn Người dùng → rollbit.com "Đăng nhập bằng Steam" ↓ Chuyển hướng qua máy chủ xác thực riêng biệt: `rbsnin.com` Bộ lọc liên kết: CLEAN đã đăng ký 2026-09-18T09:34:52Z (Verisign RDAP) ↓ Steam Thông báo trên trang đăng nhập (2026-09-20): `"Note that rbsnin.com is not affiliated with Steam or Valve"` Steam đưa ra thông báo này từ Ủy ban Bảo vệ Môi trường (openid.realm) về yêu cầu mà cơ quan này đã nhận được. ↓ Steam biểu mẫu đăng nhập được cung cấp cho máy chủ riêng biệt Các tác giả chưa hoàn tất quá trình đăng nhập; quá trình này đã được quan sát cho đến biểu mẫu Steam. Valve nhận được tên máy chủ return_to / realm trong mỗi yêu cầu như vậy. rbsnin.com không trả về bất kỳ quy tắc chặn nào của Link Filter trên 2026-09-21. Theo yêu cầu Với tư cách là nhà cung cấp OpenID, Steam nhận được tên máy chủ xác thực (auth hostname) trong mỗi yêu cầu xác thực: thông tin này được gửi đến các máy chủ của chính Valve trong `openid.return_to` và `openid.realm` các tham số. Được gửi bởi trang web Máy chủ xác thực không được phát hiện qua quá trình quét — nền tảng sẽ gửi thông tin này đến địa chỉ Steam trong mỗi yêu cầu. Theo tài liệu OpenID 2.0 §9.1 `return_to` thành phần này về mặt kỹ thuật là tùy chọn, nhưng nếu thiếu nó thì Steam sẽ không thể trả về kết quả đăng nhập, do đó để quá trình đăng nhập tại Steam hoạt động bình thường thì nó thực tế là bắt buộc. Steam thậm chí còn hiển thị tên máy chủ cho người dùng ("* không có liên quan đến Steam hoặc Valve*"). 14 yr là thời gian tồn tại của máy chủ xác thực lâu đời nhất vẫn đang lưu giữ các thông tin đăng nhập Steam tại điểm kiểm tra 2026-09-21 (dota2.net, đã đăng ký tại 2011-10-29); máy chủ mới nhất đã tồn tại được ba ngày (rbsnin.com). **Đừng coi hình “Các máy chủ xác thực '0' bị chặn” là kết luận.** Một máy chủ xác thực bị chặn sẽ khiến tính năng “Đăng nhập bằng Steam” của nền tảng này ngừng hoạt động hoàn toàn, do đó, một danh sách đăng ký được xây dựng từ các lần đăng nhập thành công chỉ có thể chứa những máy chủ chưa từng bị chặn. Con số mang ý nghĩa ở đây không phải là số lần bị chặn — mà là số năm tên miền chính nằm trong Bộ lọc liên kết (Link Filter) trong khi tài khoản đăng nhập bên cạnh nó vẫn tiếp tục hoạt động. Các máy chủ xác thực trên miền riêng biệt: so sánh ngày đăng ký với miền chính (các đường dẫn 30: tên miền 25 được giải quyết trong báo cáo kiểm tra trình duyệt 2026-09-21, cùng với 5 được thêm vào tại 2026-09-22) | Nền tảng | Bộ lọc liên kết: chính | Máy chủ xác thực | Bộ lọc liên kết: máy chủ xác thực | Máy chủ xác thực đã được đăng ký | Nguồn quan sát | Hồ sơ chứng cứ | | --- | --- | --- | --- | --- | --- | --- | | Rollbit rollbit.com · reg. 2014-11-08 | BLOCKED 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (no Wayback snapshot) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam login-page notice, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) | | Skin.Club skin.club · reg. 2017-09-04 | BLOCKED 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam login-page notice | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) | | Howl.GG howl.gg · reg. 2017-03-16 | BLOCKED 2026-09-18, 09-19, 09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Live browser capture + supplied OpenID URL | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) | | Duelbits duelbits.com · reg. 2020-02-03 | BLOCKED 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | Supplied OpenID URL | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) | | CSGOFast csgofast.com · reg. 2015-03-27 | BLOCKED 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | CLEAN authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Live browser capture + supplied OpenID URL | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) | | Farmskins farmskins.com · reg. 2016-03-23 | BLOCKED 2026-09-19, 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | CLEAN 2026-09-19, 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Live browser capture + supplied OpenID URL | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) | | CobaltLab cobaltlab.tech | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | Supplied OpenID URL | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) | | CSGO.NET csgo.net · reg. 2012-07-22 | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Live browser capture | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) | | GGDrop ggdrop.com | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | Supplied OpenID URL | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) | | RustChance rustchance.com | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | Supplied OpenID URL | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) | | Skin.Fans skin.fans | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | Supplied OpenID URL | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) | | Skinport skinport.com · reg. 2018-09-05 | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Live browser capture + supplied OpenID URL | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) | | Skins.Cash skins.cash | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | Supplied OpenID URL | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) | | TF2Hunt tf2hunt.com · reg. 2018-01-13 | BLOCKED 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Live browser capture + supplied OpenID URL | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) | | CSGOGem csgogem.com · reg. 2016-10-16 | BLOCKED 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — separate registrable domain | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP — oldest in register | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | Gamdom gamdom.com · reg. 2016-07-29 | BLOCKED 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — one letter off the brand | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | 12CS 12cs.fail · reg. 2026-03-24 | BLOCKED 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | CSGOEmpire csgoempire.com · reg. 2015-06-10 | CLEAN 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` one of ten numbered domains login1–10 | CLEAN 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Live browser capture | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) | | CS.MONEY cs.money | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam login-page notice | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) | | CSFloat csfloat.com · reg. 2021-07-11 | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` operator's former brand domain; separate registrable domain, not an evasion indicator | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Live browser capture | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) | | G4Skins g4skins.com | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | Supplied OpenID URL | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) | | Juice.GG juice.gg | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | Supplied OpenID URL | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) | | Market.CSGO market.csgo.com | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Live browser capture + supplied OpenID URL | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) | | Rust.TM rust.tm | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Supplied OpenID URL | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) | | CSGOLounge csgolounge.com · reg. 2013-08-14 | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` third front-end on this auth host | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | Dota2Lounge dota2lounge.com · reg. 2012-08-10 | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` fourth front-end on this auth host | CLEAN 2026-09-22 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Manual collection + Link Filter capture | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) | | SkinBaron skinbaron.de | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` same brand, different TLD | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | Supplied OpenID URL | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) | | TF2Royal tf2royal.com · reg. 2022-08-17 | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Live browser capture + supplied OpenID URL | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) | | Tradeit tradeit.gg | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | Supplied OpenID URL | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) | | Upgrader upgrader.pro | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | CLEAN 2026-09-21 · [raw HTML](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | Supplied OpenID URL | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) | Nguồn: steamcommunity.com/linkfilter, yêu cầu GET không xác thực, 2026-09-21, 53 máy chủ, khoảng cách giữa các ký tự trong 3; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); mã HTML thô trong `steam_tos_assets/linkfilter-raw/`. Thời gian đăng ký: RDAP, [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · Kiểm tra trước đó tại 2026-09-19 trong [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · các bản ghi tuyến đường trong [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · Các ảnh chụp màn hình từ Wayback Machine của các trang Link Filter, 2026-09-21, được liệt kê trong [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (không có ảnh chụp nhanh nào cho rbsnin.com; tệp raw cục bộ là bản ghi duy nhất). Thời gian đăng ký: RDAP (`steam_tos_assets/domain-registry/`). “URL OpenID được cung cấp” chỉ xác định các tham số yêu cầu, chứ không phải là quá trình đăng nhập đã hoàn tất. Các tác giả không thực hiện đăng nhập thành công trên bất kỳ nền tảng nào. Một tên miền riêng biệt không tự nó là bằng chứng về việc lách luật. "0 auth hosts blocked" cũng không phải là một phát hiện độc lập: việc chặn một máy chủ xác thực sẽ làm gián đoạn quá trình đăng nhập Steam trên nền tảng đó, do đó, một danh sách được lập từ các lần đăng nhập thành công không thể chứa máy chủ xác thực bị chặn. Quan sát có trọng lượng là sự kết hợp và thời gian tồn tại của nó — một tên miền chính trên Bộ lọc Liên kết bên cạnh một tên miền đăng nhập đã hoạt động trong nhiều năm. Bảng này chứa các hàng từ 30: 25 của các tuyến đường 27 kèm theo tệp bằng chứng cho từng tuyến đường, cộng thêm năm mục được thêm vào từ 2026-09-22, trong đó sự phân tách của Bộ lọc Liên kết được ghi lại trong [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) mặc dù chính vùng dữ liệu này đã được thu thập thủ công — các hàng tương ứng trong cột “nguồn” đã nêu rõ điều đó. Hai đường dẫn tệp bằng chứng không được hiển thị là skinsnipe.com (máy chủ xác thực `pricing.tradeupspy.com`, đã đăng ký tại 2020-03-11) và csgobig.com (máy chủ xác thực `letmeinbig.com`, đã đăng ký tại 2023-01-20); cả hai đều trả về kết quả “BLOCKED main / CLEAN auth host” trong quá trình kiểm tra tại 2026-09-22,, được ghi lại với mã SHA-256 trong [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), nhưng mã HTML thô của lô đó không có trong bộ đã được xuất bản, do đó chúng được liệt kê tên ở đây thay vì được gán một hàng – điều mà mọi dòng khác trong bảng này đều có thể minh chứng. Các tuyến đường còn lại thuộc dự án “12” được thu thập thủ công trong sổ đăng ký được xác định rõ là như vậy trong [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) dưới `realm_src: user`. Kiểm toán thực nghiệm sơ cấp · Khoảng thời gian nhiều năm ### Cái bẫy “Tầm nhìn tổng thể”: Bộ lọc liên kết chỉ là “hành động tuân thủ cho có lệ”, chứ không phải là lá chắn Trên các trình duyệt máy tính để bàn, người dùng được bảo vệ bởi các cơ chế phòng thủ bên ngoài: Google Safe Browsing và Microsoft SmartScreen sẽ chặn các cuộc tấn công lừa đảo đã biết bằng cách hiển thị cảnh báo màu đỏ toàn màn hình. **Trong chế độ Big Picture của Steam, giao diện hiển thị trong trò chơi (Shift+Tab) và bộ thẻ “Steam” (SteamOS), các cơ chế phòng thủ đó không tồn tại.** Trình duyệt tích hợp không hỗ trợ bất kỳ tiện ích mở rộng nào, vô hiệu hóa các công cụ Duyệt web an toàn bên ngoài và chỉ để lại cho người dùng đúng một lớp bảo vệ duy nhất: Valve's `linkfilter` giữa các mô. Vuốt để so sánh cả bốn kết quả → 92.5% 2025–2026 lừa đảo kiểu hiện đại **đạt yêu cầu** (37/40) 77.5% 2023–2024 Lừa đảo qua email thời kỳ CS2 **đạt yêu cầu** (31/40) 70.0% 2021–2022 lừa đảo kiểu cũ **đạt yêu cầu** (28/40) 7 / 7 đường ống dẫn nước dùng cho hoạt động cờ bạc bị chặn (kiểm soát dương tính) Kiểm toán theo chiều dọc kéo dài nhiều năm: 120 Kiểm tra trực tiếp các tên miền lừa đảo thuần túy Steam (24 Sep 2026) Để kiểm tra xem bộ lọc của Valve chỉ đơn thuần là chậm trong việc nhận diện các mối đe dọa mới hay về cơ bản là không thể phát hiện được chúng, chúng tôi đã tiến hành kiểm tra **120 đã xác nhận các tên miền lừa đảo nhắm mục tiêu cụ thể vào Steam** trên ba nhóm đối tượng theo thời gian so với `steamcommunity.com/linkfilter`: - **Khóa học “1:” 2021–2022 (Chương trình trao đổi truyền thống & Nhận vật phẩm ngẫu nhiên) — 70.0% Clean Pass (28/40).** Ngay cả 4 đến 5, nhiều năm sau khi bị các tổ chức giám sát cộng đồng đưa vào danh sách theo dõi, 7 – một trong những máy chủ lừa đảo kế thừa từ 10 – vẫn đang hoạt động mà không bị chặn. - **Cohort 2: 2023–2024 (CS2 Beta: Tin đồn và các lời kêu gọi hỗ trợ giả mạo) — 77.5% Clean Pass (31/40).** Các chiến dịch mạo danh các bản phát hành của Counter-Strike 2 và các lời kêu gọi giả mạo từ cộng đồng (e.g. `cs2-steam.com`, `appealsteamcommunity.help`) đi thẳng qua. - **Khóa học “3:” 2025–2026 (Triển khai Serverless Edge & Sao chép Favicon) — 92.5% Clean Pass (37/40).** Các bộ công cụ lừa đảo hiện đại đang được triển khai trên EdgeOne, Vercel và các trang web của Cloudflare (e.g. `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) đi qua mà hầu như không gặp trở ngại nào. **Hệ thống đo từ xa và bảo hiểm trách nhiệm pháp lý, chứ không phải bảo vệ.** Tại sao Bộ lọc liên kết (Link Filter) lại tồn tại nếu nó vẫn chuyển hướng từ 70% sang 92.5% – một trang lừa đảo thuần túy (Steam)? Nó đóng vai trò như một tuyên bố miễn trừ trách nhiệm của doanh nghiệp và một cảm biến theo dõi nhấp chuột ra ngoài. Bằng cách hiển thị một thông báo lịch sự *"Bạn đang rời khỏi trang Steam"* Trong thông báo có nút “Tiếp tục” màu xanh lá cây có thể nhấp vào, Valve chuyển trách nhiệm pháp lý sang cho nạn nhân theo Thỏa thuận người đăng ký của Steam (*“người dùng đã tự nguyện truy cập ra khỏi Steam”*). Valve thu thập dữ liệu theo dõi về lần nhấp chuột này, nhưng không ngăn chặn hành vi trộm cắp. **Bằng chứng về mã băm Favicon: Không thu thập bất kỳ nguồn dữ liệu đe dọa nào.** Các nền tảng tình báo mối đe dọa độc lập (urlscan.io, Shodan, Censys) phát hiện các bộ công cụ lừa đảo Steam đang hoạt động thông qua việc tìm kiếm đơn giản mã băm favicon chính thức của Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). Quy trình kiểm tra tự động cơ bản này giúp phát hiện các cụm lừa đảo đang hoạt động chỉ trong vài giây. Valve không đồng bộ hóa với các nguồn dữ liệu bên ngoài, không thực hiện việc truy tìm mối đe dọa dựa trên hàm băm và chỉ can thiệp thủ công khi bị cơ quan quản lý yêu cầu (lệnh cấm cờ bạc WSGC của 2016) hoặc để bảo vệ các chuỗi tên miền đã đăng ký nhãn hiệu của mình. **Các bằng chứng kiểm toán chính:** Kiểm toán theo chiều dọc trên nhiều năm đối với lĩnh vực “120-”: [longitudinal-steam-phishing-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · Mẫu lừa đảo qua email Steam liên quan đến vụ việc “100”: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · Kiểm toán nguồn cấp dữ liệu trên diện rộng (n =250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json). CSGOEmpire — đăng ký hàng loạt mười tên miền xác thực được đánh số Vào ngày **2020-07-20** mười tên miền được đánh số, `csgoempirelogin1.com` qua `csgoempirelogin10.com`, đã được đăng ký. Dấu thời gian của Verisign RDAP đã được lưu trữ cho cả mười tài khoản: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **chín tên miền trong 22 giây** — và login10 tại 05:56:03Z, bảy phút sau đó. Khoảng cách giữa các tên miền phù hợp với một thao tác đăng ký hàng loạt từ một nhà đăng ký duy nhất. Mô hình này phù hợp với các máy chủ dự phòng đã được cấu hình sẵn; chỉ `login4` đã được ghi nhận trong một yêu cầu OpenID thực tế. Cả csgoempire.com và csgoempirelogin4.com đều trả về kết quả “CLEAN” trong tính năng Link Filter trên 2026-09-21; CSGOEmpire không có tên trong danh sách các trang web được đề cập trong các bài báo về các thông báo ngày 7 tháng 2016. # DNS — all 10 active (September 2026) Được rồi csgoempirelogin1.com 172.67.129.43 Được rồi csgoempirelogin2.com 172.67.175.168 Được rồi csgoempirelogin3.com 188.114.96.3 Được rồi csgoempirelogin4.com 188.114.96.11 ← trong lưu lượng OpenID Được rồi csgoempirelogin5.com 172.67.160.194 Được rồi csgoempirelogin6 –10.com Cloudflare IP NXDOMAIN: csgoempirelogin11.com Tất cả các địa chỉ 10 đã được đăng ký tại 2020-07-20; tất cả các địa chỉ 10 đã được gắn dấu thời gian tại RDAP(steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json) Kết luận dành cho các cơ quan quản lý ### Việc tên miền chính bị chặn trong khi máy chủ xác thực lại không bị chặn sẽ khiến đường dẫn đăng nhập vẫn mở — và tình trạng này kéo dài suốt nhiều năm. Khối Link Filter trên miền chính là một bản ghi công khai, có thể xác minh được. Máy chủ xác thực (auth host) xử lý lưu lượng truy cập "Đăng nhập bằng Steam" và xuất hiện trong các tham số yêu cầu OpenID của chính Valve. Qua các kiểm tra trên 2026-09-21 và 2026-09-22, trong các cặp bộ lọc phân chia 26, tên miền chính trả về khối Link Filter trong khi máy chủ proxy truyền tải thông tin đăng nhập của nó không trả về gì. Bảng đăng ký ở trên đo lường nửa còn lại của điều đó: các máy chủ này không phải là các tên miền tạm thời có tuổi thọ ngắn. Một số tên miền đã được đăng ký hơn một thập kỷ tính đến thời điểm kiểm tra, và mỗi ngày trong khoảng thời gian đó đều là ngày mà Valve nhận được tên máy chủ trong các tham số yêu cầu của chính nó. Valve chưa công bố bất kỳ bản ghi thực thi nào theo từng nhà điều hành, do đó không thể xác định từ dữ liệu công khai liệu có bất kỳ biện pháp nào khác được áp dụng cho các máy chủ này hay không. 12 Năm 6 tháng csgogem.com bị chặn trong Bộ lọc liên kết. Máy chủ đăng nhập của nó `api.csgem.com` đã đã đăng ký từ ngày 2014-03-08 và hiện không còn. Tóm tắt bằng ngôn ngữ dễ hiểu — Dành cho các cơ quan quản lý và tòa án (mở rộng) Tóm tắt bằng ngôn ngữ dễ hiểu — dành cho các cơ quan quản lý ### Bối cảnh: “Steam” là gì và tại sao nó lại quan trọng trong bối cảnh này Steam là một nền tảng phần mềm do Công ty Valve (Bellevue, Washington, Hoa Kỳ) vận hành. Steam hoạt động như một nhà cung cấp danh tính kỹ thuật số: các trang web cá cược và trò chơi trực tuyến trên Internet sử dụng một hệ thống có tên “Đăng nhập bằng Steam” — một nút cho phép trang web xác minh rằng người truy cập có tài khoản Steam thực sự. Điều này tương tự như tính năng “Đăng nhập bằng Google” hoặc việc xác minh thẻ căn cước do chính phủ cấp: trang web sẽ chuyển người dùng đến máy chủ của Steam, Steam xác nhận danh tính của họ, và Steam chuyển họ trở lại trang web. **Valve vận hành hệ thống xác thực. Mỗi lần đăng nhập thông qua tùy chọn “Đăng nhập bằng Steam” đều được xử lý qua các máy chủ của chính Valve.** ### Valve đã làm gì: Chặn tên miền Vào tháng 7 2016,, trước áp lực từ giới truyền thông và pháp lý liên quan đến cờ bạc trực tuyến, luật sư của Valve đã gửi thông báo đến khoảng 23 các trang web cờ bạc bị nêu tên (theo các báo cáo truyền thông tại 21 vào ngày 2016 tháng 7); vào tháng 10 2016 Valve đã thông báo với Ủy ban Cờ bạc Tiểu bang Washington rằng họ đã liên hệ với hơn bốn mươi trang web. Một số tên miền cờ bạc xuất hiện trong **Steam Bộ lọc liên kết** — một danh sách khiến bất kỳ liên kết nào đến các trang này được đăng trên Steam (trong phần trò chuyện, trên trang hồ sơ, trong cửa hàng) đều hiển thị một trang cảnh báo: *"Liên kết bị chặn!"* Bộ lọc liên kết (Link Filter) là biện pháp thực thi duy nhất mà hiệu quả của nó có thể được quan sát từ bên ngoài Valve. **Ví dụ:** Một liên kết đến `rollbit.com` Trong phần “Steam” hiển thị trang cảnh báo “Link Filter” (đã kiểm tra tại 2026-09-19 và 2026-09-21). Trên lý thuyết, trang web cờ bạc này đã bị chặn. ### Miền proxy là gì? A **Máy chủ xác thực trên miền riêng là một máy chủ proxy xác thực**: một địa chỉ trang web thứ hai, trên một tên miền có thể đăng ký khác, do cùng một nhà điều hành đặt giữa người dùng và Steam với mục đích duy nhất là thực hiện bước “Đăng nhập bằng Steam”. Địa chỉ này đóng vai trò là máy chủ trung gian cho quá trình đăng nhập. Người dùng tưởng rằng họ đang đăng nhập vào nền tảng; yêu cầu được gửi đến Valve mang tên máy chủ của máy chủ trung gian, chứ không phải của nền tảng. Thông thường, máy chủ này không có bất kỳ liên kết nào hiển thị công khai với trang web cá cược, và đây chính là địa chỉ mà người dùng được chuyển hướng trở lại sau khi Steam xác thực danh tính của họ. **Ví dụ:** Rollbit hoạt động theo `rollbit.com`, mà bộ lọc liên kết (Link Filter) đã chặn. Đối với xác thực theo phương thức “Steam”, luồng dữ liệu được ghi nhận trên 2026-09-20 đã sử dụng một địa chỉ riêng biệt: `rbsnin.com` , địa chỉ đã đăng ký 2026-09-18. Địa chỉ này trả về **Không có khối Lọc liên kết** trên 2026-09-21. Trang web cờ bạc này vẫn tiếp tục hoạt động, và quy trình đăng nhập vào Steam của trang web này được thực hiện thông qua máy chủ không bị chặn. ### Điểm then chốt: Máy chủ xác thực được gửi đến Steam trong mỗi yêu cầu Valve không cần quét hay thu thập dữ liệu để xác định các máy chủ xác thực nào đang được sử dụng. Steam là **Nhà cung cấp danh tính OpenID** đối với các trang web này, và mỗi lần nhấp vào “Đăng nhập bằng Steam” sẽ gửi một yêu cầu GET đến các máy chủ của Valve, trong đó chứa tên máy chủ xác thực dưới dạng văn bản thuần túy. Theo OpenID 2.0 §9.1, `return_to` Trường này về mặt kỹ thuật là tùy chọn, nhưng nếu thiếu nó thì Steam sẽ không thể trả về kết quả đăng nhập, do đó để quá trình đăng nhập tại Steam diễn ra thành công thì trường này thực tế là bắt buộc. Bản thân Steam sẽ hiển thị tên máy chủ trên trang đăng nhập ("* không có liên quan đến Steam hoặc Valve*"). — Cấu trúc của yêu cầu mà Steam nhận được (tên máy chủ được ghi nhận cho Rollbit trên 2026-09-20): — NHẬN steamcommunity.com/openid/đăng nhập &openid.mode= checkid_setup &openid.return_to= https://rbsnin.com/… ← thực tế là bắt buộc; xuất hiện trong nhật ký của Valve &openid.realm= https://rbsnin.com ← do trang web tự công bố; được hiển thị trên trang đăng nhập của Steam Nếu trang web sử dụng cơ chế xác thực giữa các máy chủ (check_authentication), nhật ký của Valve cũng sẽ ghi lại địa chỉ IP máy chủ của nền tảng và mạng lưu trữ. Việc trích xuất tên máy chủ từ yêu cầu này là một thao tác tiêu chuẩn. Bản ghi thực thi — ghi lại những máy chủ nào đã được xử lý, những máy chủ nào chưa được xử lý, và theo tiêu chí nào — chỉ tồn tại trong hạ tầng của Valve và chưa được công bố. ### Điều này chứng tỏ điều gì **1. Khối “Link Filter” tác động lên các liên kết, chứ không phải lên các lần đăng nhập.** Chặn tên miền chính (ví dụ: `rollbit.com`) hiển thị thông báo cảnh báo cho những người dùng nhấp vào các liên kết dẫn đến trang này trong Steam. Điều này không làm gián đoạn hoạt động của trang web, cũng như không ngăn cản việc sử dụng dịch vụ OpenID của chính Valve thông qua một địa chỉ khác. **2. Các máy chủ xác thực đã được kiểm tra không bị chặn.** Bảng trên cho thấy các máy chủ xác thực thuộc các miền riêng biệt được đăng ký trong khoảng thời gian từ 2011 đến tháng 9 2026,; một số trong số đó được đăng ký nhiều năm sau các thông báo vào tháng 7 2016. Trong các cặp 26, miền chính trả về kết quả chặn bởi Bộ lọc Liên kết (Link Filter) trong khi máy chủ proxy chứa thông tin đăng nhập của nó thì không (các kiểm tra không xác thực, 2026-09-21 và 2026-09-22; các phản hồi thô và mã SHA-256 đã được lưu lại). Proxy đó sẽ ngừng hoạt động vào ngày Valve từ chối nó, đó là lý do tại sao tiêu chí đánh giá ở đây là thời gian hoạt động của nó, chứ không phải việc nó có nằm trong danh sách hay không. Valve nhận được các tên máy chủ này trong các yêu cầu OpenID của chính nó. Không thể xác định từ dữ liệu công khai liệu có bất kỳ biện pháp nào khác ngoài bộ lọc liên kết (Link Filter) được áp dụng hay không, vì Valve chưa công bố bất kỳ bản ghi thực thi nào theo từng nhà cung cấp dịch vụ. **3. Các trang web này vẫn tiếp tục thực hiện xác thực thông qua hạ tầng củValve.** "Đăng nhập bằng Steam" là dịch vụ củValve; mọi quá trình xác thực thông qua dịch vụ này đều là một yêu cầu mà Valve nhận và xử lý. Valve cũng thu được doanh thu từ các khóa case, và Chợ Cộng đồng Steam thu một khoản phí tổng cộng khoảng 15% đối với các giao dịch được thực hiện bên trong Chợ (không áp dụng cho các giao dịch bên ngoài). Hành động “Link Filter” đã tạo ra một bản ghi công khai; hành động này không làm gián đoạn mối quan hệ xác thực. Việc chặn có hiệu quả không? Tương tự như vậy: khi nhà đăng ký tên miền miễn phí Freenom ngừng hoạt động vào năm 2023,, các chiến dịch lừa đảo dựa vào các tên miền của họ cũng bị gián đoạn. Tính liên tục trong hoạt động phụ thuộc vào sự ổn định của cơ sở hạ tầng. Cùng một logic cũng áp dụng ở đây. Nếu một máy chủ xác thực bị từ chối trong quá trình xử lý OpenID của Steam, chức năng “Đăng nhập bằng Steam” của nền tảng sẽ ngừng hoạt động cho đến khi một máy chủ mới được đăng ký, chứng chỉ được cấp và thông tin DNS được cập nhật. Trong khoảng thời gian đó: hệ thống sẽ ngừng hoạt động. **Việc xoay vòng không khiến việc chặn trở nên vô ích.** Điều này khiến việc chặn trở thành một chi phí vận hành. Do các máy chủ mới xuất hiện trong nhật ký yêu cầu của Valve ngay từ lần sử dụng đầu tiên, nên tốc độ phản hồi có thể phụ thuộc vào tốc độ của lần sử dụng đó. **Việc đăng ký theo lô bản thân nó đã là một tín hiệu:** Các tên miền login1–login10 của CSGOEmpire đã được đăng ký trên 2020-07-20,, trong đó chín tên miền được đăng ký trong vòng 22 giây (Verisign RDAP). Phản hồi không nhất thiết phải được thực hiện theo từng tên miền riêng lẻ; một chuỗi các tên miền được đăng ký liên tiếp trong cùng một phiên đăng ký có thể được xác định là một chuỗi. Hồ sơ công khai không cho thấy có bất kỳ nỗ lực nào nhằm chặn các máy chủ xác thực đã bị vô hiệu hóa bởi cơ chế xoay vòng. Báo cáo này cho thấy các tên miền chính đã bị chặn trong khi các máy chủ proxy quản lý từng tài khoản đăng nhập vẫn tiếp tục hoạt động — các cặp tên miền 26 theo dữ liệu tại 2026-09-22,; máy chủ xác thực lâu đời nhất được đăng ký là 12 năm 6 tháng — và không có hồ sơ thực thi nào được công bố đối với bất kỳ nhà khai thác nào. Do đó, câu hỏi đặt ra cho cơ quan quản lý là: Valve đã áp dụng biện pháp thực thi nào, nếu có, đối với các máy chủ xác thực mà họ nhận được trong các yêu cầu OpenID của chính mình? Valve đã làm gì — và tại sao nó không làm gián đoạn đường dẫn xác thực Bảng dưới đây so sánh từng hành động được công khai ghi nhận của Valve với việc liệu hành động đó có ảnh hưởng đến điểm truy cập xác thực OpenID hay không. Kết luận ở đây không phải là “Valve không làm gì cả” — mà là không có hành động nào được công khai ghi nhận tác động đến điểm mà các phiên đăng nhập vào nền tảng cờ bạc đi qua các máy chủ của Valve. | Ngày | Valve Hành động | Bị ảnh hưởng `openid.return_to` đường dẫn? | | --- | --- | --- | | July 2016 | Public statement of 13 July 2016; counsel's notices to ~23 named sites (press, 21 July 2016); >40 sites contacted per Valve's October 2016 letter to WSGC | No. Notices and the Link Filter act on operators and links; the OpenID request path was not changed. | | 2017 | Closure of `IEconItems_730/GetPlayerItems` (according to CSFloat's engineering account; no Valve changelog located) | No. Affected public item-history visibility. OpenID authentication was not modified. | | 2018-03-29 | CS:GO 7-day trade lock announced (blog.counter-strike.net) | No. Slowed item movement; the OpenID request path was not changed. | | 2022-05-10 | Trade-cancellation endpoints removed from the public Web API (user-detected; no Valve changelog — node-steam-tradeoffer-manager #325) | No. Closed the offer-swap tooling; OpenID authentication was not modified. | | 2023-12-04 | API-key creation now requires mobile confirmation (steamcommunity.com/dev/apikey; no changelog) | No. Protected the key endpoint; the auth hosts documented here were not affected. | | 2026-09-19 / 09-21 | Steam Link Filter state as observed by the authors | No. 14 main domains returned a block in the saved 2026-09-21 recheck — 26 split pairs in the register by 2026-09-22 — while the proxy carrying each login kept running. | Nguồn: Valve; tuyên bố của 13 ngày 2016 ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [đã lưu trữ 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · Bài viết kỹ thuật trên tạp chí “CSFloat” về việc đóng cửa nhà máy điện than 2017 ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [đã lưu trữ 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Trạng thái bộ lọc liên kết: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json). Kết quả này có thể bị bác bỏ chỉ bằng một trường hợp đã được công bố, trong đó Valve đã từ chối một yêu cầu OpenID vì `openid.return_to` được trỏ đến một máy chủ được cấp phép hoạt động cờ bạc. Không tìm thấy trường hợp nào như vậy trong hồ sơ công khai. Hai bản đăng ký máy chủ xác thực gần đây nhất **howl.uno** 2026-08-11 (RDAP) đã được đăng ký trước 41 vài ngày so với 2026-09-21; khi truy cập 2026-09-18,, howl.gg đã trả về thông báo chặn bởi bộ lọc liên kết (Link Filter) đối với , 2026-09-19 và 2026-09-21.. Vẫn chưa xác định được liệu việc chặn này có diễn ra trước khi đăng ký hay không. **rbsnin.com** đã được đăng ký tại 2026-09-18T09:34:52Z (Verisign RDAP) và được phát hiện trong quy trình đăng nhập Steam của Rollbit trên 2026-09-20 thông qua thông báo trên trang đăng nhập của chính Steam; rollbit.com đã trả về thông báo chặn từ Bộ lọc Liên kết (Link Filter) trên 2026-09-19 và 2026-09-21,, trong khi rbsnin.com thì không. Mỗi máy chủ trong bảng trên được gửi đến các máy chủ xác thực của Valve dưới dạng `openid.realm` trong mỗi lần đăng nhập. Dữ liệu đầy đủ theo từng tuyến đường và kết quả của bộ lọc liên kết: bảng trong Phần 3 ở trên; kết quả thô trong [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) và [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json). Phương pháp luận — Cách xác định số lượng bộ lọc tuyến đường và liên kết 1. Giải quyết tên miền Cuộc kiểm toán “2026-09-21” đã giải quyết yêu cầu “78” từ 189 liên quan đến các nền tảng được đề cập: **33 xác thực trên tên máy chủ của chính chúng và 20 trên tên miền con của chính chúng — xác thực trực tiếp, và không có đường dẫn nào trong số đó được tính là các đường dẫn thuộc miền riêng biệt.** Phần còn lại **25 xác thực thông qua một tên miền riêng có thể đăng ký**, trên 24 tên miền riêng biệt (dota2.net được dùng chung cho market.csgo.com và rust.tm): 10 được xác định thông qua ghi lại màn hình trình duyệt trực tiếp, 3 thông qua thông báo trên trang đăng nhập của chính Steam, 12 thông qua một URL OpenID được cung cấp. Danh sách theo thời gian thực ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) mở rộng điều đó thành **44 các tuyến đường có miền riêng biệt**: 26 các cặp bộ lọc-phân chia (miền chính bị chặn, máy chủ xác thực được chấp nhận) cùng với 18 các tuyến đường khác mà không có phân chia miền chính. Trong số các 44, **27 lưu giữ hồ sơ chứng cứ cho từng tuyến đường**; các mẫu còn lại thuộc loài 17 được thu thập bằng tay và đã được đánh dấu `realm_src: user` trong danh sách. Năm trong số mười bảy địa chỉ đó — csgogem.com, gamdom.com, 12cs.fail, csgolounge.com và dota2lounge.com — đã được thêm vào tại 2026-09-22 kèm theo bản ghi Link Filter của cả hai máy chủ (HTML thô + SHA-256 trong [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), do đó, sự phân chia này vẫn được ghi nhận rõ ràng dù vùng dữ liệu được thu thập thủ công; chúng xuất hiện trong bảng trên cùng với các tuyến đường trong tệp bằng chứng. `tfauth.com` (tf2easy.com) đã bị xóa khỏi danh sách đăng ký trên 2026-09-22:, tương tự như arena.fragnet.net, không có liên kết nào có thể xác minh được để kết nối nó với trang web gốc. Số lượng có thể tính lại từ dữ liệu đã công bố [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (2026-09-21) tuân theo một quy tắc duy nhất: một nền tảng chỉ được tính khi máy chủ OpenID Steam được ghi nhận của nền tảng đó nằm trên một tên miền có thể đăng ký khác với chính nền tảng đó. 2. Steam Trạng thái bộ lọc liên kết Đã được kiểm tra thông qua `steamcommunity.com/linkfilter/?url=https://[domain]`, chưa xác thực, trên 2026-09-19 và 2026-09-21; mã HTML thô được lưu dưới dạng SHA-256.. Trạng thái được ghi nhận riêng biệt cho tên miền chính và máy chủ xác thực. Một bộ phân loại phân biệt thông báo chung chung “Bạn đang rời khỏi Steam” (CLEAN) với trang “Liên kết bị chặn! ... được đánh dấu là có khả năng độc hại" (BLOCKED); một kiểm soát google.com xác nhận rằng hai trường hợp này không bị nhầm lẫn. Một biến thể đã được xác thực trước đó của thử nghiệm này đã bị loại bỏ sau khi nó trả về kết quả "bị chặn" cho mọi tên miền, bao gồm cả kiểm soát đó — nguyên nhân được xác định là do một cookie phiên không hợp lệ trong tập lệnh thăm dò, chứ không phải là kết quả thực tế. 3. Quan sát máy chủ auth Ghi lại trực tiếp: Trình duyệt Playwright đã truy cập vào quy trình đăng nhập của từng nền tảng và `openid.return_to` Tên máy chủ được lấy từ yêu cầu đã bị chặn. Thông báo trên trang đăng nhập: Tên máy chủ được lấy từ chính trang Steam "* không có liên quan đến Steam hoặc Valve*" văn bản mà Steam hiển thị từ `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). URL được cung cấp: một URL đăng nhập Steam được cung cấp cho các tác giả; URL này xác định các tham số yêu cầu, chứ không phải là một quá trình đăng nhập đã hoàn tất. Không có quá trình đăng nhập nào được hoàn tất trên bất kỳ nền tảng nào. 4. Phạm vi bảo hiểm — những vấn đề chưa được giải quyết, và tại sao điều đó lại quan trọng Trong số các nền tảng thuộc Hệ thống Ngân hàng Liên bang (189), **110 không hình thành được tuyến đường cố định nào** và có một trường hợp không áp dụng (189 − 78 − 1). Hồ sơ này không tính đến bất kỳ trường hợp nào trong số đó. Chi tiết phân tích từ tệp kiểm toán 110,: 22 – các lỗi liên quan đến bot, 14 – các trường hợp hết thời gian chờ, 12 – các lỗi HTTP và 10 – các lỗi điều hướng — người quan sát không thể truy cập được quy trình đăng nhập, mặc dù hầu hết các trang web này đều mở bình thường trên trình duyệt thông thường; 20 không hiển thị ô đăng nhập Steam trên trang đích; 16 đã truy cập vào quy trình đăng nhập nhưng không thể giải quyết được tên miền; các tên miền 11 không thể giải quyết được thành DNS; 5 bị dừng lại tại màn hình yêu cầu đồng ý. Danh sách dưới đây phân loại các trường hợp tương tự tại 110 theo cách khác: các trang 11 không thể giải quyết được thành DNS được liệt kê riêng biệt như *Đã xóa · NXDOMAIN*, và mục duy nhất không phù hợp được gộp vào phần còn lại. 189 là các nền tảng đã được kiểm toán, 11 đã bị xóa do nhận được thông báo NXDOMAIN dứt khoát từ cả hai bộ giải quyết tên miền, **178 được giữ lại** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **137 Các miền xác thực mà sổ cái đã đoán được dựa trên mẫu đặt tên đã bị xóa khỏi dữ liệu trên 2026-09-19 — chưa từng được ghi nhận, do đó không có bằng chứng.** Ba trong số các dự đoán này đã bị các URL OpenID được cung cấp bác bỏ: buff.163.com, gamerpay.gg và csgoluck.com thực hiện xác thực trực tiếp, trái ngược với các dự đoán là buffauthproxy.163.com, gamerpayredirect.io và lucklogin.app. Các mục bị loại bỏ được liệt kê trong tệp kiểm toán đã được công bố. Chỉ số tương đối (25) là mức tối thiểu, không phải mức tối đa. Trong số các nền tảng thuộc Mạng lưới Truy cập Internet (78) đã được giải quyết, 25 sử dụng một tên miền riêng biệt, trong khi 53 thì không. Không có bất kỳ giả định nào về 110 chưa được giải quyết dựa trên tỷ lệ đó, và không có dự báo nào từ tỷ lệ này xuất hiện ở bất kỳ đâu trong hồ sơ này. Mỗi trường hợp đều có thể được giải quyết bằng cách một người truy cập trang web và nhấn "Đăng nhập với Steam": tên máy chủ xác thực nằm trong URL của trang Steam được tải. **Mục đích của phần này:** Một người quan sát độc lập cần có trình duyệt và rất nhiều kiên nhẫn để xác định các nền tảng 189, và đã tìm thấy 78.; còn Valve thì cần thực hiện truy vấn cơ sở dữ liệu. Mọi nền tảng sử dụng tính năng “Đăng nhập bằng Steam” — dù đã được xác định hay chưa — đều gửi `openid.realm` đến điểm cuối xác thực của Valve mỗi khi đăng nhập. Khoảng trống trong bảng này xuất hiện do các tác giả nằm ngoài hệ thống. Khoảng trống này không tồn tại đối với Valve. Các tên máy chủ proxy được ghi nhận nằm trong [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). Ngày đăng ký tên miền từ RDAP (Verisign) / IP2WHOIS. Kết quả của công cụ lọc liên kết là [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json). Ví dụ minh họa để dễ hiểu hơn Hãy tưởng tượng một công ty taxi có giấy phép được cơ quan quản lý thông báo rằng họ không được phép tiếp tục hoạt động tại địa chỉ đã đăng ký trên Phố Chính nữa. Công ty này tháo biển hiệu khỏi Phố Chính. Việc tháo dỡ biển hiệu này được ghi nhận lại. Tuy nhiên, chính công ty này lại mở một địa chỉ mới trên Phố Phụ — được đăng ký dưới một tên khác — và tiếp tục hoạt động từ đó. Các cơ quan quản lý vận hành hệ thống điều phối trung tâm mà mọi xe taxi từ cả hai địa chỉ đều sử dụng. Mỗi yêu cầu đi xe đều hiển thị “đón tại Side Street.” Các cơ quan quản lý chưa bao giờ thu hồi giấy phép hoạt động tại Side Street. **Việc tháo dỡ biển hiệu “Main Street” là biện pháp xử lý duy nhất được thực hiện. Công ty taxi này chưa bao giờ ngừng hoạt động.** Phần A — Hồ sơ kỹ thuật · Mục3.1 ### Trong cuốn sách “Steam”, danh sách của “Valve” là danh sách duy nhất. Một liên kết được nhấp vào trong ứng dụng khách “Steam”, giao diện phủ trong trò chơi hoặc chế độ Big Picture sẽ không mở trong trình duyệt của người dùng. Liên kết đó sẽ được hiển thị bên trong trình duyệt nhúng sẵn của “Steam” — nơi không có các lớp cảnh báo mà trình duyệt thông thường thường hiển thị. **Bộ lọc liên kết không phải là một trong số nhiều biện pháp bảo vệ. Nó chính là toàn bộ hệ thống bảo vệ.** **Trong một trình duyệt thông thường** Ba lớp độc lập - **Google Safe Browsing** Một trang chèn toàn màn hình dành cho các máy chủ nằm trong danh sách lừa đảo và phần mềm độc hại của Google, được cập nhật liên tục và không phụ thuộc vào trang web đang được truy cập. - **Tiện ích mở rộng trình duyệt chống vi-rút** Hầu hết các sản phẩm dành cho thiết bị đầu cuối của người dùng đều đi kèm với một tiện ích mở rộng trình duyệt có chức năng kiểm tra địa chỉ đích dựa trên danh sách uy tín do chính nhà cung cấp lập ra. - **Kiểm tra HTTPS tại điểm cuối** Khi sản phẩm thực hiện kiểm tra “TLS”, nội dung trang web sẽ được quét trước khi hiển thị cho người dùng. **Trong ứng dụng kháchSteam, chế độ hiển thị chồng lớp và chế độ Big Picture** Một lớp - **Google Safe Browsing** Không có. Quy trình kiểm tra này yêu cầu các khóa “API” của Google, nhưng các khóa này không được cấp phát trong các bản dựng Chromium nhúng; khi các khóa này vắng mặt, tài liệu thiết kế của chính Chromium ghi rõ rằng trình xử lý Safe Browsing đơn giản là không bao giờ được thêm vào chuỗi yêu cầu. - **Tiện ích mở rộng trình duyệt chống vi-rút** Không có. Trình hiển thị của Steam không phải là trình duyệt của người dùng và không tải bất kỳ tiện ích mở rộng nào từ hồ sơ trình duyệt của người dùng, do đó không có tiện ích mở rộng nào được chạy trên trang này. - **Kiểm tra HTTPS tại điểm cuối** Tùy thuộc vào sản phẩm. Lưu lượng truy cập được xử lý bên trong một tiến trình Valve đã được ký mã thay vì trong một trình duyệt được nhận diện, và một số sản phẩm đầu cuối miễn trừ các ứng dụng đã được ký mã khỏi quá trình kiểm tra TLS. - **Bộ lọc liên kết “Steam”** Danh sách chặn riêng của Valve, được tham chiếu khi một liên kết rời khỏi hệ sinh thái Steam. Đây là kiểm tra duy nhất được thực hiện — và bảng trên ghi lại kết quả mà nó trả về cho các máy chủ xác thực được đề cập trong phần này. Một thử nghiệm mà bất kỳ độc giả nào cũng có thể thực hiện, và kết quả sẽ không còn đúng nếu thử nghiệm đó thất bại Mở một trong các URL kiểm tra tính năng Duyệt web an toàn do Google công bố (`testsafebrowsing.appspot.com`) trong Chrome: một trang chèn màu đỏ toàn màn hình sẽ xuất hiện. Mở cùng một URL từ một tin nhắn trò chuyện trên Steam, sao cho URL đó được hiển thị trong trình duyệt Steam hoặc lớp phủ: không có trang chèn nào xuất hiện. Cảnh báo duy nhất mà Steam có thể hiển thị là chính trang “Link Filter” của nó, và chỉ áp dụng cho các máy chủ có trong danh sách của Valve. Kỷ lục về chương trình thưởng lỗi của chính Valve **Vấn đề về “một lớp” này đã từng được giải quyết trước đây — ngay trên chính đĩa nhạc củValve** Nếu Bộ lọc liên kết (Link Filter) là cơ chế kiểm tra duy nhất được thực thi bên trong máy khách, thì các tình huống lỗi của chính nó không phải là vấn đề phụ. Hai báo cáo trên chương trình HackerOne của Valve, cả hai đều đã được chấp nhận, đã được giải quyết và đều đã được công bố đầy đủ: - [#291750](https://hackerone.com/reports/291750) [đã lưu trữ 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) Chuyển hướng mở · medium ### Vượt qua cơ chế bảo vệ bộ lọc liên kết Đã báo cáo 19 vào ngày 2017,, đã được khắc phục, đã được công bố 9 vào ngày 2018.. Bằng chứng khái niệm trong chính báo cáo: thay thế dấu chấm trong ký tự tượng hình `。` (`%E3%80%82`) đối với dấu chấm trong tên máy chủ — it is possible to bypass the blocking. Phần nội dung xen kẽ mà phần này đề cập đến đã không xuất hiện. - [#1079561](https://hackerone.com/reports/1079561) [đã lưu trữ 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) Công bố thông tin · mức cao ### Trình duyệt web Big Picture bị rò rỉ cookie đăng nhập và tiết lộ thông tin nhạy cảm (có thể dẫn đến việc chiếm quyền kiểm soát tài khoản) Đã báo cáo 15 tháng 1 2021, đã được khắc phục, công bố 21 tháng 9 2021. Valve có mức độ nghiêm trọng cao, và tiêu đề nêu rõ hậu quả. Bản ghi công bố bao gồm tiêu đề, mức độ nghiêm trọng và các ngày tháng; phần mô tả kỹ thuật không có trong nội dung được công bố, do đó không trích dẫn thêm thông tin nào từ đó ở đây. **Đó là cách hiểu của các tác giả, chứ không phải kết luận của bất kỳ báo cáo nào:** Hai trường hợp này nằm ở hai bên của cùng một cánh cổng. Một là cảnh báo không xuất hiện trước khi trang đích được mở; trường hợp còn lại là phiên làm việc bị rời khỏi máy khách ngay khi một trang được mở bên trong đó. Chuỗi sự kiện diễn ra sau khi phiên làm việc bị đánh cắp — khóa được đăng ký mà không có lời nhắc, giao dịch thực tế bị hủy, một bản sao được gửi đến một bản sao giả mạo — chính là mô hình được nêu trong [Phần 5](https://phishdestroy.io/steam_dossier/vi/#vulnerability-profile) đến [Phần 8](https://phishdestroy.io/steam_dossier/vi/#consent-analysis). Cả hai báo cáo này đều đã được đóng lại; không có báo cáo nào được coi là lỗ hổng bảo mật đang tồn tại. Những gì các báo cáo này chỉ ra có phạm vi hẹp hơn nhưng cũng đủ thuyết phục: lớp bảo mật duy nhất còn lại đã có tiền lệ bị vượt qua, theo chính hồ sơ của Valve. Nguồn: Hồ sơ công bố của HackerOne cho từng báo cáo, được trích xuất từ 2026-09-22 — số báo cáo, tiêu đề, nhóm, lỗ hổng, mức độ nghiêm trọng, ngày báo cáo, ngày công bố và trạng thái theo thông tin do HackerOne công bố. Hồ sơ trích xuất: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). Tại đây không nêu rõ mức tiền thưởng; trong hồ sơ đã được công bố mà chúng tôi tra cứu được cũng không có thông tin nào về điều này. Quan sát thực địa · PhishDestroy **Các phát hiện thường khiến một chiến dịch kết thúc lại không làm cho những chiến dịch này kết thúc** Chúng tôi đã quan sát thấy các máy chủ lừa đảo liên tục thu hút lưu lượng truy cập trong khi vẫn đang chứa **20 hoặc phát hiện thêm các nhà cung cấp**. Khi được phân phối qua web hoặc email, một chiến dịch ở trạng thái đó sẽ bị chặn chỉ sau vài ngày — cả trình duyệt lẫn phần mềm diệt virus đều thực thi các quyết định đó. Trong Steam, cả hai đều không làm vậy. Các quyết định đó đã tồn tại từ trước. Không có bất kỳ thành phần nào trong ứng dụng khách từng yêu cầu điều đó. ### Điều này có ý nghĩa như thế nào đối với một trẻ vị thành niên đã cài đặt phần mềm diệt virus Anh ta không bỏ qua bất kỳ cảnh báo nào và cũng không vô hiệu hóa bất cứ thứ gì. Một tin nhắn xuất hiện tại Steam — một con dao miễn phí, một phiếu bầu cho đội của bạn bè — và trang web đó được mở tại Steam. Anh ta không bao giờ mở trình duyệt, nên trình duyệt cũng không bao giờ bảo vệ anh ta. Phần mềm diệt virus của anh ta đang chạy và có thể đã đánh giá tên miền đó là độc hại; nhưng phần mềm này không bao giờ được yêu cầu thực hiện điều đó. **Mọi lời cảnh báo có thể ngăn cản anh ta đều đã có sẵn. Nhưng không có lời nào trong số đó đến được với anh ta.** Anh ấy tin rằng mình chưa bao giờ rời khỏi “Steam”, và quả thực là vậy. Chiêu trò tặng quà miễn phí không phải do kẻ lừa đảo nghĩ ra — việc tặng các vật phẩm miễn phí trong trò chơi “Valve” chính là cách các trang web về skin và cờ bạc quảng cáo, và đó chính là lý do tại sao tin nhắn này trông có vẻ bình thường. Các khiếu nại: [kho lưu trữ các biện pháp thi hành](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records). Dữ liệu về độ tuổi và trẻ em: [Phần 17](https://phishdestroy.io/steam_dossier/vi/#minors-protection). Nguồn: Steam hiển thị nội dung web thông qua Chromium Embedded Framework trong `steamwebhelper` quy trình — xem [Phân tích kỹ thuật của DARKNAVY về 27 tháng 6 năm 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) và của chính Valve [Steam Diễn đàn Beta dành cho khách hàng ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [đã lưu trữ 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). Không dựa vào bất kỳ phiên bản CEF nào: Chromium nhúng không phải là Chrome và không đi kèm với bất kỳ dịch vụ nào của Google dành cho Chrome. Tính năng Duyệt web an toàn không sử dụng khóa API: [Tài liệu thiết kế Chromium ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [đã lưu trữ 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [Các phím tắt trong Chromium API ↗](https://www.chromium.org/developers/how-tos/api-keys/) [đã lưu trữ 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) (“Nhiều API của Google được Chrome sử dụng là độc quyền của Google và không dành để sử dụng trong các sản phẩm phái sinh”), và hiệu ứng tương tự cũng xảy ra trong các bản dựng không có khóa khác — [Thùng bia tự ủ số193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). Các URL thử nghiệm: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/). Phần A — Hồ sơ kỹ thuật · Mục4 ## Một điểm cuối đã bị đóng. Hệ thống truy vết công khai đã mất một khóa. Bối cảnh và các giới hạn về nguồn Steam Các thay đổi đã được triển khai nhằm loại bỏ khả năng hiển thị công khai các mã định danh tài sản (Asset ID) và hạn chế quyền truy cập vào kho hàng của API. Hậu quả là: việc truy vết một mặt hàng cụ thể thông qua mã định danh tài sản ban đầu của nó đã trở nên bất khả thi dựa trên dữ liệu công khai. Phần tiếp theo sẽ trình bày những gì có thể thực hiện được trước đây, những gì không còn khả thi sau đó, và những khó khăn mà nạn nhân phải đối mặt khi cố gắng chứng minh tài sản của họ đã đi đâu. Theo tài khoản kỹ thuật của CSFloat, ngày diễn ra sự việc là 2017; chưa tìm thấy bản ghi thay đổi nào tại Valve. Chuỗi sự kiện này — diễn ra khoảng một năm sau tuyên bố về cờ bạc vào tháng 7 tại 2016 — là câu hỏi điều tra, chứ không phải kết luận. Các bản ghi vật phẩm vẫn còn tồn tại trong hệ thống của Valve; các nhà điều tra bên ngoài đã mất quyền truy cập vào chuỗi ID gốc, trong khi các mã định danh float, seed và paint chỉ cho phép so khớp một phần. **Quy tắc “Valve” được áp dụng:** Steam Bộ phận hỗ trợ sẽ không khôi phục các mặt hàng đã bị xóa khỏi tài khoản của bạn, và trách nhiệm chứng minh sự việc đã xảy ra thuộc về bạn. **Bản ghi:** Tại 2017 Valve, điểm cuối truyền các ID vật phẩm gốc đã bị đóng. Trước đó, bất kỳ ai cũng có thể theo dõi một skin bị đánh cắp từ tài khoản của nạn nhân đến một bot trên thị trường. Sau đó, không ai bên ngoài Valve có thể làm được điều này nữa. **Giấy tờ tùy thân mà nạn nhân được yêu cầu xuất trình chính là giấy tờ đã bị tắt đi** — và nó vẫn còn tồn tại, bên trong cuốn sách “Valve”. ### Thời kỳ trước khi mất điện Xét về mặt lịch sử, mọi vật phẩm ảo được tạo ra trên Steam đều sở hữu một mã duy nhất trên toàn cầu và không thể thay đổi Mã tài sản . Các cơ sở dữ liệu của bên thứ ba thuộc mạng lưới Ủy ban Phòng chống Tội phạm (OSINT) có thể lập chỉ mục các ID này. Nếu một người dùng bị đánh cắp tài sản, các nhà điều tra có thể truy vết nguồn gốc của tài sản cụ thể đó khi nó được chuyển từ tài khoản trung gian của kẻ đánh cắp sang các tài khoản lưu trữ của một sàn giao dịch hoặc trang web cá cược. TRƯỚC ĐÂY: bất kỳ ai cũng có thể theo dõi một khoản tiền từ tài khoản của nạn nhân qua các tài khoản trung gian và đến một sàn giao dịch hoặc bot lưu trữ của sòng bạc, chỉ bằng cách sử dụng dữ liệu công khai. ### Sau khi thay đổi Theo tài khoản kỹ thuật của CSFloat, Valve đã đóng điểm cuối tại 2017 và các ID mục gốc không còn khả dụng đối với các bên bên ngoài. Chưa tìm thấy bất kỳ tuyên bố nào từ Valve về lý do của thay đổi này. Trong cùng khoảng thời gian đó, cũng chưa tìm thấy bất kỳ hành động công khai nào được thực hiện nhằm vào các tài khoản bot thương mại đã di chuyển các mục trên quy mô lớn. Dù lý do là gì đi chăng nữa, sự thay đổi này đã làm đứt đoạn chuỗi lưu giữ công khai. Nạn nhân không còn có thể tái tạo chuỗi ID gốc từ dữ liệu công khai để chứng minh rằng một mặt hàng cụ thể bị đánh cắp đã được thanh lý thông qua một sàn giao dịch hoặc sòng bạc cụ thể. Các bản ghi về mặt hàng đó vẫn tồn tại trong hệ thống củValve; công chúng, các nhà nghiên cứu và cơ quan thực thi pháp luật khi làm việc dựa trên dữ liệu công khai không thể truy cập được chúng. SAU ĐÓ: Không còn có thể truy vết một vật phẩm cụ thể thông qua ID Tài sản ban đầu của nó từ dữ liệu công khai. Chuỗi lưu giữ ID ban đầu của một vật phẩm đã được di chuyển sau sự kiện “2017” chỉ tồn tại bên trong hạ tầng của Valve; không có hồ sơ nào như vậy được công bố công khai. Các mã định danh Float, seed và paint chỉ cho phép so khớp một phần và mang tính xác suất. IEconItems_730 NHẬN `/IEconItems_730/GetPlayerItems/v1/` Tải trọng có thể truy xuất nguồn gốc (Trước khi vá lỗi) `"id": "14892281934" ,` `"original_id": "11829910211" ,` Tình trạng: Nạn nhân có thể theo dõi nguồn gốc của vật phẩm qua các tài khoản bot. Tải trọng được mã hóa (sau khi vá lỗi) Hiện tại `"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,` `"original_id": "NULL" ,` Tình trạng: Các bên thứ ba không còn có thể truy xuất nguồn gốc của mặt hàng dựa trên ID tài sản ban đầu từ dữ liệu công khai. **Ảnh hưởng đến chứng cứ:** Sau khi thay đổi, dữ liệu công khai cần thiết để theo dõi một mặt hàng cụ thể thông qua ID tài sản gốc từ tài khoản của nạn nhân vào một sàn giao dịch hoặc bot sòng bạc đã không còn khả dụng. Các bản ghi nội bộ vẫn còn tồn tại tại Valve; một nạn nhân, nhà nghiên cứu hoặc điều tra viên làm việc dựa trên dữ liệu công khai sẽ không thể tái tạo chuỗi ID gốc (các mã định danh float, seed và paint chỉ cho phép khớp một phần). Nguồn: Bài viết trên tài khoản kỹ thuật của CSFloat về việc đóng cửa khu vực 2017 `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/cách-floatdb-theo-dõi-các-mục](https://blog.csfloat.com/how-floatdb-tracks-items/) ([đã lưu trữ 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Các dữ liệu tải (payloads) được hiển thị chỉ là minh họa cho hình dạng của trường, không phải là các phản hồi thực tế · Chưa tìm thấy bản ghi thay đổi (Valve) cho hàm đóng này. Phần A — Hồ sơ kỹ thuật · Mục5 ## Một phiên làm việc. Quyền truy cập rộng hơn so với những gì người dùng nhìn thấy. Bối cảnh và các giới hạn về nguồn Kiến trúc “API” của Valve, ở trạng thái trước khi có những thay đổi liên quan đến “2023”, đã đi chệch khỏi các tiêu chuẩn cơ bản của ngành (OWASP ASVS, NIST SP 800-63B) và chính là cơ chế được mô tả trong các khiếu nại về hành vi trộm cắp tài sản tự động được lưu giữ trong kho lưu trữ chứng cứ (Các mục 6–8). **Quy tắc “Valve” được áp dụng:** Chủ tài khoản đã tạo khóa, đồng ý với các điều khoản và phải chịu tổn thất — đó là câu trả lời trong các trường hợp từ chối đã được lưu trữ. **Bản ghi:** Cho đến tháng 12 năm 2023, chỉ cần một cookie phiên bị đánh cắp là đã có thể đăng ký khóa đó. Không cần mật khẩu. Không cần tính năng Steam Guard. Không có thông báo nào được gửi đến chủ tài khoản. **Người dùng không phải là người tạo ra khóa đó, không thể nhìn thấy nó, nhưng lại được thông báo rằng chính anh ta đã tạo ra nó.** Tính năng xác nhận qua điện thoại di động đã được bổ sung trên 2023-12-04 — khoảng bảy năm sau tuyên bố “2016” và khoảng sáu năm sau các diễn đàn lừa đảo mà kho lưu trữ này bảo quản. Những khoản chi phí trong những năm đó không được chi trả bởi Valve. Chúng được chi trả từ các tài khoản đã bị rút cạn trong thời gian đó, trong đó có một phần là tài khoản của trẻ em. OWASP ASVS 2.8 / NIST SP 800-63B MỨC ĐỘ NGHIÊM TRỌNG: RẤT NGHIÊM TRỌNG ### 1. Xác thực tăng cường không đầy đủ Steam cho phép tạo các khóa xác thực hai yếu tố (API) có đặc quyền cao và thời hạn sử dụng dài chỉ bằng cách sử dụng cookie phiên. Không yêu cầu xác thực hai yếu tố (2) (Steam Guard) hoặc thách thức xác thực nâng cao khi thiết lập hoặc sửa đổi khóa API dành cho nhà phát triển, do đó xác nhận trên thiết bị di động qua Steam Guard — yếu tố thứ hai duy nhất mà Steam cung cấp — không bảo vệ bước này. (Một yếu tố thứ hai dựa trên phần cứng đã được đề xuất trong hệ thống theo dõi của chính Valve tại 2016 và vấn đề này vẫn đang mở: Phụ lục D, GH-01.) Tình trạng: chưa được vá trước phiên bản 2023.. Lỗ hổng này cho phép một tập lệnh chứa cookie bị đánh cắp đăng ký khóa mà không cần bất kỳ tương tác nào từ người dùng. OWASP A01:2021 / Quyền truy cập tối thiểu MỨC ĐỘ NGHIÊM TRỌNG: RẤT NGHIÊM TRỌNG ### 2. Thiếu nguyên tắc quyền hạn tối thiểu Trang web Steam API thiếu các phạm vi ủy quyền dựa trên vai trò. Một khóa nhà phát triển API được cấp cho trạng thái danh mục “chỉ đọc” lại sở hữu toàn bộ quyền “ghi” — bao gồm khả năng thao tác các giao dịch hiện có, khởi tạo giao dịch mới, đăng ký webhook và từ chối các giao dịch đang chờ xử lý hợp lệ. Tình trạng: Lỗi thiết kế hệ thống. Chỉ cần một khóa là có thể kiểm soát toàn bộ việc đọc/ghi đối với kho hàng và các giao dịch của tài khoản. OWASP A07: Lỗ hổng xác thực phiên (2021) / Phiên làm việc MỨC ĐỘ NGHIÊM TRỌNG: CAO ### 3. Lỗi trong quản lý phiên làm việc Người dùng đã báo cáo rằng các phiên truy cập web bị chiếm quyền điều khiển có nguồn gốc từ các dải địa chỉ IP của máy chủ lưu trữ vẫn tiếp tục tồn tại. Theo quy trình tiêu chuẩn, các phiên truy cập sẽ bị ngắt khi phát hiện các bất thường về vị trí địa lý hoặc khi thay đổi mật khẩu; tuy nhiên, các báo cáo của người dùng được lưu trữ trong kho dữ liệu cho thấy có những phiên truy cập vẫn duy trì trạng thái hoạt động ngay cả sau khi thay đổi mật khẩu. Tình trạng: Hành vi đã được báo cáo (các khiếu nại của người dùng trong kho lưu trữ). Các phiên làm việc có thể tạo ra các khóa “API” mà không cần xác thực lại. Việc chặn ở cấp tên miền là khả thi về mặt kỹ thuật KHẢ NĂNG THỰC THI ### 4. Việc chặn các máy chủ xác thực ở cấp miền là khả thi về mặt kỹ thuật Valve hệ thống này hiện đã vận hành một danh sách tên miền (Link Filter) và đã nhận được mọi tên máy chủ xác thực trong các yêu cầu OpenID của chính nó. Hai cơ chế này không có bất kỳ mối liên hệ nào có thể nhận thấy từ bên ngoài: theo thông tin tại 2026-09-22,, trong cặp 26, tên miền chính đã nằm trong danh sách lọc trong khi máy chủ proxy xử lý quá trình đăng nhập của nó thì không. Việc kết nối chúng là một công việc kỹ thuật đơn giản: đọc `openid.realm` lấy tên máy chủ từ mỗi yêu cầu đến, so sánh với một danh sách, và từ chối hoặc đánh dấu yêu cầu đó. Hình minh họa bên phải cho thấy cấu trúc của quy trình này. Việc từ chối máy chủ xác thực — thay vì chỉ từ chối trang đích công khai — sẽ làm gián đoạn bước “Đăng nhập bằng Steam” mà các nền tảng này phụ thuộc vào. Không có bằng chứng công khai nào cho thấy Valve thực hiện việc kiểm tra như vậy. Phí tổng hợp khoảng 15% của Steam Community Market chỉ áp dụng cho các giao dịch được thực hiện bên trong nền tảng này; phí này không được thu đối với các giao dịch bên ngoài các nền tảng này. block_auth_hosts.py HÌNH MINH HỌA // Read the host Steam already receives — no scanning def on_openid_request(request): host = parse_openid_realm(request) nếu máy chủ trong các miền bị chặn: từ chối (yêu cầu) **Lưu ý:** Mã giả này chỉ mang tính minh họa. Cả hai phần này đều đã tồn tại tại Valve — tên máy chủ xác thực được gửi kèm trong yêu cầu, còn danh sách tên miền chính là Bộ lọc liên kết. Không có tài liệu công khai nào giải thích lý do tại sao chúng lại không được kết nối với nhau. Mục 5.1 — Các tiêu chuẩn này không phải là chưa được công bố ### Valve hàng ngày đều tuân thủ các quy tắc này. Nhưng ở đây thì nó lại không tuân thủ các quy tắc đó. Steam có mặt trên App Store và Google Play, thực hiện thanh toán qua các nhà cung cấp dịch vụ xử lý thẻ tín dụng lớn và sử dụng các API của bên thứ ba giống như bất kỳ nền tảng lớn nào khác. Mỗi mối quan hệ này đều đi kèm với các yêu cầu bảo mật đã được công bố và có thời hạn cụ thể mà Valve phải tuân thủ để tiếp tục hoạt động. Hãy so sánh thời hạn của các yêu cầu đó với thời điểm mà trang web API của Steam đã đạt được các biện pháp bảo vệ tương tự. **Không có nội dung nào dưới đây là tiêu chuẩn nội bộ, bản ghi nhớ nội bộ hay bí mật kinh doanh: mỗi dòng đều là một tài liệu công khai có ngày công bố.** Các yêu cầu bảo mật bên ngoài đã được công bố, kèm theo ngày công bố, được so sánh với ngày mà trang web Steam (API) áp dụng biện pháp kiểm soát tương ứng | Tiêu chuẩn đã được công bố và ngày có hiệu lực | Trang web “Steam” API cũng đề cập đến cùng một câu hỏi này | | --- | --- | | **Scoped authorisation** OAuth 2.0 — RFC 6749, October 2012. Section 3.3 defines `scope` so a client receives only the access it asks for. It has been the default of every major platform API since. | **Granular scopes arrived on 16 January 2026.** Before that a single Steam Web API key carried full read and write over the account's trades regardless of why it was issued. **Thirteen years and three months** after the specification that defines the control. | | **A key is not an authorisation** Google's own Cloud documentation: A standard API key doesn't authenticate a principal, and for APIs that create or manage resources, don't use authorization keys in production. | **The Steam Web API key was exactly that.** A bearer string, issued to an account, sufficient on its own to read the inventory, cancel a pending trade and send a new one. No principal was authenticated at the point of use. | | **Multi-factor authentication on privileged access** PCI DSS 3.2, requirement 8.3 — mandatory from 1 February 2018 for all non-console administrative and all remote access to the cardholder data environment. Apple then required two-factor authentication of every Developer Program account holder from 27 February 2019: developers with the Account Holder role in a developer program will need to enable two-factor authentication to sign in. | **A second factor was required to create an API key from 4 December 2023.** Until then a stolen session cookie was enough, with no prompt on the account holder's phone and no notification afterwards. **Four years and nine months** after Apple made Valve itself use a second factor merely to sign in to a developer portal. | | **Credential lifecycle and revocation** Twitch requires of every third-party application: Your app must validate the OAuth token when it starts and on an hourly basis thereafter, and states that it audits for applications that do not. Its legacy v5 API was retired outright on 28 February 2022 on a published schedule. | **No published key-lifecycle record.** The 2023 change protected the creation endpoint. No Valve statement located with it addresses keys already registered, and no changelog accompanied the change at all. Whether keys created before it were invalidated cannot be established from public data — which is the question a data subject would need answered to know whether a key created on their account years earlier is still live. | Tiêu chuẩn kiến trúc // Kiến trúc Token #### GitHub Phạm vi chi tiết so với phạm vi tổng quát (Valve) Steam Trang web API Valve Các nhà phát triển quản lý phần mềm mã nguồn mở trên GitHub hàng ngày bằng cách sử dụng các mã thông báo có mức quyền hạn tối thiểu và chi tiết. Hãy so sánh điều này với khóa thống nhất được cấp cho người chơi tại 130M Steam. GitHub Token chi tiết Được sử dụng bởi Valve trên GitHub Token có mức độ chi tiết cao với tính năng cách ly theo phạm vi và việc thực thi bắt buộc chu kỳ sống. Quyền truy cập kho lưu trữ: Chỉ các kho lưu trữ được chọn (kho lưu trữ 1) Cấp quyền: Chỉ đọc [✓] Mã nguồn & Bí mật: Không có quyền truy cập [✕] Hạn sử dụng: 30 Ngày (TTL bắt buộc) Ghi nhật ký kiểm toán: IP, User-Agent và Dấu thời gian **Tình hình an ninh:** Token có đặc quyền tối thiểu giúp hạn chế thiệt hại chỉ trong phạm vi một tài nguyên chỉ đọc. ! Valve Steam Mã kích hoạt WebAPI Phát hành cho người dùng130M Một chuỗi ký tự chính duy nhất dạng “32-” (chỉ có hoặc không có) quy định toàn bộ quyền giao dịch và quản lý hàng tồn kho. Quyền truy cập tài khoản: TÀI KHOẢN ĐẦY ĐỦ (Monolithic) Quản lý giao dịch: Đọc, Hủy, Từ chối [!] Phạm vi chi tiết: KHÔNG CÓ (2026,13đã đến muộn) Hạn sử dụng: KHÔNG BAO GIỜ (Có hiệu lực vô thời hạn) Ghi nhật ký kiểm toán: KHÔNG (Người dùng không có lịch sử IP nào) **Lỗ hổng bảo mật:** Chìa khóa bị đánh cắp cho phép chặn bí mật tất cả các đề nghị giao dịch đi ra ngoài. Tiêu chuẩn được áp dụng theo một hướng Giả sử một nhà cung cấp mà Valve phụ thuộc vào — một nhà cung cấp dịch vụ đám mây, một đơn vị xử lý thanh toán, một CDN — đã để lộ một điểm cuối xác thực mà không có yếu tố xác thực thứ hai, và vài tháng sau, dữ liệu nội bộ của Valve đã bị rò rỉ thông qua một khóa được tạo ra tại điểm cuối đó. Liệu Valve có chấp nhận rằng lỗi thuộc về người đã nhấp vào liên kết đó không? Các quyết định từ chối được lưu trữ trong hồ sơ này trả lời câu hỏi tương tự dành cho người dùng: quan điểm được đưa ra là chủ tài khoản đã tạo ra khóa đó và phải chịu trách nhiệm về tổn thất. **Cấu trúc này được mô tả là sự thất bại của nhà cung cấp ở một khía cạnh và trách nhiệm của người dùng ở khía cạnh khác.** Điều đó là gì không phải là một câu hỏi mang tính kỹ thuật, và cũng không phải là vấn đề mà cuộc điều tra này có thể giải quyết — đó là điều mà tòa án hoặc cơ quan giám sát sẽ quyết định. Hình minh họa, không phải bằng chứng — tiêu chuẩn được hiểu theo hướng ngược lại - Một nhà cung cấp dịch vụ thanh toán đã cho phép một tập lệnh của bên thứ ba tạo ra thông tin xác thực giao dịch có toàn quyền truy cập chỉ dựa trên cookie của trình duyệt, mà không có bất kỳ thông báo nào gửi đến chủ tài khoản. - Một nhà cung cấp dịch vụ xác thực đã bịt lỗ hổng mà qua đó các token của họ được phát hành, nhưng lại không công bố bất kỳ thông tin nào về các token đã được phát hành. - Một ngân hàng đã giải quyết vụ tranh chấp về giao dịch chuyển khoản bằng cách xác nhận rằng thông tin đăng nhập được sử dụng đã được đăng ký trên chính tài khoản của khách hàng, và đã đóng hồ sơ khiếu nại. Không có nội dung nào trong số này được đưa ra như một kết luận về bất kỳ công ty cụ thể nào. Đó là những quyết định thiết kế tương tự, được áp dụng vào một bối cảnh mà phản ứng của cơ quan giám sát đã được ghi chép đầy đủ — và đây chính là sự so sánh mà cơ quan quản lý được yêu cầu thực hiện. **Những gì hồ sơ đã ghi nhận:** Các quy định không có trên trang web Steam API là những quy định công khai, đã lỗi thời và, trong một số trường hợp, là những điều kiện Valve mà doanh nghiệp phải tuân thủ để tiếp tục xuất khẩu sản phẩm của mình. Khoảng thời gian giữa mỗi tiêu chuẩn và sự thay đổi tương ứng Steam có thể đo lường được và đã được nêu rõ ở trên. **Điều mà nó không làm rõ là lý do tại sao.** Chưa tìm thấy bất kỳ bản giải trình nào của Valve về lý do của bất kỳ khoảng thời gian nào trong số này, và ở đây cũng không đưa ra giả định nào; tài liệu đó hiện đang được lưu trữ tại Valve và chưa được công bố. Các nguồn, mỗi nguồn là một tài liệu công khai: OAuth 2.0 — [RFC 6749, Tháng 10 năm 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [API Tài liệu về phím ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · Yêu cầu PCI DSS về việc xác thực danh tính (3.2) 8.3 — [Hướng dẫn tài nguyên của PCI SSC ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · Apple — [Yêu cầu xác thực hai yếu tố sắp được áp dụng đối với chủ tài khoản, 20 tháng 2 năm 2019 ↗](https://developer.apple.com/news/?id=02202019a) [đã lưu trữ 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · Twitch — [Yêu cầu xác thực mã thông báo ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) và [Thông báo ngừng hoạt động phiên bản v5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [đã lưu trữ 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). Các mốc thời gian của Steam là những mốc được ghi trong bản ghi cập nhật ở phần này; các mục 2023 và 2026 là những bản mà Valve đã phát hành mà không kèm theo bản ghi thay đổi. Truy cập tại 2026-09-22. Bản ghi cập nhật riêng của Valve — đã lỗi thời, lấy từ các nguồn công khai | Ngày | Valve thay đổi | Đã công bố chưa? | Điều gì đã khiến nó đóng cửa | Lag: cơ chế công khai → đã khắc phục | Nguồn | | --- | --- | --- | --- | --- | --- | | 2026-09-01 | Automated Suspicious Chat Flagging | Yes | Dangerous links / patterns in group chats | — | [news ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) | | 2026-01-16 | Steamworks Web API granular scopes | Yes | Least-privilege scopes for developer keys | — | [announcement ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) | | 2025-07-15 | CS2 Trade Protection & reversal window | Yes | **Nothing.** Not a root-cause security fix. Support-side account recovery access remains untouched. Triggering reversal inflicts an automatic 30-day trade lockout ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), while cash-trading shock caused a $104M (-25%) 24h market cap plunge ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). In 2026, timers became per-item ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [FAQ ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) | | 2025-05-14 | Account Security Announcement | Yes | Stealer / session-hijack guidance | — | [announcement ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) | | 2024-10-02 | CS2 'The Armory' 7-day hold | Yes | Hold on trade/market for Armory items | — | [announcement ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) | | 2024-09-18 | New-device login trade restriction | Yes | 2–7 day trade lock on new devices | — | [FAQ ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) | | 2024-02-14 | Profile name & avatar change hold | Yes | 2–4 h cooldown on trades after rename | — | [post ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) | | 2023-12-04 | Mobile confirmation for API keys | No changelog | Silent cookie-only key registration | ≈6 years after the 2017-era panels | [dev page ↗](https://steamcommunity.com/dev/apikey) | | 2023-10-24 | SMS MFA for game build publications | Yes | Steamworks build publishing | — | [announcement ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) | | 2023-07-12 | Custom biography content warning | Yes | Phishing links in bios | — | [forum ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) | | 2023-01-25 | Profile {LINK REMOVED} & cooldown | Yes | Links in profile text | — | [FAQ ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) | | 2022-10-24 | Login overhaul & cookie truncation | No changelog | Infinite stolen sessions | — (IAuthenticationService token migration) | [news ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) | | 2022-10-12 | Mobile App 3.0 QR login | Yes | Session deauthorisation panel | — | [news ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) | | 2022-05-10 | Trade-cancellation endpoints removed | No changelog | Offer-swap (cancel & re-send) | ≈5 years after the 2017-era panels | [issue #325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) | | 2020-05-25 | Dota 2 7-day trade lock | Yes | Fast item flipping | — | [blog ↗](https://blog.dota2.com/2020/05/trading-cooldown/) | | 2018-03-29 | CS:GO 7-day trade lock | Yes | Instant bot laundering | ≈20 months after the July 2016 statement | [blog ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [archived 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) | Nguồn: các bài đăng trên Valve có liên kết, các trang trợ giúp và các vấn đề trên GitHub, theo ngày tháng ghi trên đó. Ba bản sửa lỗi quan trọng đã được phát hành mà không có bản ghi thay đổi (2022-05, 2022-10, 2023-12) và được người dùng phát hiện, chứ không phải do Valve thông báo — sự bất đối xứng đó là một phần của hồ sơ thực thi. Sự chậm trễ chỉ được tính toán khi chính ngày tháng trong hồ sơ (tháng 7 2016 tuyên bố; 2017-các hội đồng lừa đảo thời kỳ đó) cung cấp điểm khởi đầu; "—" có nghĩa là không có điểm khởi đầu nào được xác định tại đây. Phần A — Hồ sơ kỹ thuật · Mục6 ## Trình mô phỏng khai thác và chiếm quyền điều khiển tương tác Bối cảnh và các giới hạn về nguồn Mô phỏng lại quy trình từ tin nhắn lừa đảo đến việc đăng ký khóa phía máy chủ và giao dịch hoán đổi. Trước khi có tính năng “2023,”, một khóa Web API được đăng ký trên tài khoản có thể xem danh sách tài sản, hủy một đề nghị giao dịch đang chờ xử lý và tạo một đề nghị mới, đồng thời chủ tài khoản không được hiển thị màn hình xác nhận giao dịch cho bất kỳ hành động nào trong số đó. Điều này thể hiện sự thiếu vắng nguyên tắc “quyền hạn tối thiểu” (OWASP A01:2021). Các mốc thời gian trong mô phỏng này chỉ mang tính minh họa và không phải là số liệu đo lường thực tế của nền tảng hiện tại. Hãy lần lượt xem lại quá trình chiếm quyền điều khiển tài khoản đã được tái hiện. Mỗi giai đoạn sẽ hiển thị những gì chủ tài khoản nhìn thấy và, bên cạnh đó, nội dung tin nhắn mà Steam nhận được vào cùng thời điểm đó. **Mỗi cuộc gọi trong số đó đều được xác thực chính xác.** Không có bước nào trong quy trình này khiến cho việc xác thực củSteam bị thất bại — điều cần thiết là khóa mà nó cấp ra không được gán phạm vi nào cả (OWASP A01:2021). **Những gì người chơi nhìn thấy. Những gì đang thay đổi phía sau đó.** TRÌNH HƯỚNG DẪN TRONG PHẦN MỀM MÔ PHỎNG 01 / MẪU MỒI TRÒ CHUYỆN**Một người bạn nhờ đi bỏ phiếu** Nạn nhân nhận được một tin nhắn có chứa một liên kết. 02 / TRANG ĐĂNG NHẬP**Một cổng thông tin giống hệt** Nạn nhân nhập thông tin đăng nhập. 03 / QUYỀN TRUY CẬP**Tạo trang web im lặng API** Kẻ tấn công đăng ký một khóa nhà phát triển. 04 / THE SWITCH**Giao dịch hợp pháp đã được thực hiện** Bot sao chép sẽ tạo bản sao của người nhận mục tiêu. 05 / XÁC NHẬN**Hàng giả đã được phê duyệt** Đã phê duyệt đề nghị sai trên thiết bị di động. **Giai đoạn A: Tấn công lừa đảo.** Kẻ tấn công xâm nhập vào tài khoản của một người bạn và sử dụng tài khoản đó để gửi một liên kết lừa đảo, mời nạn nhân bỏ phiếu hoặc tham gia một đội thi đấu. **Cái bẫy lừa đảo.** Với suy nghĩ rằng mình đang đăng nhập an toàn vào trang Steam, nạn nhân nhập thông tin đăng nhập và mã xác thực “Steam Guard”. Máy chủ lừa đảo thu thập các thông tin này và tài khoản đang hoạt động `steamLoginSecure` cookie phiên. **Giai đoạn B: Đăng ký Silent Key.** Sử dụng cookie phiên bị đánh cắp, máy chủ của kẻ tấn công gửi yêu cầu POST đến điểm cuối đăng ký khóa để đăng ký một khóa Web API dành cho nhà phát triển chính. Trước đây (trước khi có2023), việc này không yêu cầu sự chấp thuận hoặc thông báo từ Steam Guard. **Giai đoạn C: Hoán đổi giao dịch tự động.** Tập lệnh của kẻ tấn công thực hiện việc thăm dò `IEconService/GetTradeOffers`. Khi nạn nhân thực hiện một giao dịch hợp lệ, tập lệnh sẽ ngay lập tức hủy giao dịch đó và sử dụng một bot sao chép để gửi một đề nghị giống hệt, với cùng tên và ảnh đại diện, đến người nhận. **Việc khai thác đã hoàn tất.** Với suy nghĩ rằng mình sẽ nhận được thông báo trên điện thoại di động về giao dịch ban đầu, nạn nhân đã chấp thuận giao dịch thay thế. Đây là một hướng dẫn điều tra pháp y tích hợp, minh họa cách việc thiếu nguyên tắc “Quyền truy cập tối thiểu” (OWASP A01:2021) đã tạo điều kiện cho việc chiếm đoạt tài sản tự động, chỉ trong vòng chưa đầy một giây. Cùng một bước, nhìn từ góc độ mạng Tái tạo mẫu hình trước khi có hiện tượng “2023” · các hình dạng gọi minh họa **Kẻ tấn công** Gửi liên kết từ một tài khoản mà nạn nhân đã tin tưởng. **Nạn nhân** Đọc một tin nhắn từ một người bạn, chứ không phải từ một người lạ. **Steam thấy** Một tin nhắn trò chuyện giữa hai tài khoản đã kết bạn. ``` Channel Steam chat / Steam group invite Payload a link to an external host No Steam API call is made at this stage. Nothing in this step is anomalous to the platform. ``` **Tại sao phương pháp này lại hiệu quả:** Số tiền trong quỹ tín thác đang được chi tiêu thuộc về tài khoản của người bạn bị xâm phạm, chứ không phải của kẻ tấn công. **Nạn nhân** Nhập mật khẩu và mã bảo mật “Steam” vào một trang giả mạo. **Máy chủ tấn công** Ghi lại thông tin đăng nhập và cookie phiên phát sinh từ đó. **Steam thấy** Quá trình đăng nhập thành công đã đáp ứng yêu cầu xác thực hai yếu tố. ``` Captured steamLoginSecure = Captured Steam Guard code (single use, already spent) From this point the attacker holds an authenticated session. The second factor has been used, not bypassed. ``` **Tại sao phương pháp này lại hiệu quả:** Xác thực hai yếu tố bảo vệ quá trình đăng nhập. Tuy nhiên, nó không bảo vệ các hoạt động mà phiên làm việc đó có thể thực hiện sau đó. **Máy chủ tấn công** Đăng ký khóa Web API dành cho nhà phát triển vào tài khoản của nạn nhân. **Nạn nhân** Không nhận được lời nhắc nào cũng như thông báo nào. **Steam thấy** Một phiên làm việc đã được xác thực thông qua một điểm cuối được ghi nhận. ``` POST steamcommunity.com/dev/ajaxregisterkey Cookie: steamLoginSecure= Body: agreeToTerms=agreed&domain=localhost A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog. ``` **Đây là bước về mặt cấu trúc.** Cookie phiên được chuyển đổi thành thông tin xác thực lâu dài, có toàn quyền — lỗ hổng này được ghi nhận tại Mục 5 với mã OWASP ASVS 2.8 và A01:2021. **Tập lệnh tấn công** Thực hiện các lệnh đặt lệnh mua bán, hủy lệnh thực tế và gửi một lệnh trùng lặp. **Nạn nhân** Vừa mới thực hiện một giao dịch hợp lệ và đang chờ xác nhận giao dịch đó. **Steam thấy** Các yêu cầu `API` hợp lệ đi kèm với khóa hợp lệ được cấp cho tài khoản đó. ``` GET IEconService/GetTradeOffers/v1 ← polled POST IEconService/CancelTradeOffer/v1 ← voids the real offer POST new offer from a clone bot (matching name and avatar) Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed. ``` **Tại sao phương pháp này lại hiệu quả:** Chìa khóa này không có phạm vi chỉ đọc, do đó, thông tin xác thực dùng để xem danh mục cũng có thể hủy và tạo các giao dịch. **Nạn nhân** Chấp thuận thông báo trên thiết bị di động vốn được dự kiến cho giao dịch ban đầu. **Kẻ tấn công** Nhận các mặt hàng tại tài khoản sao chép. **Steam thấy** Một giao dịch chuyển khoản đã được chủ tài khoản xác nhận trên thiết bị đã đăng ký. ``` Confirmation genuine — made by the account holder Recipient the clone bot, not the intended counterparty The confirmation is authentic. The offer it confirms is not the one the user initiated. ``` **Những dấu ấn còn lại:** một giao dịch đã được người dùng chấp thuận. Đó chính là thông tin mà bộ phận Hỗ trợ Steam tra cứu khi nhận được khiếu nại, và cũng là lý do khiến các khiếu nại đã được lưu trữ bị đóng với lý do “lỗi của người dùng”. Các khiếu nại này nằm trong [kho lưu trữ các biện pháp thi hành](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records). Phần A — Hồ sơ kỹ thuật · Mục7 ## Các điểm cuối nằm phía sau chuỗi. Bối cảnh và các giới hạn về nguồn Đây là các điểm cuối (endpoint) của trang web Steam API mà các tập lệnh chiếm quyền điều khiển được báo cáo đã sử dụng để chặn các giao dịch mà không cần qua các bước xác nhận từ phía trình duyệt. Bốn điểm cuối đã được ghi nhận là đủ để hoàn thành toàn bộ công việc. Không có điểm cuối nào là lỗ hổng, cũng không cần phải khai thác — chỉ cần một khóa hợp lệ gọi đến chúng là Steam sẽ phản hồi. **Khóa là thứ duy nhất mà kẻ tấn công cần phải đánh cắp.** IEconService / GetTradeOffers / v1 THỐNG KÊ Ý KIẾN Được sử dụng để theo dõi các đề nghị giao dịch của tài khoản. Các tập lệnh liên tục truy vấn điểm cuối này bằng khóa API đã bị đánh cắp; điểm cuối này trả về thông tin chi tiết về các đề nghị giao dịch mới được tạo, đang chờ xử lý hoặc đã được sửa đổi. Khoảng thời gian giữa các lần truy vấn không được đo lường ở đây. **Kênh tấn công:** Hiển thị các mã đề nghị giao dịch đang chờ xử lý và thông tin chi tiết về hồ sơ của người nhận. IEconService / Hủy đề nghị giao dịch / v1 TƯƠNG TÁC Được sử dụng để vô hiệu hóa một cách tự động đề nghị giao dịch hợp lệ của người dùng. Trước khi có tính năng “2023”, không có cơ chế xác thực hai yếu tố nào bảo vệ khóa, do đó một máy chủ tự động có thể hủy bỏ đề nghị ngay khi phát hiện ra, mà không cần thông báo cho chủ tài khoản. **Kênh tấn công:** Hủy giao dịch trước khi chủ tài khoản hoàn tất xác nhận qua điện thoại di động. ISteamUser / Lấy tóm tắt người chơi / phiên bản 2 RECON Thực hiện truy vấn để lấy tên hồ sơ, URL hình ảnh đại diện và cấp độ của người nhận giao dịch hợp lệ. Điều này cho phép tập lệnh điều chỉnh một tài khoản sao chép đã chuẩn bị sẵn sao cho phù hợp. Không đo lường thời gian ở đây. **Kênh tấn công:** Cung cấp dữ liệu cần thiết để giả mạo danh tính người nhận dự kiến. /dev/ajaxregisterkey SỰ TẠO HÓA Điểm cuối đăng ký khóa của Steam. Trước đây, bất kỳ phiên cookie trình duyệt nào đang hoạt động (`steamLoginSecure`) đều có thể đăng ký khóa mà không cần xác nhận từ tính năng Bảo vệ Chống Truy cập Bất hợp pháp (Steam Guard) trên thiết bị di động, và cũng không có bất kỳ thông báo nào gửi đến chủ tài khoản. **Kênh tấn công:** Thông tin đăng nhập cố định được tạo ra bởi một tập lệnh, mà chủ tài khoản không hề hay biết. Phần A — Hồ sơ kỹ thuật · Mục 8 · GDPR Bài viết 7 ## Một ô đã được đánh dấu. Hành động của ai? Bối cảnh và các giới hạn về nguồn Trong bối cảnh mức hoàn trả đang giảm, các phản hồi của bộ phận Hỗ trợ Steam được lưu trữ trong kho lưu trữ đều khẳng định rằng chủ tài khoản đã tạo khóa API và, bằng cách đánh dấu vào ô chọn, đã chấp nhận các điều khoản. Phản hồi từ bộ phận hỗ trợ cho rằng chìa khóa thuộc về chủ tài khoản. Câu hỏi đặt ra là liệu hồ sơ này có xác định được ai là người thực sự tạo ra nó hay không. Tuy nhiên, trong mô hình đánh cắp khóa “API” đã được ghi nhận, nạn nhân chưa bao giờ nhìn thấy hoặc truy cập vào trang tạo khóa API. Trường đồng ý được gửi đi bởi một tập lệnh thực thi yêu cầu POST không hiển thị giao diện người dùng (headless) bằng cookie phiên đã bị đánh cắp. Theo Điều 7 và Điều 4 (11) của Quy định Bảo vệ Dữ liệu Chung (GDPR), sự đồng ý phải là sự thể hiện ý chí một cách tự nguyện, cụ thể, có hiểu biết và rõ ràng của chủ thể dữ liệu. Quan điểm của các tác giả là: trường chấp nhận điều khoản được gửi bởi một tập lệnh độc hại sử dụng cookie bị đánh cắp, mà không hiển thị trang web nào cho chủ tài khoản, không thể đáp ứng định nghĩa đó. Việc liệu trường hợp này có đáp ứng định nghĩa hay không là thuộc thẩm quyền của cơ quan giám sát. Phân tích tải trọng pháp y: Đăng ký khóa BÀI ĐĂNG https://steamcommunity.com/dev/ajaxregisterkey // Request Payload (Injected via hijacking script) { **"chấp nhận các điều khoản"**: "đồng ý" , <-- được nhập tự động, không có sự can thiệp của con người **"miền"**: "localhost" , ← chưa được xác thực — chấp nhận mọi giá trị, kể cả localhost "sessionid": "8f0d8ef763ab2140bf89de2a" } **Câu hỏi dành cho cơ quan giám sát:** trong trường hợp chủ tài khoản chưa bao giờ nhấp vào ô đồng ý, liệu việc chấp nhận các điều khoản được ghi nhận đối với tài khoản đó có đáp ứng yêu cầu tại Điều 7 về việc thể hiện ý chí của chủ thể dữ liệu một cách tự nguyện, cụ thể, có hiểu biết và rõ ràng hay không, và liệu Bộ phận Hỗ trợ của Steam có thể dựa vào đó để từ chối một yêu cầu bồi thường hay không. Nguồn: hình dạng yêu cầu của khóa đăng ký được tái tạo từ điểm cuối công khai và từ các báo cáo về hành vi chiếm quyền điều khiển được lưu giữ trong kho lưu trữ chứng cứ ([Phiên bản có thể tìm kiếm của 2026-09-17](https://phishdestroy.io/steam_dossier/steam_evidence_archive)) · Mã định danh phiên được hiển thị chỉ là một ký hiệu tạm thời, không phải là giá trị đã được ghi lại. Khám nghiệm tử thi pháp y · Vectơ thay thế thương mại ### Cách "Valve" cuối cùng đã vô hiệu hóa "thay thế thương mại" — Và tại sao "7" lại phải mất nhiều năm để tìm cách giải quyết tạm thời Trong gần một thập kỷ qua, **"Thay thế giao dịch chủ chốt trong 'API'" (hay "Chiêu lừa đảo MitM trong 'API'")** đã là mô hình đánh cắp tài khoản sinh lời nhất trên Steam, chiếm đoạt hàng trăm triệu đô la dưới dạng skin từ những người chơi không hay biết. Valve đã không loại bỏ lỗ hổng này bằng cách khắc phục kiến trúc dễ bị tấn công của API; thay vào đó, Valve đã dành bảy năm để xây dựng bốn lớp rào cản giao dịch trên toàn nền tảng, khiến thanh khoản giao dịch trong cộng đồng bị suy giảm nghiêm trọng trong khi nguyên nhân gốc rễ vẫn chưa được giải quyết. 1. Cái Chết của Sự Bắt Chước #### Thời gian hồi chiêu của Avatar và Tên (2024 tháng 2) Lỗ hổng này đòi hỏi khả năng bắt chước trong vòng chưa đầy một giây: bot lừa đảo đã chặn một giao dịch đang được gửi đi, sau đó trích xuất hình đại diện và tên của người nhận thông qua `ISteamUser`, và đã sao chép hồ sơ đó trong 200ms. Vào ngày 14 tháng 2 năm 2024, Valve đã âm thầm áp dụng một quy định bắt buộc **2-Đến4: Thời gian hồi chiêu giao dịch (Lỗi 34)** ngay sau khi thay đổi tên tài khoản hoặc ảnh đại diện. Bot sẽ không còn có thể sao chép người nhận ngay lập tức mà không bị khóa khỏi giao dịch. 2. Cái chết kinh tế #### 7-Ngày đảo chiều giao dịch CS2 (2025 tháng 7) Valve được đưa ra một cách đơn phương **Sự đảo chiều trong giao dịch** đối với các vật phẩm trong Counter-Strike. Bất kỳ skin nào được trao đổi đều được gắn nhãn "Bảo vệ giao dịch" trong vòng bảy ngày. Nếu nạn nhân phát hiện ra việc thay thế, họ chỉ cần nhấp vào "Hủy giao dịch" trong phần Hỗ trợ của Steam, và skin sẽ ngay lập tức được trả lại vào kho đồ của họ đồng thời khóa tài khoản người nhận. Do cơ chế khóa giao dịch trong vòng 7-ngày ngăn chặn kẻ lừa đảo chuyển vật phẩm sang trang web rút tiền, hành vi trộm cắp này trở nên vô lợi. 3. Cái chết của “Chìa khóa im lặng” #### Thông báo đẩy bắt buộc trên thiết bị di động dành cho các nhà phát triển ứng dụng (API) (2023 tháng 12) Trước đây, việc đánh cắp cookie phiên đã cho phép các tập lệnh độc hại thực hiện một yêu cầu POST nền không hiển thị giao diện người dùng tới `/dev/ajaxregisterkey` mà không thông báo cho nạn nhân. Vào ngày 4 tháng 12 năm 2023, Valve, Google đã yêu cầu phải có xác nhận đẩy rõ ràng trên ứng dụng di động Steam để tạo khóa Web API, qua đó loại bỏ việc cấp phát khóa ngầm trong nền. 4. Cảnh báo trong ứng dụng di động #### Biểu ngữ về thời gian hoạt động và tên tài khoản (2022–2024) Valve đã cải tiến cửa sổ xác nhận trên thiết bị di động để hiển thị thông tin về đối tác giao dịch **Steam Thời gian sử dụng tài khoản (ngày tạo)**, mức độ “Steam” và một cảnh báo màu hổ phách rõ ràng: *"Người dùng này vừa thay đổi tên hồ sơ của mình"*, phá vỡ ảo giác thị giác đối với những nạn nhân tinh ý. Ba lỗ hổng trong bản vá củaValve: Tại sao những kẻ lừa đảo chỉ đơn giản là chuyển sang các mục tiêu khác **1. Kẽ hở về việc loại trừ trò chơi (Dota2và TF2)** Các chiến thuật đảo chiều giao dịch chỉ được áp dụng riêng cho Counter-Strike 2. **Các vật phẩm trong Dota 2 và Team Fortress 2 vẫn hoàn toàn không được bảo vệ** do sự phức tạp trong quá trình chế tạo và lắp đá. Các vật phẩm cấp cao trị giá hàng nghìn đô la (Móc Móng Rồng, Golden Baby Roshans, Lửa Cháy Bất Thường trong TF2) không có thời hạn hoàn trả. Những kẻ lừa đảo chỉ cần chuyển hướng cơ chế chặn tự động của API sang các trang web giao dịch Dota 2 và TF2, nơi bộ phận hỗ trợ Steam thực thi nghiêm ngặt chính sách “không khôi phục vật phẩm” tại 2016. **2. Kho "Zombie Key" (Không hết hạn)** Trong khi Valve đã tích hợp tính năng thông báo đẩy trên thiết bị di động 2FA để tạo ra *mới* chìa khóa vào tháng 12 2023, **Valve không bao giờ thu hồi, hết hạn hoặc xóa các khóa API hiện có từ hệ thống cũ**. Hàng triệu tài khoản đang hoạt động đã tạo khóa (hoặc có khóa được tạo ngầm bởi các cuộc tấn công lừa đảo/phần mềm độc hại trước ngày 2023 tháng 12) vẫn còn lưu giữ thông tin đăng nhập hợp lệ với **không có thời hạn hết hiệu lực (không có TTL) và không có thời gian chờ do không hoạt động**. Các tác nhân đe dọa duy trì các cơ sở dữ liệu lịch sử khổng lồ chứa các khóa cố định này và tiếp tục thực hiện các yêu cầu tra cứu `IEconService` không bị xáo trộn. **3. Hình phạt dành cho nạn nhân: 30-– Tạm ngừng giao dịch trong ngày** Ngay cả trong CS2, tính năng “Valve” vẫn áp dụng hình phạt đối với người chơi bị lừa: việc nhấp vào “Reverse Trade” trong phần Hỗ trợ của Steam sẽ tự động gây ra một **Bắt buộc phải thực hiện giao dịch trong ngày theo phương pháp “30-” và lệnh cấm giao dịch trên Thị trường Cộng đồng đối với tài khoản của nạn nhân**. Valve áp dụng hình thức cấm sử dụng nền tảng trong một tháng đối với người dùng nhằm răn đe các hành vi hủy giao dịch “vô cớ”, qua đó ngăn chặn các bên bị ảnh hưởng hủy các giao dịch liên quan đến các mặt hàng thanh khoản có giá trị thấp. Vụ bê bối quy định cốt lõi: Bảy năm tìm cách lách luật so với phạm vi “API” duy nhất Tại sao Valve lại dành bảy năm để phát minh ra các cơ chế khóa giao dịch, thời gian chờ tài khoản và khóa giao dịch có thể đảo ngược — gây xáo trộn toàn bộ nền kinh tế trong game và làm sụt giảm $104M vốn hóa thị trường — thay vì áp dụng giải pháp tiêu chuẩn của ngành? Như đã được chứng minh qua bản phát hành chính thức trên Steamworks của tựa game “Valve” tại 16 vào ngày 2026 (Thông báo) [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve đã được xây dựng sẵn **Các nhóm quyền truy cập chi tiết (Chung, Giao dịch nhỏ, Kinh tế, Dữ liệu bán hàng)** và **Danh sách trắng IP** đối với các khóa nhà xuất bản dành cho doanh nghiệp. Valve đã có sẵn giải pháp kỹ thuật này từ nhiều năm nay. Chỉ cần một ô chọn dành cho người dùng—*"Ngăn chặn khóa Web API này truy cập vào IEconService (Quản lý giao dịch)"* hoặc một danh sách trắng địa chỉ IP gia đình — lẽ ra đã có thể loại bỏ hoàn toàn vụ lừa đảo thay thế giao dịch trong 2018 mà không gây ra bất kỳ thiệt hại kinh tế phụ nào. Valve đã từ chối cung cấp cho người chơi thông thường sự bảo vệ mà họ đã thiết kế dành riêng cho các đối tác doanh nghiệp. Phần B — Các quy định và hồ sơ thực thi · Mục 9 ## Bộ quy tắc của họ. Các nền tảng đã được ghi lại. Bối cảnh và các giới hạn về nguồn Sổ cái này ánh xạ các điều khoản cụ thể từ **Steam Thỏa thuận người đăng ký (SSA)** và **Steam Hành vi trực tuyến (SOC)** các hướng dẫn nhắm trực tiếp vào các thực thể thương mại đang hoạt động và có quy mô lớn. **Quy tắc:** không sử dụng cho mục đích thương mại, không cá cược, không sử dụng bot — và bộ phận Hỗ trợ của Steam thường viện dẫn các điều khoản này khi từ chối trả lại đồ đạc cho nạn nhân. **Bản ghi:** Nhìn bề ngoài, các điều khoản này áp dụng cho các nền tảng thương mại trong danh mục này, vốn hoạt động dựa trên các tài khoản Steam, các bot Steam và các giao dịch chuyển tiền Steam. **Điều khoản này được áp dụng đối với người đã làm mất số da đó, chứ không phải – theo bất kỳ hồ sơ công khai nào – đối với các doanh nghiệp vận chuyển số da đó.** Trong các khiếu nại đã được lưu trữ, bộ phận hỗ trợ của Steam đã trích dẫn "Không được sử dụng cho mục đích thương mại" và "Không sử dụng tự động hóa/bot" các điều khoản khi từ chối hoàn trả tài sản cho nạn nhân của hành vi lừa đảo liên quan đến khóa API. Các điều khoản này, về mặt nguyên tắc, cũng áp dụng cho các nền tảng thương mại được ghi nhận trong hồ sơ này, vốn xác thực thông qua Steam OpenID và chuyển giao tài sản qua các tài khoản tự động Steam. Không có ước tính về doanh thu trên toàn thị trường được đưa ra tại đây (xem thống kê thực thi dưới đây). Hồ sơ chỉ cho thấy quy tắc được áp dụng đối với các tài khoản cá nhân trong các vụ việc đã lưu trữ và không có hồ sơ thực thi được công bố theo từng nhà điều hành đối với các nền tảng. Sự bất đối xứng đó chính là nội dung được ghi chép trong phần này. Câu hỏi trọng tâm / việc thi hành pháp luật có chọn lọc Quy tắc → Quy mô → Trách nhiệm giải trình ### Một bộ quy tắc. Việc thi hành không công bằng. Sổ đăng ký cho thấy các dịch vụ thương mại sử dụng danh tính, kho dữ liệu, bot và các giao dịch chuyển nhượng trên Steam làm cơ sở hạ tầng hoạt động. SSA cấm khai thác thương mại và tự động hóa mà không có sự cho phép. Các khiếu nại đã được lưu trữ cho thấy quy định này được áp dụng đối với các tài khoản cá nhân, trong khi hồ sơ công khai không thể hiện một bản ghi tương ứng theo từng nhà điều hành cho các nền tảng được ghi nhận tại đây. Hãy công bố quy định, bằng chứng và quyết định xử lý đối với từng trường hợp. **189** các trang web nằm trong phạm vi kiểm toán **44** Các tuyến đường thuộc miền riêng biệt trong danh sách trực tuyến — 27 kèm theo tệp bằng chứng đã được công bố, 17 được thu thập thủ công. Chỉ riêng cuộc kiểm tra trình duyệt trên trang web 189-đã khắc phục được 25 trong số đó; danh sách này bổ sung thêm các tuyến đường được thu thập thủ công. **12 Năm 6 tháng** csgogem.com bị chặn trong Bộ lọc liên kết; `api.csgem.com` đã đăng ký tại 2014-03-08 và chưa từng bị chặn — một trong những cặp như 26 tính đến thời điểm 2026-09-22 **Không có tổng số đã được xác minh** không bao gồm ước tính doanh thu trên toàn thị trường Steam Hành vi trực tuyến > "…you shall not do, or attempt to do, any of the following on Steam: […] Engage in commercial activity. Examples of such prohibited behavior include: posting advertisements; running contests; **gambling**; buying or selling Steam accounts; selling content, gift cards, or other items; and begging." [store.steampowered.com/hành vi_trực_tuyến ↗](https://store.steampowered.com/online_conduct) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct) Điều 2.G của Luật An sinh Xã hội (SSA) — Mục đích thương mại > "…[you may not] exploit the Content and Services or any of its parts for any commercial purpose, except as expressly permitted elsewhere in this Agreement…" Như đã đưa tin, các thông báo trên trang 2016 của Valve đã viện dẫn giấy phép sử dụng cá nhân, phi thương mại. Chưa có nhà khai thác nào công khai xuất trình giấy phép theo Điều Valve. [store.steampowered.com/thỏa_thuận_người_đăng_ký ↗](https://store.steampowered.com/subscriber_agreement/) [đã lưu trữ 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) Steam Điều khoản sử dụng trang web API > "You may not use the Steam Web API or Steam Data in any way that violates the Steam Subscriber Agreement." Các nền tảng giao dịch giao diện của bên thứ ba hoạt động thông qua các tài khoản tự động truy cập vào địa chỉ Steam API. Nội dung quy định không có ngoại lệ nào đối với hoạt động quy mô thương mại. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) Điều 4.C của Bộ luật An sinh Xã hội (SSA) #### Tự động hóa Các tập lệnh, bot và các hình thức tương tác không phải do con người thực hiện đều bị hạn chế. Sổ cái ghi lại các giao dịch bằng bot, các mạng lưới tài khoản ảo và việc định tuyến tự động ở quy mô thương mại. [Kiểm tra cái các hồ sơ được gắn thẻ theo điều khoản này](https://phishdestroy.io/steam_dossier/vi/#legal-ledger-workspace-section) Điều 2.G của Bộ luật An sinh Xã hội (SSA) #### Sử dụng cho mục đích thương mại Việc khai thác thương mại phải có sự cho phép rõ ràng. Hãy so sánh các mô hình kinh doanh đã được ghi nhận, quy mô của chúng cũng như bất kỳ thông tin nào đã được công bố liên quan đến việc cấp phép hoặc thực thi. [Kiểm tra cái các hồ sơ được gắn thẻ theo điều khoản này](https://phishdestroy.io/steam_dossier/vi/#legal-ledger-workspace-section) Điều 3.A của Bộ luật An sinh Xã hội (SSA) #### VPN và ẩn vị trí Việc che giấu địa chỉ IP thông qua máy chủ proxy có thể dẫn đến việc chấm dứt dịch vụ. Các máy chủ xác thực thuộc các miền riêng biệt cần được phân tích riêng biệt: xác định rõ đối tượng nào đang bị che giấu và quy tắc nào được áp dụng. [Kiểm tra bằng chứng máy chủ xác thực](https://phishdestroy.io/steam_dossier/vi/#proxy-bypass-explainer) Steam Trợ giúp / Chính sách về URL #### Che giấu liên kết Steam cấm sử dụng các công cụ rút gọn liên kết và các công cụ làm mờ đích đến của liên kết. Một miền xác thực riêng biệt — `rbsnin.com` trong quy trình đăng nhập của Rollbit, `auth.dota.trade` trong CS.MONEY — đặt ra câu hỏi tương tự là liệu địa chỉ đích được hiển thị cho trình xác thực OpenID của Steam có xác định được trang web đang hoạt động hay không. [Chính sách URL của Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36) Tham chiếu quy tắc: [Steam Thỏa thuận người đăng ký, bản sửa đổi 10 tháng 9 năm 2026](https://store.steampowered.com/subscriber_agreement/) [đã lưu trữ 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam Điều khoản sử dụng trang web API](https://steamcommunity.com/dev/apiterms) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam Chính sách URL (che giấu liên kết)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). Các con số này phản ánh số lượng hồ sơ và thẻ trong tập hồ sơ này; chúng không phải là số lượng các vi phạm đã được xử lý. Sự thiếu tin tưởng #### Khi bộ phận hỗ trợ đóng hồ sơ, ai sẽ xem xét lại quyết định đó? Các khiếu nại được lưu giữ mô tả các biện pháp trừng phạt vĩnh viễn, các khiếu nại không được giải quyết và việc từ chối trả lại các vật phẩm bị đánh cắp. Hãy đối chiếu các báo cáo đó với lịch sử vé thực tế, các biện pháp khắc phục hiện có và nhật ký truy cập tài khoản. Một lời giải thích chung chung về lừa đảo qua email không thể xác định được ai là người đã thực hiện việc đặt lại mật khẩu hoặc tạo khóa API. [Đọc các khiếu nại đã được ghi nhận ↗](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records)[Yêu cầu các hồ sơ liên quan →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook)[Biểu đồ mối quan hệ của người điều hành →](https://phishdestroy.io/steam_dossier/social_graph) Phần B — Các quy định và hồ sơ thực thi · Mục 10 ## Một quy tắc tự động hóa API. Một quy tắc cấm tự động hóa. Bối cảnh và các giới hạn về nguồn Câu hỏi mà phần này đặt ra là làm thế nào để dung hòa hai vấn đề này: những hình thức sử dụng nào của “API” được phép, do ai cho phép, và dựa trên những tiêu chí công bố nào. Ở đây không có ước tính nào về số lượng người dùng thương mại được phép của “API”, và việc thiếu danh sách công bố cũng không ngụ ý con số nào — chính sự vắng mặt đó mới là kết luận, chứ không phải con số ẩn sau nó. Các tin nhắn hỗ trợ từ Steam được trích dẫn ở trên đã được dự án ArchiSteamFarm sao chép lại trong phần Câu hỏi thường gặp (FAQ) của riêng mình (đã được xác minh nguyên văn tại 2026-09-22); đây không phải là các ấn phẩm của Valve, và các tài khoản mà các tin nhắn này được gửi đến cũng không được xác định. **Quy định (Điều 4.C của SSA):** Không sử dụng tập lệnh, bot hay các hệ thống không do con người điều khiển trên Steam. **Bản ghi:** Valve cung cấp một dịch vụ REST không giao diện người dùng (API) với mục đích duy nhất là tự động hóa giữa các máy chủ, và trao quyền truy cập cho bất kỳ tài khoản nào. **Người dùng sẽ bị cấm nếu sử dụng các công cụ tự động hóa; giao diện tự động hóa là sản phẩm riêng của Valve.** Danh sách các mục đích thương mại nào được phép sử dụng vẫn chưa bao giờ được công bố. ### Lầm tưởng về “nhà phát triển trò chơi” Steamworks SDK (Phiên bản chính thức) Được các studio game chính thống sử dụng để tích hợp các thành tích, tính năng ghép trận và bảng xếp hạng vào ứng dụng khách game của họ. Yêu cầu quá trình tích hợp phức tạp bằng C++ và thủ tục đăng ký đối tác chính thức. Steam Trang web API (The Loophole) Một kiến trúc JSON/REST không có phần đầu (headless) được thiết kế dành cho các máy chủ web bên ngoài. Trong mô hình “hijack” được ghi chép tại đây, kiến trúc này được sử dụng để đọc danh sách hàng tồn kho và thao tác các giao dịch ngang hàng từ các máy chủ từ xa; các mục đích sử dụng hợp pháp của nó không được liệt kê trong tài liệu này. Chìa khóa này dành cho ai? Một người dùng thông thường của Steam không cần đến khóa Web API ngay trong ứng dụng; trang khóa này nằm dưới một URL dành cho nhà phát triển và mục đích được ghi rõ của nó là để truy cập từ bên ngoài, ở phía máy chủ. Các khiếu nại về việc chiếm quyền điều khiển đã được lưu trữ mô tả những nạn nhân không biết đến sự tồn tại của trang này cho đến khi một khóa đã được đăng ký trên tài khoản của họ. #### Mâu thuẫn trong tự động hóa Điều 4.C của Luật An sinh Xã hội (SSA) quy định như sau: "Bạn không được sử dụng bất kỳ hình thức kịch bản, bot, macro hoặc các hệ thống khác không do con người điều khiển ('Tự động hóa') để tương tác với Nội dung và Dịch vụ trên Steam dưới bất kỳ hình thức nào." Tuy nhiên, các điểm cuối Web API (như `CancelTradeOffer`) không yêu cầu giao diện người dùng (UI) và không cần mã xác thực (captcha), đồng thời hoàn toàn bỏ qua client của Giao thức Mã hóa Tương tác (Steam). Giao thức Giao tiếp Nguồn mở (API) được thiết kế để tự động hóa giữa các máy chủ; quy tắc này cấm người dùng thực hiện tự động hóa; ranh giới giữa hai trường hợp này không được công bố. #### Vị trí phía máy chủ trong quy trình giao dịch Khóa Web API cho phép một máy chủ của bên thứ ba thực hiện các giao dịch của tài khoản mà không cần đến ứng dụng khách Steam. Trong mô hình “chiếm quyền điều khiển”, máy chủ đó nằm giữa chủ tài khoản và máy chủ giao dịch. - → Không có màn hình xác nhận giao dịch nào được hiển thị cho các thao tác của khóa. - → Cho phép thực hiện truy vấn nền (GetTradeOffers). - → Hủy và phát hành lại các ưu đãi mà không cần sự tương tác của người dùng. Valve đã xây dựng giao diện này, cấm người dùng sử dụng các công cụ tự động hóa trong các quy tắc của mình và chưa công bố bất kỳ tiêu chí nào về những hình thức sử dụng thương mại nào được phép. Phần B — Các quy định và hồ sơ thực thi · Mục 11 ## Mười ngày được yêu cầu. Mười năm để giải trình. Bối cảnh và các giới hạn về nguồn Vào ngày 20 tháng 7 năm 2016, cố vấn pháp lý của Valve đã đặt ra thời hạn 10-ngày cho các nhà điều hành cờ bạc. Mười năm sau (tính đến thời điểm chụp ảnh hồ sơ, 2026-09-21), ít nhất một nền tảng được nêu tên trong các báo cáo báo chí về thông báo đó, CSGOFast, vẫn đang hoạt động với một máy chủ xác thực trên tên miền riêng. Nội dung văn bản được tái tạo dưới đây dựa trên các báo cáo báo chí tại 21 tháng 7 năm 2016; bản tái tạo này không phải là bản quét. Hồ sơ thi hành mà thông báo này đề cập đến vẫn chưa được công bố. Thư ngỏ gửi đến Ủy ban là [Phần 2](https://phishdestroy.io/steam_dossier/vi/#wsgc-public-address). Hãy đọc thông báo “2016” tháng 7 được đăng bên cạnh các quan sát sau đây. Yêu cầu còn tồn đọng là hồ sơ thực thi đối với từng nhà khai thác. Một tuần trước đó — 13 tháng 7 năm 2016, trước công chúng Vào ngày [13 Tháng 7 năm 2016](https://store.steampowered.com/oldnews/22883) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883), Valve đã mô tả cách các trang web cờ bạc sử dụng Steam: OpenID để xác thực tài khoản và tạo tài khoản tự động cho hoạt động giao dịch. Valve khẳng định rằng việc sử dụng các cơ chế này để vận hành hoạt động kinh doanh cờ bạc đã vi phạm API và các thỏa thuận người dùng của họ. **Cả phần mô tả cơ chế lẫn quy định cấm đều có trong tuyên bố có ghi ngày tháng của chính “Valve”.** Trên trang 2026-09-21, các máy chủ xác thực trên miền riêng biệt được kiểm tra không báo cáo bất kỳ trường hợp chặn nào từ bộ lọc liên kết (Link Filter), và trang Valve cũng chưa công bố bất kỳ bản ghi thực thi nào theo từng nhà mạng. ### CÔNG TY VALVE Bellevue, bang Washington **NGÀY:** Tháng 7 năm 2016 (theo báo chí 21 Tháng 7 năm 2016) **TỪ:** Karl Quackenbush, Tổng cố vấn pháp lý **Trả lời:** Yêu cầu ngừng và chấm dứt — việc sử dụng tài khoản Steam vào mục đích thương mại **LƯU Ý:** Bản tái tạo từ văn bản được báo cáo; không phải bản quét "Chúng tôi được biết rằng quý vị đang vận hành một trong những trang web cờ bạc được liệt kê dưới đây. Quý vị đang sử dụng các tài khoản Steam để tiến hành hoạt động kinh doanh này. Theo Thỏa thuận người đăng ký của Steam, các dịch vụ Steam và Steam chỉ được cấp phép cho mục đích sử dụng cá nhân, phi thương mại." "Quý vị cần ngay lập tức ngừng và chấm dứt việc tiếp tục sử dụng các tài khoản Steam của mình cho bất kỳ mục đích thương mại nào. Nếu quý vị không tuân thủ yêu cầu này, trong vòng mười (10) ngày , Valve sẽ áp dụng mọi biện pháp khắc phục có thể, bao gồm nhưng không giới hạn ở việc chấm dứt các tài khoản của bạn." Bản tái dựng nội dung thông báo ngày 7 tháng 2016, do các tác giả tổng hợp từ các bài báo trên 21 ngày 7 tháng 2016 Karl Quackenbush Giám đốc Pháp chế, Công tyValve Dòng thời gian Tháng 7 năm 2016 – Tháng 9 năm 2026 Hạn chót trong thông báo: 10 Ngày Tháng 7 năm 2016 Thời gian đã trôi qua kể từ khi có thông báo: 3,715 Ngày Số liệu đã được điều chỉnh từ 20 (ngày 2016 tháng 7) sang bản chụp nhanh hồ sơ tại 21 (ngày 2026, tháng 9) – đây không phải là số liệu thời gian thực Hồ sơ thi hành đã được công bố: Không có Không tìm thấy thông tin chi tiết về các trường hợp ngắt kết nối hoặc chặn theo từng nhà mạng ◀ **Ngày thứ0–10** — thời hạn, để mở rộng quy mô **Ngày thứ 3715** — ảnh chụp nhanh ▶ - 20 2016 tháng 7**Đã ban hành lệnh bắt giữ có thời hạn 10 ngày***Ngày thứ 0* - 17 2024 tháng 2**Các nghĩa vụ theo DSA được áp dụng***Ngày thứ 2,768* - 25 2026 tháng 2**Công bố đơn khiếu nại của Tổng chưởng lý bang New York***Ngày thứ3,507* - 21 2026 tháng 9**Tổng quan về hồ sơ***Ngày thứ 3715* Mười năm sau, **CSGOFast** — được đề cập trong các báo cáo truyền thông về các thông báo của Nhóm Công tác về Bảo mật Mạng (2016) — hiện đang hoạt động: csgofast.com đã trả về thông báo chặn từ Bộ lọc Liên kết (Link Filter) đối với 2026-09-19 và 2026-09-21,, trong khi máy chủ xác thực của nó `steam-login.authtofast.com` (đã đăng ký 2026-06-30) thì không. Bản ghi đầy đủ và có ghi ngày tháng về các thay đổi bảo mật của Valve: [Dòng thời gian về an ninh →](https://phishdestroy.io/steam_dossier/security_timeline) · Hồ sơ của Washington và tiêu chuẩn thi hành: [dưới đây](https://phishdestroy.io/steam_dossier/vi/#washington-record-heading) **Theo hồ sơ ghi nhận:** Thông báo của Nhóm Công tác về Tên miền (2016) đã đặt thời hạn là ngày 10-; Valve đã vận hành một danh sách tên miền (Link Filter) và nhận được các tên máy chủ xác thực trong các yêu cầu OpenID của riêng mình; chưa có bản ghi thực thi nào dành riêng cho từng nhà điều hành được công bố. Các báo cáo từ cộng đồng mô tả một hành động 2018 nhằm vào một nền tảng thương mại điện tử (SkinJar), nhưng những báo cáo này chưa được xác minh và không được sử dụng làm cơ sở trong bài viết này. CSGOFAST / LỐI XÁC THỰC Đà LƯU ### Hãy tuân theo máy chủ trả về đã được chỉ định. Các liên kết bản ghi lộ trình đã lưu `csgofast.com` đến `steam-login.authtofast.com`. Tên máy chủ riêng biệt này được truyền trong yêu cầu OpenID của Steam. Điều này cung cấp cho các nhà điều tra một địa chỉ cụ thể để đối chiếu với các bản ghi về việc lọc và thực thi của Valve. [Kiểm tra lộ trình CSGOFast và nguồn gốc của nó ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [So sánh kết quả của bộ lọc liên kết đã lưu trên Steam ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) HỒ SƠ CÔNG KHAI / WASHINGTON · 2016 → 2026 ### Hai thời hạn. Một tiêu chuẩn thi hành vẫn chưa được làm rõ. **20 THÁNG 7** #### Valve cung cấp cho các trang web cá cược 10 ngày Yêu cầu từ phía luật sư của công ty này đã cảnh báo rằng việc tiếp tục sử dụng các tài khoản Steam vào mục đích thương mại có thể dẫn đến việc chấm dứt tài khoản. **27 SEP** #### Washington gây áp lực lên Valve Ủy ban Cờ bạc của bang đã yêu cầu cung cấp bằng chứng về các biện pháp nhằm ngăn chặn việc chuyển nhượng “skin” để đánh bạc và đặt hạn chót trả lời vào ngày 14 tháng 10. **17 OCT** #### Valve bác bỏ cáo buộc Valve đã trả lời sau thời hạn quy định, bác bỏ cáo buộc rằng họ tạo điều kiện cho hoạt động cờ bạc, cho biết đã vô hiệu hóa các tài khoản liên quan và khẳng định không muốn ngừng hoạt động giao dịch cũng như dịch vụ OpenID đối với tất cả người dùng. Ít nhất một nền tảng được nêu tên trong các báo cáo truyền thông về các thông báo tháng 7 (CSGOFast) vẫn đang hoạt động một thập kỷ sau đó. Cả hai sự kiện này chỉ có thể đúng nếu nhà điều hành đã thay thế các tài khoản bị vô hiệu hóa; hồ sơ chứng minh điều này vẫn chưa được công bố. WSGC nên yêu cầu Valve làm rõ mâu thuẫn giữa hai thông tin này. **2026** #### Các tuyến đường được ghi nhận vào tháng 9 năm 2026 Sổ đăng ký tuyến đường ghi lại các nền tảng 44 xác thực thông qua các máy chủ xác thực thuộc các miền riêng biệt, bao gồm CSGOFast, bằng cách sử dụng OpenID và các cơ chế giao dịch Valve được mô tả tại 2016.. Bản ghi thực thi nhằm chỉ ra những nhà khai thác nào đã bị ngắt kết nối vẫn chưa được lập. BẢN TÓM TẮT CỦA ỦY BAN · 30 THÁNG 1 NĂM 2018 #### Mười tám tháng sau khi Công ty Dịch vụ Bưu chính và Viễn thông (Valve) gửi phản hồi, cơ quan quản lý vẫn coi đó là một ý định. Trong buổi làm việc với cơ quan lập pháp của bang tại phiên điều trần công khai về Dự luật HB 2881, Ủy ban đã tóm tắt tuyên bố ngày 7 tháng 2016 theo cách diễn đạt của riêng mình: Valve **"đã tuyên bố ý định siết chặt việc sử dụng nền tảng của mình để tạo điều kiện cho hoạt động cá cược bằng skin."** Trang này cũng ghi lại tác động của thông báo đó đối với dự báo của ngành — *"do đó,"* Dự báo về thị trường cá cược trực tuyến tại 2020 đã được điều chỉnh từ **$19.7 billion** đến **$670 million**, mức giảm khoảng 97 phần trăm, chỉ dựa trên thông báo này. Dự báo đã thay đổi. Báo cáo về việc thực thi quy định đối với từng nhà khai thác – vốn là cơ sở để biện minh cho việc này – vẫn chưa được công bố. Các số liệu thị trường này là ước tính của Narus Advisors / Eilers & Krejcik Gaming được trích dẫn trong bản tóm tắt của Ủy ban, chứ không phải là kết luận của Ủy ban; cùng tài liệu này ước tính quy mô cá cược bằng skin trong trò chơi “2016” vào khoảng $5 tỷ, trong đó khoảng $3 tỷ diễn ra trên các trang web theo mô hình sòng bạc. Nguồn: 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`. Có thể so sánh quan điểm công khai của Valve về “2016” với cơ sở hạ tầng hiện có ngày nay. Câu hỏi đặt ra là liệu các biện pháp thực thi có tác động đến các tài khoản và tuyến đường được sử dụng bởi các nhà khai thác bị cấm hay không. **Việc thông báo trước mười ngày không phải là bằng chứng cho thấy thông báo đó đã được thực hiện đối với tất cả các nhà khai thác được nêu tên trong đó.** Hành động của OPSkins liên quan đến “2018” là biện pháp can thiệp duy nhất được ghi nhận nhằm vào một người điều hành cụ thể; xét trên bối cảnh các nền tảng 189 đã được kiểm tra và không có hồ sơ công khai nào theo từng người điều hành, một hành động được ghi nhận như vậy không đủ để cho thấy một xu hướng thực thi nhất quán. [Thông báo “2016” của Ủy ban Cờ bạc Washington ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [đã lưu trữ 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Phản hồi của Valve về bài viết “17” trên tạp chí “2016” tháng 10 (bản sao tài liệu) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Buổi báo cáo của WSGC trước cơ quan lập pháp, “30” tháng 1 năm 2018 (bản sao lưu trữ, 4 trang) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [tệp tương tự trên wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [bản ghi truy xuất & hàm băm ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [Chương trình khuyến mãi OPSkins “2018” của Valve ↗](https://blog.counter-strike.net/expresstrade/) [đã lưu trữ 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [Kiểm tra lộ trình hiện tại ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) Kiểm toán pháp y theo chiều dọc · Các đối tượng bị yêu cầu ngừng và chấm dứt hoạt động trên trang web 2016 ### Thập kỷ “10--Day Notice”: Kiểm toán khả năng tồn tại về mặt pháp y đối với các địa điểm được nêu tên trong “23” Vào ngày 19–20 tháng 7 năm 2016, Valve, Tổng cố vấn pháp lý Karl Quackenbush đã ban hành các thông báo chính thức yêu cầu ngừng và chấm dứt hoạt động đối với các nền tảng cờ bạc bằng skin trên 23, yêu cầu các nền tảng này ngừng sử dụng thương mại các tài khoản Steam trong phạm vi **10 ngày** dưới nguy cơ bị đóng tài khoản và bị khởi kiện. Hơn 3,700 ngày sau đó, một cuộc kiểm toán thực nghiệm đã vạch trần mô hình thực thi thực sự: nhiều nhà khai thác chưa bao giờ ngừng hoạt động, một số khác vẫn tiếp tục hoạt động tới sáu năm sau thời hạn, và hệ sinh thái trị giá hàng tỷ đô la này vẫn tiếp tục tận dụng kiến trúc OpenID củValve. 5+ TRỰC TIẾP Hoạt động ổn định trên các nền tảng như 2026 (CSGOBig, CSGO500, CSGOFast, v.v.) 6 NĂM Thời gian hoạt động dài nhất sau khi nhận thông báo trước khi đóng cửa (CSGOatse hoạt động qua địa chỉ 2022) $5.01B 2016 khối lượng giao dịch theo giá trị (Narus / Eilers & Krejcik) 200+ Các trang web cá cược trực tuyến đang hoạt động sôi nổi trong giai đoạn thị trường đạt đỉnh | Nền tảng / Tên miền | Thông báo về sự kiện “2016” tháng 7 | Kết quả thi hành và tình trạng còn tồn tại | Xác minh đã ghi lại / Các liên kết chính | | --- | --- | --- | --- | | CSGOBig csgobig.com | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Temporarily paused, relaunched; authenticates via letmeinbig.com & csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) | | CSGO500 csgo500.com / 500.casino | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Rebranded into 500 Casino (Curaçao license #8048/JAZ2014-037), multi-million monthly turnover | [Live Platform (500.casino) ↗](https://500.casino) | | CSGOFast csgofast.com | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Actively operating roulette, crash, and jackpot via steam-login.authtofast.com | [Dossier Auth Audit ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) | | CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | 10-Day Notice (Jul 2016) | STILL LIVE IN 2026 Pivoted to esports coin wagering and crypto betting; maintained continuous operation | [Live Platform ↗](https://csgolounge.com) | | CSGOCasino csgocasino.net / csgocasino.gg | 10-Day Notice (Jul 2016) | LIVE VIA SUCCESSOR (2026) Domain redirected; active successor portal operates under csgocasino.gg | [Successor Domain ↗](https://csgocasino.gg/) | | CSGOatse csgoatse.com | 10-Day Notice (Jul 2016) | SURVIVED 6 YEARS (ACTIVE TO 2022) Continued full gambling operations for six years following Valve's 10-day ultimatum | [X: @CSGOatsecom (Active to 2022) ↗](https://x.com/CSGOatsecom) | | CSGOSweep csgosweep.com | 10-Day Notice (Jul 2016) | SURVIVED TO DEC 2017 Operated publicly for 17 months after deadline | [X: CSGOSweep Status Dec 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) | | CSGOWild csgowild.com | 10-Day Notice (Jul 2016) | SURVIVED TO DEC 2017 Promoted by major influencers; ran for 1.5 years post-C&D before crypto migration | [X: @Wild (Active Dec 2017) ↗](https://x.com/Wild) | | CSGOPot csgopot.com | 10-Day Notice (Jul 2016) | SURVIVED TO SEPT 2017 Operated high-stakes jackpot betting 14 months past notice | [X: @csgopot (Active Sep 2017) ↗](https://x.com/csgopot) | | CSGODiamonds csgodiamonds.com | 10-Day Notice (Jul 2016) | SURVIVED TO MID 2017 Ran through 2017 despite admitted outcome tampering for sponsored streamers | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) | | CSGOLotto csgolotto.com | 10-Day Notice (Jul 2016) | CLOSED JULY 2016 Shut down under public scandal; target of federal FTC consent order | [FTC Consent Order (Docket C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) | | CSGODouble csgodouble.com | 10-Day Notice (Jul 2016) | CLOSED JULY 2016 Shut down voluntarily immediately after C&D publication | [X: @CSGODouble (Closed Jul 2016) ↗](https://x.com/CSGODouble) | | CSGOMassive csgomassive.com | 10-Day Notice (Jul 2016) | CLOSED 2016 Ceased public operations in late 2016 | [X: @csgo_massive ↗](https://x.com/csgo_massive) | | CSGOStrong csgostrong.com | 10-Day Notice (Jul 2016) | CLOSED 2016 Ceased public operations in 2016 | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) | | Skins2 skins2.com | 10-Day Notice (Jul 2016) | CLOSED 2016 Ceased public operations in 2016 | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) | Nhu cầu chưa được đáp ứng **Công bố hồ sơ thực thi: những tài khoản cờ bạc và bot nào đã bị vô hiệu hóa, những máy chủ trả về nào đã bị hạn chế, và những dịch vụ thương mại nào đã được cấp phép. Việc công bố lệnh cấm công khai và cảnh báo trên trang chủ không chứng minh được rằng hoạt động cơ bản đã bị chấm dứt.** Phần B — Các quy định và hồ sơ thực thi · Mục 12 ## Tên máy chủ đã có sẵn trong yêu cầu. Bối cảnh và các giới hạn về nguồn Valve hệ thống này hiện đã có sẵn một danh sách tên miền (Link Filter) và đã nhận được tên máy chủ xác thực trong mỗi yêu cầu OpenID. Mã giả dưới đây minh họa cấu trúc logic của việc kết nối hai thành phần này. Không có bằng chứng công khai nào cho thấy Valve thực hiện điều này. Valve hiện đã vận hành một danh sách chặn tên miền. Valve hiện đã nhận được thông tin máy chủ đăng nhập trong mỗi yêu cầu OpenID. **Không cần phải xây dựng gì cả — chỉ cần nối hai thứ đó lại với nhau là được.** Đó là thao tác tra cứu tên máy chủ dựa trên danh sách do Valve tự duy trì. Mã giả dưới đây chỉ mang tính minh họa, không phải là cách triển khai củValve. forensic_autoban.py # ILLUSTRATIVE PSEUDOCODE — Valve.block_domain() and flag_session_as_mitm() are not real API calls. This demonstrates the logical structure of a mitigation Valve could implement against proxy auth domains, not actual Valve internals. # Illustration: the logical shape of a check on the incoming OpenID request def kiểm tra yêu cầu OpenID (yêu cầu): blocked_origins = database. lấy_danh_sách_các_nền_tảng_bị_đưa_vào_danh_sách_đen () proxy_domain = request.params. lấy ( 'openid.realm' ) target_redirect = request.params. lấy ( 'openid.return_to' ) # Logic: If the proxy routes back to a blocked site, ban the proxy. để trang web trong blocked_origins: nếu trang web trong target_redirect: Valve. chặn_miền (proxy_domain) Valve. đánh dấu phiên làm việc là MITM (request.session) # Result: Yêu cầu đăng nhập đối với máy chủ đó đã bị từ chối Quan sát: Trong trường hợp một tên miền chính đã có trong Danh sách lọc liên kết (e.g.howl.gg, bị chặn tại 2026-09-18/19/21) và máy chủ xác thực của nó (howl.uno) xuất hiện trong yêu cầu OpenID từ nút đăng nhập của trang web đó, thì mối liên kết này có thể được Valve phát hiện thông qua dữ liệu yêu cầu của chính nó. Việc kiểm tra này có thể tự động hóa; tuy nhiên, việc có thực hiện kiểm tra hay không thì không thể tự động hóa. ### Các tiền lệ đã được ghi chép và báo cáo Valve đã có ít nhất một lần can thiệp chính thức đối với một nhà điều hành bên thứ ba: trong vụ “2018”, cơ quan này đã thu hồi quyền truy cập của OPSkins vào hệ thống ExpressTrade ([Thông báo của Valve ↗](https://blog.counter-strike.net/expresstrade/) [đã lưu trữ 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). Các báo cáo từ cộng đồng trên trang 2018 cũng đề cập đến việc một nền tảng thương mại điện tử (SkinJar) bị mất quyền truy cập; những báo cáo này chưa được xác minh và cơ chế xảy ra được suy luận dựa trên kết quả, chứ không phải từ quy trình đã được công bố. Tiền lệ này xác lập điều gì: Valve có thể ngắt quyền truy cập của một nhà cung cấp dịch vụ bên thứ ba bất cứ khi nào họ quyết định. CSGOFast, được nhắc đến trong các báo cáo truyền thông về các thông báo ngày 7 tháng 2016, đã hoạt động trên địa chỉ 2026-09-21 với máy chủ xác thực được đăng ký tại 2026-06-30 và không bị chặn bởi bộ lọc liên kết. Lý do tại sao một nhà cung cấp dịch vụ bị ngắt kết nối trong khi những nhà cung cấp khác thì không vẫn chưa được giải thích dựa trên bất kỳ tiêu chí công bố nào. ### Những thông tin mà ngày đăng ký thể hiện và không thể hiện Ngày đăng ký của một máy chủ xác thực là giới hạn dưới về thời điểm máy chủ đó có thể xuất hiện lần đầu tiên trong một yêu cầu OpenID; điều này không chứng minh việc sử dụng liên tục. `sc-auth.net`, ví dụ, tên miền 2019-04-02 (RDAP) đã được đăng ký và được ghi nhận xuất hiện trong quy trình đăng nhập Steam của Skin.Club vào tháng 9 năm 2026; những gì đã xảy ra trong khoảng thời gian giữa hai ngày này không được ghi nhận công khai. ### Kiểm toán so sánh: Tiêu chuẩn tuân thủ của Tổ chức Hợp tác và Phát triển Kinh tế (API) | Khía cạnh thi hành | GitHub API Quy định | Steam Trang web API (Valve) | | --- | --- | --- | | 1. Compliance Neutrality | Published, uniform rules. Documented rate limits (e.g. 5,000 calls/hr for authenticated users, 15,000/hr for GitHub Enterprise Cloud organisations) and published acceptable-use policies apply to every account. | No published criteria. Individual accounts are terminated under the automation and commercial-use clauses (archived complaints), while no per-operator enforcement record for commercial platforms has been published. | | 2. OpenID / Auth Proxy Abuse | GitHub's published policies allow OAuth apps and tokens to be suspended or revoked for abuse, and its documentation describes automatic revocation of exposed tokens (authors' summary of GitHub documentation). | Separate-domain auth hosts observed in Steam OpenID flows (e.g. rbsnin.com, howl.uno, sc-auth.net) returned no Link Filter block on 2026-09-21 while their main domains did. | | 3. Monetization of Abuse | GitHub takes no transaction fee on items moved by third-party automation; its revenue model is subscriptions and marketplace listings. | Valve sells the case keys that produce the items, and the Community Market charges a combined fee of about 15% on sales completed inside the Market. No figure for revenue attributable to third-party platforms is estimated here. | | 4. Evasion Loop Lifespans | Suspended OAuth client IDs stop working platform-wide at suspension; the documentation does not publish a time-to-action figure and none is assumed here. | Separate-domain auth hosts with registration dates from 2011 to September 2026 returned no Link Filter block in the checks of 2026-09-19 and 2026-09-21. Registration date is a lower bound on possible use, not proof of continuous use. | Nguồn: Bài viết trên GitHub — Tài liệu về giới hạn tốc độ và chính sách nền tảng của API do GitHub công bố (tóm tắt của tác giả, không trích dẫn) · Bài viết trên Steam — Các kiểm tra của Link Filter đối với 2026-09-19 và 2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), cơ sở dữ liệu RDAP ([domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) và các khiếu nại hỗ trợ đã được lưu trữ ([kho lưu trữ bằng chứng](https://phishdestroy.io/steam_dossier/steam_evidence_archive)). Phần B — Các quy định và hồ sơ thực thi · Mục 13 ## Chênh lệch giá so với mức giá trên trang webSteam Món đồ này nằm trong kho của Steam; việc bán hàng diễn ra ở nơi khác. Một khẩu AWP Dragon Lore mới nguyên bản đã **62 Các ưu đãi đang diễn ra trên CSFloat**; mức giá yêu cầu thấp nhất **$10,623.95**. Trên chính thị trường của Steam, giá chào bán không được cao hơn khoảng $1,800.. Để bán với mức giá cao hơn đã ghi nhận, chủ sở hữu cần có người mua ngoàiSteam hoặc thông qua một nền tảng giao dịch khác. Mặt hàng và việc chuyển nhượng vẫn phụ thuộc vào Steam. Bối cảnh và các giới hạn về nguồn Trong phần này có ba cách tính khác nhau và chúng không thể thay thế cho nhau. **245** là số lượng danh mục tên sản phẩm CS2 có mức giá ưu đãi rẻ nhất hiện có vượt quá $1,800 chỉ riêng trên trang CSFloat, 20 tháng 9 năm 2026. **241** đó chính là tập hợp đó trừ đi bốn hạng mục được ghim tại mức trần $100,000 của CSFloat, đây chính là bảng dữ liệu được dùng để tính toán mức sàn $13.63M. **248** Đây là một bức tranh tổng quan khác: các danh mục có giá cao hơn mức trần tại hai hoặc nhiều hơn trong số năm sàn giao dịch trên 23 vào ngày 2026. Các sàn giao dịch này có sự trùng lặp, do đó tuyệt đối không được cộng dồn số liệu từ các nền tảng khác nhau. Mọi con số ở đây đều là giá chào bán, không phải giá bán đã hoàn tất, và không có con số nào trong số đó là doanh thu, doanh số hay lợi nhuận — cho Valve hay bất kỳ ai khác. Các giá trị được liệt kê trên PriceEmpire là các ước tính làm tròn do trang web đó công bố, và thẻ "Steam" của trang này bao gồm các mặt hàng từ các trò chơi khác thuộc dòng Steam, do đó phạm vi so sánh giữa các mục không hoàn toàn trùng khớp. **Một mặt hàng. Hai hệ thống giá.** THEO DÕI KẾT QUẢ STEAM**Giá khoảng $1,800** Giới hạn số lượng tin đăng trên Chợ Cộng đồng đã được công bố DANH MỤC Đà LƯU**$10,623.95** AWP Dragon Lore nguyên seal từ nhà máy, xin báo giá SỰ PHỤ THUỘC**Vẫn là một sản phẩm thuộc dòng “Steam”** Danh mục hàng tồn kho và việc chuyển giao vẫn được thực hiện trên Steam Steam giới hạn mức giá niêm yết. Người bán có thể chấp nhận mức giá thấp hơn, nhưng không được đăng mức giá chào bán năm chữ số đã ghi nhận trên thị trường đó. Danh mục “CSFloat” đã lưu hiển thị các ưu đãi tại 62. Đây là giá chào bán, không phải bằng chứng về một giao dịch đã hoàn tất. Với mức giá đó, người bán cần một nền tảng giao dịch bên ngoàiSteam hoặc một người mua. Mặt hàng này vẫn phụ thuộc vào kho hàng và hệ thống chuyển nhượng của Steam. 01 / SẢN PHẨM **Valve kho đồ trong trò chơi**Vật phẩm “2” trong CS2 hoặc Dota được lưu trữ tại Steam 02 / TRẦN NHÀ **Khoảng $1,800 trên Steam**Giá tối đa cho một sản phẩm được đăng trên Market 03 / YÊU CẦU TỪ BÊN NGOÀI **$10,623.95 for Dragon Lore**Ưu đãi “CSFloat” rẻ nhất trong ảnh chụp màn hình ngày hôm đó 04 / GIAO HÀNG **Steam vẫn còn trong chuỗi**Quyền sở hữu và việc chuyển nhượng vật phẩm phụ thuộc vào hệ thống của nó **245 Các danh mục CS2 trên trang CSFloat.****166 Các hạng mục “CS2” và “3” trong Dota 2 trên trang Skinport.** Mỗi số liệu thống kê các danh mục theo tên sản phẩm mà mức giá ưu đãi rẻ nhất hiện có cao hơn chính xác $1,800 trên trang 20 vào ngày 2026. Các sàn thương mại điện tử có sự trùng lặp; không được cộng dồn số liệu thống kê của chúng. Một ưu đãi không đồng nghĩa với một giao dịch đã hoàn tất. [Kiểm tra sổ đăng ký cấp mặt hàng →](https://phishdestroy.io/steam_dossier/elite_skins#register) DIRECT CSFLOAT API / BẢN CHỤP MÀN HÌNH THEO NGÀY **$13.63M** Giá chào bán tổng cộng tối thiểu tại **241 danh mục sản phẩm** và **3,395 các ưu đãi đang áp dụng**. Được tính bằng cách nhân mức giá chào bán rẻ nhất của mỗi nhóm với số lượng cổ phiếu được chào bán trong nhóm đó. Bốn nhóm bị giới hạn ở mức trần $100,000 theo quy định của Ủy ban Chứng khoán và Giao dịch (CSFloat) đã bị loại khỏi bảng phân tích thận trọng này. ### Con số này cho thấy điều gì Các ưu đãi này tương đương với ít nhất **$13,631,888.25** trong các mức giá niêm yết của bộ sưu tập “CSFloat” phiên bản giới hạn này. Khi tính cả bốn hạng mục có mức giá cao nhất, tổng cộng sẽ là **$14,231,888.25**. Đây là một *giá sàn đối với các lệnh mua đang hoạt động*, chứ không phải doanh số bán hàng đã hoàn tất, doanh thu tiền mặt, lợi nhuận hay toàn bộ thị trường CS2. [Tính toán lại từ bản chụp nhanh CSFloat của hàng “245-” ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json) PRICEEMPIRE / GIÁ TRỊ NIÊM YẾT **Steam: #15 thuộc 39** ### Nhiều địa điểm niêm yết mức giá cao hơn so với “Steam”. UUSkins **$133.8M** YouPin898 **$127.5M** Buff.163 **$104M** Moon.Market **$100.3M** White.Market **$89.6M** Buff.Market **$86.7M** Steam **$31M** Sáu giá trị lớn nhất được hiển thị và Steam. PriceEmpire làm tròn các con số này; Steam cho thấy **$31M**. Có 14 địa điểm được liệt kê xếp trên địa điểm này theo giá trị bằng đô la được hiển thị. PRICEEMPIRE / SỐ LƯỢNG ƯU ĐÃI **Steam: #1 thuộc 39** ### Steam vẫn dẫn đầu về số lượng lời đề nghị. Steam **32.2M** YouPin898 **5.9M** C5Game **4.6M** HaloSkins **4.4M** Skinport **3.8M** Steam chương trình **32.2M** số lượng đề nghị. Số lượng đề nghị và tổng giá chào bán trả lời cho những câu hỏi khác nhau; nhiều tin rao bán giá thấp có thể chiếm phần lớn trong tổng số. Nguồn: [So sánh công khai của PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), được ghi lại tại 2026-09-20 19:03 UTC; [ngày 39-trích xuất hàng ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). Các con số này là ước tính được làm tròn, và hàng tồn kho có thể trùng lặp giữa các địa điểm. Thẻ của “Steam” cũng mô tả các vật phẩm từ các tựa game khác thuộc dòng “Steam”, do đó phạm vi của hai danh sách này không hoàn toàn trùng khớp. Giá trị được liệt kê phản ánh giá chào bán, chứ không phải doanh số hay doanh thu. **42** MỘT NGUỒN THÔNG TIN KHÁC / STEAMANALYST ### Hệ sinh thái thương mại đang hiện hữu rõ ràng trước mắt. [Danh mục thị trường của SteamAnalyst](https://www.steamanalyst.com/marketplace) [đã lưu trữ 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) liệt kê các sàn giao dịch CS2 của bên thứ ba tại 42 cùng với Steam, kèm theo dữ liệu giá mới nhất cho các sản phẩm 32 thuộc danh mục 43. PriceEmpire liệt kê các sàn giao dịch 39 dựa trên tiêu chí lựa chọn riêng của mình. Các doanh nghiệp được nêu tên, các ưu đãi công khai, giá cả hiển thị: nền kinh tế này hoàn toàn minh bạch và có thể kiểm tra được. GIỚI HẠN CHÍNH LÀ CƠ CHẾ: VIỆC GIẢM GIÁ SẼ KẾT THÚC, NHƯNG MẶT HÀNG THÌ KHÔNG. Trên năm sàn thương mại điện tử được ghi lại trong một bản chụp màn hình có giấy phép, **248 Các danh mục sản phẩm CS2 đều có mức giá được định riêng, cao hơn mức trần niêm yết khoảng $1,800 của Steam từ hai đơn vị trở lên — và tất cả các danh mục này đều không có mặt trên Steam**. Cùng một bản chụp nhanh này đã phân loại toàn bộ danh mục theo giá: Thị trường của Valve có 95.3% các danh mục sản phẩm có giá dưới mức trần và 1.9% các danh mục có giá trên mức trần. Sự sụt giảm này không phản ánh nhu cầu giảm sút; nó hoàn toàn phù hợp với quy tắc đã công bố. Việc bán hàng ở những mức giá đó đòi hỏi phải có người mua hoặc sàn giao dịch bên ngoài, trong khi Steam vẫn kiểm soát hàng tồn kho và quá trình chuyển giao — giao dịch được thực hiện qua trang thanh toán của Valve và việc giao hàng vẫn diễn ra trên nền tảng của Valve. [Steam Câu hỏi thường gặp về thị trường ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam Thỏa thuận người đăng ký ↗](https://store.steampowered.com/agreement/?l=english)[đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[Bộ dữ liệu bản đồ năm thị trường ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[Bảng kê nguồn gốc ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[Bản chụp nhanh trước đó của CSFloat ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Skinport ảnh chụp nhanh ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [đã lưu trữ 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[Sổ ghi chép chênh lệch giá ↗](https://phishdestroy.io/steam_dossier/elite_skins)[Bản đồ thang giá ↗](https://phishdestroy.io/steam_dossier/skin_atlas) Phần C — Khung pháp lý Phần C — Khung pháp lý · Mục 14 · Quyền tiếp cận của nhân viên ## Ai có thể thiết lập lại các biện pháp bảo vệ? Bối cảnh và các giới hạn về nguồn Tính bảo mật của tài khoản còn phụ thuộc vào những người có quyền khôi phục tài khoản, kiểm tra các thông tin riêng tư hoặc thiết lập lại các biện pháp bảo mật của tài khoản đó. Cuộc điều tra phải theo dõi chặt chẽ các hành động đặc quyền này, giống như cách mà nó theo dõi các hành vi lạm dụng liên quan đến “API”. Việc khôi phục tài khoản trao cho nhân viên hỗ trợ quyền chuyển quyền sở hữu tài khoản khỏi chủ sở hữu ban đầu. **Valve đã xác nhận bằng văn bản hai lần — vào ngày 2023 tháng 2 và ngày 2025 tháng 11 — rằng quyền hạn này đã được sử dụng để chuyển các tài khoản cho những người không đúng.** Cách nhau 33 tháng, qua cùng một kênh. Dưới đây: giá trị của quyền truy cập đó, sáu trường hợp được trích dẫn nguồn, và bản ghi mà Valve lưu giữ cho từng trường hợp và chưa từng cung cấp cho bất kỳ ai. Lời khai được lưu giữ / 9 Tháng 5 năm 2025 ### Một phiếu khôi phục đã vô hiệu hóa tính năng bảo mật của tài khoản, cùng với khoản thiệt hại được báo cáo là $10,000 Một người dùng trong kho lưu trữ các trường hợp hỗ trợ đã báo cáo rằng bộ phận Hỗ trợ của Steam đã đặt lại mật khẩu và vô hiệu hóa tính năng bảo vệ tài khoản sau khi một người khác gửi yêu cầu khôi phục tài khoản. Tác giả cho biết tài khoản này đã không hoạt động trong nhiều năm, vẫn lưu giữ các mục từ thời 2016–2017 và được bảo vệ bởi tính năng Steam Guard, có số điện thoại liên kết cùng các mã khôi phục đã lưu trữ. > "Steam Support still gave someone else access to my account." Cáo buộc từ góc nhìn người thứ nhất, được ghi lại trong `steam_support_tickets_MEGA.json`, truy cập 110. [Đọc toàn bộ bài đăng đã được lưu lại ↗](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#case-support-recovery) Đây không phải là trường hợp xui xẻo của một người dùng nào đó. Cánh cửa đó — tức là yêu cầu hỗ trợ nhằm chuyển tài khoản cho bất kỳ ai cung cấp dữ liệu cũ hơn — chính là quy trình được ghi nhận áp dụng cho mọi trường hợp trong sổ cái dưới đây, và Valve đã hai lần nêu rõ điều này bằng văn bản. **Chủ sở hữu không thể thắng trong cuộc tranh luận đó.** Quá trình khôi phục yêu cầu mã CD đầu tiên, địa chỉ email đầu tiên, thẻ thanh toán đầu tiên và số điện thoại đầu tiên. Những thông tin này có trong cơ sở dữ liệu của Valve, và bộ phận hỗ trợ có thể truy cập để đọc chúng — theo báo cáo là có thể truy xuất dữ liệu từ mười lăm năm trước. Một người có bản sao hồ sơ của bạn sẽ luôn cung cấp được nhiều thông tin lịch sử hơn cả chính bạn. Các mục tiêu được chọn sao cho phù hợp: không hoạt động trong nhiều năm, có giá trị cao và thường được mua lại từ người khác, do đó người sở hữu hiện tại không bao giờ biết mã gốc. Sau đó, các tài khoản này bị xóa hoàn toàn, cắt đứt dấu vết lịch sử giao dịch mà cộng đồng sử dụng để truy vết một skin — một thao tác xóa mà người dùng thông thường không thể thực hiện nếu không tuân thủ thời gian chờ tiêu chuẩn. Quyền truy cập tối thiểu / OWASP A01 Các quyền truy cập phục hồi nên được giới hạn trong phạm vi nhiệm vụ cụ thể, phải được rà soát độc lập và ghi lại. Cần kiểm tra xem ai có thể đặt lại thông tin đăng nhập, gỡ bỏ tính năng Bảo vệ chống truy cập trái phép (Steam Guard), xem hồ sơ thanh toán hoặc xuất dữ liệu tài khoản. [Hướng dẫn về kiểm soát truy cập của OWASP ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [đã lưu trữ 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) Truy cập hỗ trợ rộng rãi Rủi ro liên quan đến phạm vi truy cập ### Vượt ra ngoài phạm vi hàng tồn kho. Nếu quyền truy cập rộng rãi bị lạm dụng, dữ liệu đo lường từ xa cá nhân có thể trở thành công cụ để phân loại đối tượng, thực hiện các cuộc tấn công lừa đảo nhắm mục tiêu và giám sát. Các nạn nhân tiềm năng bao gồm người dùng thông thường, quân nhân, nhân vật công chúng và gia đình của họ. Đây là một mô hình đe dọa; các quyền truy cập cụ thể cần phải được ghi chép trong hồ sơ kiểm soát truy cập. 01 Lịch sử và vị trí IP Nhật ký IP có thể tiết lộ lịch sử kết nối mạng và vị trí xấp xỉ. Bản thân các nhật ký này không thể xác định chính xác các chuyển động thực tế. 02 Nhận dạng dấu vân tay thiết bị Các mã định danh thiết bị, nếu được thu thập và có thể truy cập, có thể liên kết các phiên làm việc và tài khoản với nhau. 03 Dữ liệu đo từ xa về hoạt động Dấu thời gian đăng nhập và bản ghi phiên làm việc có thể tiết lộ thói quen sử dụng, bao gồm cả những hoạt động không hiển thị trên hồ sơ công khai. 04 Truyền thông và liên hệ Việc truy cập vào các tin nhắn đã lưu trữ hoặc thông tin liên lạc sẽ làm gia tăng nguy cơ bị phân loại hồ sơ cá nhân và bị lợi dụng thông qua các thủ đoạn thao túng tâm lý. 05 Vạch trần danh tính Các bản ghi gốc về email, số điện thoại và thanh toán có thể giúp xác định danh tính của một cá nhân thông qua tài khoản ẩn danh. 06 Việc bán lại dữ liệu và trách nhiệm giải trình Các danh sách mục tiêu đã xuất ra có thể được sử dụng để thực hiện các vụ lừa đảo có chủ đích. Cần xác định đối tượng thực hiện, vị trí truy cập, người nhận và các giao dịch chuyển tiền; chỉ riêng vị trí không đủ để xác định việc truy cập cũng như miễn trừ trách nhiệm pháp lý. Valve trình bày về việc ghi nhật ký địa chỉ IP, thông tin thiết bị, hồ sơ thanh toán và các nhà cung cấp dịch vụ hỗ trợ bên thứ ba trong [Chính sách bảo mật §§ 3, 5.2](https://store.steampowered.com/privacy_agreement/) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). Chính sách này cho phép bên thứ ba truy cập để hỗ trợ — tuy nhiên, hồ sơ theo dõi cho thấy nhà thầu nào đã truy cập vào danh mục nào, vào thời điểm nào và dựa trên cơ sở ủy quyền nào thì vẫn chưa được công bố. Phần 14.1 · The Register · Tháng 6 2022 → Tháng 11 2025 · Tất cả số liệu đều có nguồn gốc rõ ràng ### Valve Cánh cửa đã được mở ra hai lần, cách nhau ba mươi ba tháng. Nó chưa bao giờ đóng lại. Có sáu trường hợp được báo cáo liên quan đến việc các tài khoản bị chiếm đoạt thông qua kênh yêu cầu trợ giúp của chính Steam, hoặc thông qua thông tin đăng nhập mà kênh này bảo vệ. Mỗi số tiền được nêu là con số mà nguồn được trích dẫn đã công bố, và mỗi nguồn đều được nêu tên. Hai trong số sáu trường hợp này đã được bồi thường đầy đủ. Điểm khác biệt giữa hai trường hợp này với các trường hợp còn lại không phải là những gì đã xảy ra — mà là ai đang theo dõi. Valve gửi bằng văn bản — Tháng 2 năm 2023 "The items in question were removed from your account because they were received from an account that was compromised through a support help request, for which the CS:GO team takes responsibility. We have reversed the trades and removed them from any account which received them."Steam Hỗ trợ trả lời người nhận các sản phẩm của HFB, được sao chép bởi [Dexerto, 21 tháng 2 năm 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [đã lưu trữ 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) Valve lại viết bài — Tháng 11 năm 2025 · 33 tháng sau đó "A support technician that handled the help request failed to follow our process which resulted in your account restored to someone else. I apologize for this error."Steam Trả lời bình luận của Hawkeye337, được trích dẫn trong [Dexerto, 14 tháng 11 năm 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) Các trường hợp lọc: Phục hồi: Phiên bản lan truyền trên mạng “100%” so với phiên bản không lan truyền “0%” - 21 2022 tháng 6 **HFB — kho hàng lớn nhất trong trò chơi** $2,000,000+ *· đã huy động được $3,000,000+ trong đợt huy động vốn tiếp theo trên 2023 vào tháng 2* Bảy món đồ lưu niệm AWP Dragon Lores và con dao Karambit ngọc xanh #1; riêng con dao này đã có giá trị khoảng **$1.26 million**. Tài khoản này đã không hoạt động trong ba năm nhưng ứng dụng xác thực trên điện thoại di động vẫn còn hoạt động; dù vậy, địa chỉ email và mật khẩu vẫn được thay đổi thông qua quy trình khôi phục của bộ phận hỗ trợ. **Tiền đã hết trước khi các món đồ được mang đi.** Theo báo cáo **$200,000+** Một phần tiền thu được từ việc bán hàng đã được rút qua market.csgo.com — một sàn giao dịch thanh toán bằng tiền mặt và tiền điện tử. Việc hủy giao dịch sẽ trả lại skin. Nó không trả lại số tiền mặt mà người dùng đã rút về tài khoản. **Và bản vá lại bị hỏng.** Một người mua đã chuyển món đồ “Souvenir Dragon Lore” của mình vào một Kho chứa trong trò chơi. Tập lệnh khôi phục của Valve không thể “nhìn” vào bên trong chính kho chứa đó, nên nó đã cấp cho chủ sở hữu một bản sao mới và để nguyên bản bị ẩn — Valve đã sao chép một **$130,000** mặt hàng khi đang cố gắng hủy bỏ một vụ trộm cắp. Vụ việc đã bị phát hiện nhờ đối chiếu mã ID mặt hàng và thông tin báo cáo từ cộng đồng, và mặt hàng đó đã bị xóa một tháng sau đó, vào tháng 7 năm 2022. Người mua đã được BUFF hoàn tiền, chứ không phải từ Valve. Việc khắc phục khẩn cấp một cách thiếu bền vững như vậy không phải là một biện pháp kiểm soát; đó là điều mà một nền tảng thực hiện khi không thể kiểm soát được tình hình. [Dexerto, 21 Jun 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [đã lưu trữ 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [Kaspersky ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · Số tiền rút ra trên mỗi [Esportfire, 22 Jun 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [đã lưu trữ 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), được trích dẫn từ nhiều nguồn trên trang Twitter · sao chép và xóa theo [Esportsbetting, 14 Tháng 7 năm 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/) **Đã được phục hồi***Các giao dịch đã bị hủy bỏ. Các mặt hàng đã bị thu hồi khỏi kho hàng của những người đã mua chúng với giá đầy đủ.* - 14 2022 tháng 8 **CS.Money — các bot của chính nền tảng này** $6,300,000 *· 19,000+ các giao diện · ước tính ban đầu $1.6M* Những kẻ tấn công đã chiếm đoạt các tệp xác thực trên thiết bị di động của các bot giao dịch trên sàn thương mại điện tử và xóa sạch dữ liệu trong đó, sau đó chuyển một phần số tài sản chiếm được cho các nhà giao dịch nổi tiếng nhằm che giấu dấu vết. Các nhà nghiên cứu trong cộng đồng đã lập bản đồ **55 các tài khoản của kẻ tấn công chỉ trong vài giờ** và đã xuất bản chúng. Valve không đảo ngược bất cứ điều gì. Lý do được đưa ra là trang web của bên thứ ba nằm ngoài Steam — chính là Steam, nơi mà vụ trộm đã diễn ra từ đầu đến cuối trên nền tảng hàng tồn kho, giao dịch API và hệ thống tài khoản của trang web này. [Esportfire, 14 Tháng 8 năm 2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [đã lưu trữ 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) **Bị từ chối***Không có sự đảo chiều. Mất mát vẫn thuộc về nền tảng và người dùng của nó.* - Đã được báo cáo 21 2023 tháng 2 **Qkss — cùng một cánh cửa, cùng một diễn viên** $1,000,000+ Theo báo cáo, trường hợp này được xử lý theo cách tương tự như trường hợp HFB, do cùng một người dùng thực hiện, thông qua cùng một yêu cầu hỗ trợ. Trường hợp HFB đã được giải quyết triệt để tám tháng trước đó. Còn trường hợp Qkss thì chưa. **Một con đường. Hai câu trả lời.** Không có chi tiết nào trong hồ sơ đã công bố cho thấy sự khác biệt giữa hai vụ việc này, ngoại trừ quy mô của khán giả. [Dexerto, 21 Tháng 2 năm 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [đã lưu trữ 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) **Bị từ chối***Chưa được khôi phục.* - Đã được báo cáo 2023 tháng 2 **Chính hoạt động giao dịch nội gián — kéo dài suốt một năm** ≈ $320,000 *· diễn ra trong khoảng một năm, không phải là việc định giá hàng tồn kho* Quyền truy cập từ phía hỗ trợ đã truy cập được lịch sử tài khoản đến **15 tuổi** — mã CD đầu tiên, email đầu tiên, thẻ đầu tiên. Đó chính xác là những bằng chứng mà quy trình khôi phục yêu cầu, và đó là lý do tại sao người nắm giữ cơ sở dữ liệu luôn thắng trong cuộc tranh cãi với người nắm giữ tài khoản. Blogger Mzkshow đã vạch trần cách thức mà kẻ điều hành nội bộ “Steam Help” và đồng phạm “Alexander” nhắm mục tiêu vào các tài khoản không hoạt động chứa hơn $100k skin. Một khẩu M4A4 Howl bị đánh cắp, đi kèm với các skin iBUYPOWER và Titan Katowice 2014, đã được bán với giá **$35,000** và cuối cùng liên quan đến Valerii "b1t" Vakhovskyi của NAVI, người hoàn toàn không hay biết gì về việc này. Sau khi Valve can thiệp, nhà thầu đã sa thải toàn bộ bộ phận hỗ trợ Steam của mình. [VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (EN) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) **Không có sổ đăng ký***Valve chưa bao giờ công bố số lượng tài khoản bị ảnh hưởng là bao nhiêu, cũng như chưa thông báo cho những người bị ảnh hưởng.* - Đã được báo cáo 2 Tháng 12 năm 2024 **"Matvey" — sau các vụ sa thải** $13,000 Việc khôi phục đã được chấp thuận cho một người đã cung cấp dữ liệu tài khoản mà chính chủ tài khoản cũng không thể xác minh được. Hai năm sau khi nhà thầu giải thể bộ phận hỗ trợ Steam, việc áp dụng cùng phương thức này đã mang lại kết quả tương tự. [Bài đăng được lưu trữ, 2 tháng 12 năm 2024 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [đã lưu trữ 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [các hàng nguồn & hàm băm ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json) **Bị từ chối***Chưa được khôi phục.* - 13 2025 tháng 11 **Hawkeye337 (Mark Spurlock) — và lần thừa nhận thứ hai** ≈ $300,000–$500,000 *· Bộ sưu tập holo đầy đủ của Katowice 2014* Kẻ tấn công đã yêu cầu **1 bitcoin** và bắt đầu sao chép bộ sưu tập sang các thiết bị Negev để xóa bỏ nó. Steam Phản hồi bằng văn bản của bộ phận Hỗ trợ chính là lời thừa nhận thứ hai nêu trên: một kỹ thuật viên đã xử lý yêu cầu hỗ trợ, không tuân thủ quy trình và đã chuyển tài khoản đó cho người khác. **Nguyên nhân dẫn đến sự cố chính là nguồn cấp dữ liệu.** Chỉ vài giờ sau khi các bài đăng gắn thẻ Valve được đăng lên X, tài khoản này đã được khôi phục và tất cả các sticker đều được phục hồi. Qkss không có lượng người theo dõi như vậy. [Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [đã lưu trữ 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) **Đã được phục hồi***Bài viết đã bị gỡ xuống chỉ vài giờ sau khi trở thành chủ đề hot.* #### Những gì sổ cái ghi lại là điều mà không một trường hợp cụ thể nào có thể làm được. **Tuyến đường này chưa bao giờ bị đóng cửa.** Lần nhập viện đầu tiên có ngày tháng là tháng 2 năm 2023 và lần thứ hai là tháng 11 năm 2025 — **cách nhau ba mươi ba tháng**, cùng với vụ sa thải hàng loạt của nhà thầu, một vụ tái diễn đã được ghi nhận và một vụ vi phạm nền tảng trị giá $6.3 triệu xảy ra trong khoảng thời gian đó. Tính từ vụ trộm đầu tiên được ghi nhận trong sổ sách này, kênh này vẫn mở trong **ba năm và năm tháng**. Dù vấn đề đã được khắc phục tại 2023, thì vào tháng 11, yêu cầu trợ giúp vẫn chuyển tài khoản sang người dùng sai 2025 — Câu nói của chính Valve. **Việc bồi thường tập trung vào việc theo dõi mức độ chú ý, chứ không phải mức độ tổn hại.** Đã khôi phục: kho đồ lớn nhất trong trò chơi và người sưu tầm có chủ đề gây sốt. Đã từ chối: $1,000,000, $6,300,000, $13,000.Valve chưa bao giờ công bố quy tắc mà họ áp dụng, bởi vì nếu công bố quy tắc thì sẽ phải giải thích về ba trường hợp trên. **Không ai được thông báo.** Không phải những người dùng có lịch sử tài khoản bị trích xuất khỏi cơ sở dữ liệu, không phải cơ quan giám sát, cũng không phải thị trường đã mua các mặt hàng đó với thiện chí và sau đó bị thu hồi. Không có thông báo về vi phạm, không có báo cáo sự cố, cũng không có số liệu thống kê về số tài khoản bị ảnh hưởng — **và số tiền thu được còn lại dưới dạng tiền mặt**, thông qua các sàn giao dịch thanh toán bằng tiền mặt và tiền điện tử. Việc đảo ngược giao dịch không thể theo dõi dòng tiền rút ra khỏi Steam. Valve lưu giữ bản ghi kiểm toán hỗ trợ, nhật ký phiếu yêu cầu khôi phục và bản ghi giao dịch cho mỗi dòng ở trên. Không có tài liệu nào trong số đó được cung cấp. [Yêu cầu nhận bản sao của riêng bạn →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Câu hỏi về NDA ### Tính bảo mật phải đi kèm với trách nhiệm giải trình về mặt kỹ thuật. So sánh các thỏa thuận bảo mật với các quyền truy cập thực tế, các biện pháp kiểm soát xuất khẩu, các phê duyệt khôi phục và nhật ký truy cập. Một câu trả lời mẫu không thể giải quyết được cáo buộc rằng chính quy trình khôi phục đã bị lạm dụng. GDPR Các bài viết 28, 32–34 Điều 33 quy định người kiểm soát dữ liệu phải thông báo cho cơ quan giám sát về vụ vi phạm dữ liệu cá nhân trong vòng 72 giờ; Điều 34 yêu cầu phải thông báo cho những người bị ảnh hưởng khi rủi ro đối với họ ở mức cao. Valve đã xác nhận bằng văn bản, hai lần, rằng kênh hỗ trợ của họ đã chuyển các tài khoản cho nhầm người — bao gồm lịch sử giao dịch, hồ sơ thanh toán và tất cả các thông tin liên quan. **Chưa có thông báo nào theo quy định tại hai điều khoản trên được công bố, và chưa có người dùng nào bị ảnh hưởng báo cáo rằng họ đã nhận được thông báo đó.** [Đọc quy định ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [đã lưu trữ 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Hãy thêm yêu cầu hỗ trợ vào đơn yêu cầu của bạn →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Phần C — Khung pháp lý · Mục 15 · Quy mô thương mại ## Theo dõi dòng tiền. Phân tách các giao dịch. Bối cảnh và các giới hạn về nguồn Vấn đề về mục đích thương mại trở nên rõ ràng hơn khi các dòng tiền được tách biệt. Các giao dịch chuyển nhượng tài sản cho bên thứ ba, hoạt động bán hàng chính của Công ty Cổ phần Công nghệ Thông tin và Truyền thông (Valve) và các khoản rút tiền ra bên ngoài là những giao dịch khác nhau. Mặt hàng này thuộc sở hữu của Valve. Danh mục hàng tồn kho thuộc sở hữu của Valve. Quá trình chuyển giao được thực hiện trên các máy chủ của Valve. **Chỉ có việc thanh toán là diễn ra ở một nơi khác** — đây chính là bước quyết định liệu một người có phải là đơn vị chuyển tiền hay không, và cũng là bước duy nhất mà Valve không thực hiện. Cơ chế thu nhập ### Nơi dòng tiền thực sự lưu chuyển. Ba con đường / nền kinh tế một mặt hàng - 01 / Tài khoản **Danh sách người dùng** Các bài viết được đăng trên Steam - 02 / Chuyển khoản **Giao dịch ngang hàng (P2P)** Người dùng ↔ bot hoặc người dùng ↔ người dùng - 03 / Thanh toán **Nền tảng bên ngoài** Thanh toán hoặc hoàn tất thanh toán Steam **Lưu thôngĐộng lực kinh tế không chỉ dừng lại ở mức phí chuyển nhượng** Steam cung cấp cơ sở hạ tầng quản lý hàng tồn kho và chuyển nhượng được các thị trường bên ngoài sử dụng. Lập luận kinh tế của cuộc điều tra cho rằng tính thanh khoản khi bán lại và nhu cầu lặp lại duy trì chi tiêu cho các “vỏ”, “chìa khóa” và các mặt hàng thay thế, kèm theo phí từ các giao dịch tiếp theo trên Thị trường Cộng đồng. Một giao dịch chuyển nhượng trực tiếp giữa người dùng (P2P) không phải chịu hoa hồng của Thị trường Cộng đồng; thực tế kế toán này không giải quyết được lợi ích rộng lớn hơn. Valve vẫn duy trì quyền kiểm soát đối với quyền truy cập tài khoản và các hạn chế giao dịch trong suốt quá trình. - 01 / Nhu cầu thứ cấp **Khả năng thanh khoản và giá trị bán lại** Nhu cầu từ hoạt động thương mại và cờ bạc ở nước ngoài - 02 / Chi tiêu chính **Chìa khóa, hộp đựng và viên nang** Các giao dịch mua hàng từ trang web Valve khi có chương trình khuyến mãi - 03 / Doanh thu **Thu nhập từ bán hàng lần đầu** Cộng với các khoản phí trên doanh thu thực tế từ thị trường **5% + 10%Steam + Phí CS2 đối với các giao dịch trên Thị trường Cộng đồng** Kết luận kinh tế từ cuộc điều tra: thị trường bán lại sôi động có thể thúc đẩy chi tiêu cho các mặt hàng mới. Cơ chế “15%” quen thuộc kết hợp các mức phí thị trường, tuân theo mức tối thiểu và quy tắc làm tròn; đây không phải là một khoản thuế áp dụng cho mọi giao dịch thương mại quốc tế. [Bảng phí của Chợ Cộng đồng Valve ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). Trên 25 ngày 2026 tháng 2 [Tổng chưởng lý bang New York đã nộp đơn khởi kiện](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [đã lưu trữ 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) với cáo buộc rằng các hộp chiến lợi phẩm trả phí có liên quan đến việc bán lại bằng tiền mặt bên ngoài và tác hại từ cờ bạc — chính mối liên hệ này đã được hồ sơ này ghi nhận từ góc độ cơ sở hạ tầng kỹ thuật. Khiếu nại đó chỉ là một cáo buộc, không phải là kết luận; nó được trích dẫn ở đây vì một cơ quan thực thi pháp luật của tiểu bang đã đặt ra cho Valve một câu hỏi liên quan đến câu hỏi mà tài liệu này đặt ra: hồ sơ thực thi pháp luật nào phù hợp với những tuyên bố công khai đó? - 01 / Mục **Nạp tiền bằng tiền điện tử** Hồ sơ dịch vụ bên ngoài và ví - 02 / Chuyển đổi **Cân bằng → giao diện** Các mặt hàng được giao thông qua các giao dịch trên Steam - 03 / Thoát **Bán tiền pháp định bên ngoài** Người bán, người mua và đơn vị thanh toán **KYC?Xác định đối tượng điều khiển tại mỗi lần chuyển giao** Đây là hướng cần điều tra, chứ không phải dịch vụ chuyển đổi tiền mặt “Steam” API do chính nền tảng cung cấp. Cần ghi chép lại các thông tin về xác minh danh tính, việc lưu giữ tài sản, mã giao dịch và người nhận tiền tại mỗi nhà cung cấp dịch vụ bên ngoài trước khi khẳng định rằng việc rút tiền mặt đó không tuân thủ quy trình xác minh danh tính (KYC). Hoa Kỳ / Đạo luật Bảo mật Ngân hàng ### Hãy phân loại hoạt động trước, sau đó mới đến nghĩa vụ. FinCEN đánh giá hoạt động chuyển tiền dựa trên các hoạt động cụ thể của doanh nghiệp. Việc chấp nhận và chuyển đổi tiền ảo có thể chuyển đổi được có thể dẫn đến các nghĩa vụ liên quan đến dịch vụ tiền tệ, tùy thuộc vào các định nghĩa và trường hợp ngoại lệ hiện hành. Ví “Steam” của Valve chấp nhận tiền và chuyển đổi chúng thành các vật phẩm trong trò chơi; sau đó, những vật phẩm này được thanh lý thông qua các nhà điều hành bên thứ ba để đổi lấy tiền thật. Vật phẩm và quá trình chuyển nhượng diễn ra trên nền tảng của Valve; việc rút tiền mặt thì không, và việc liệu bất kỳ phần nào trong chu trình đó có đáp ứng các định nghĩa về chuyển tiền hay không là một vấn đề phân loại thuộc thẩm quyền của FinCEN, không phải là kết luận được đưa ra tại đây. [FinCEN FIN-2019-G001, các điều 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [đã lưu trữ 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) Liên minh Châu Âu / rửa tiền ### Theo dõi nguồn thu, kiến thức và sự hỗ trợ. Chỉ thị (EU) 2018/1673 quy định về hành vi rửa tiền có chủ ý và việc tham gia liên quan đến tiền thu được từ hoạt động tội phạm. Vấn đề cần làm rõ trong quá trình điều tra là Công ty Valve đã biết những gì về các nhà khai thác sử dụng cơ sở hạ tầng giao dịch và OpenID của mình sau ngày 13 tháng 7 năm 2016, – thời điểm công ty này công khai mô tả việc sử dụng đó – và công ty đã có những biện pháp gì đối với họ. Công ty Valve chưa công bố bất kỳ hồ sơ xử lý vi phạm nào theo từng nhà khai thác; chính hồ sơ đó, chứ không phải tài liệu này, mới có thể trả lời câu hỏi trên. [Khung pháp lý về luật hình sự của Liên minh châu Âu ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673) **Thuật ngữ trong AMLD6:** Chỉ thị về luật hình sự nêu trên khác với Chỉ thị (EU) 2024/1640,, còn được gọi là AMLD6. Chỉ thị sau này có thời hạn chuyển hóa thành luật chung là ngày 10 tháng 7 năm 2027,, với một số trường hợp ngoại lệ cụ thể. [Bài viết 78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [đã lưu trữ 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) Phần C — Khung pháp lý · Mục 16 · Thông báo, phản hồi, trách nhiệm ## Đạo luật Dịch vụ Kỹ thuật số: ghi nhận kiến thức vào hồ sơ Bối cảnh và các giới hạn về nguồn Hai yếu tố trong thông báo theo Điều 16 thuộc trách nhiệm của người nộp hồ sơ chứ không phải của bộ hồ sơ này: thông tin cá nhân của người nộp hồ sơ và tuyên bố thiện chí xác nhận tính chính xác của thông tin. Tất cả các yêu cầu khác của Điều này — giải thích có căn cứ và vị trí điện tử chính xác — được nêu rõ trong Mục 3 và trong sổ đăng ký lộ trình, kèm theo các phản hồi đã lưu và mã băm, để bất kỳ bên nào cũng có thể nộp hồ sơ. Hai giới hạn nữa đối với chính luật này: việc mất quyền miễn trừ đối với nhà cung cấp dịch vụ lưu trữ không tự nó dẫn đến trách nhiệm pháp lý theo bất kỳ luật nào khác, và mức phạt tối đa (6%) tại Điều 52 (3) là mức trần theo luật định, không phải là mức phạt được xác định cụ thể đối với Valve. Theo Luật DSA, nhà cung cấp dịch vụ lưu trữ chỉ được hưởng sự miễn trừ trách nhiệm cho đến khi họ có thông tin cụ thể mà vẫn không có hành động nào. **Hồ sơ này chính là thông báo đó.** Bài báo nêu tên các máy chủ, ngày tháng, các phản hồi đã được lưu trữ và các giá trị băm. Kể từ khi bài báo được công bố, câu hỏi không còn là liệu Valve có biết hay không — mà là Valve đã làm gì tiếp theo. 01 Tháng 7 năm 2016 / Triển lãm hồ sơ ### Yêu cầu kéo dài mười ngày. Thông báo được tái lập ở trên là điểm khởi đầu lịch sử cho việc so sánh việc thi hành trong cuộc điều tra. 02 17 Tháng 2 năm 2024 / Đơn đăng ký chung ### Khoảng thời gian DSA. Cần phân biệt hành vi trong quá khứ với hành vi trong giai đoạn mà các nghĩa vụ theo Luật DSA có liên quan được áp dụng. 03 Mười năm / ảnh chụp nhanh hồ sơ gốc ### Thời gian thực hiện cần có hồ sơ theo dõi. Thời gian đã trôi qua kể từ ngày 7 tháng 2016 (xem Mục 11) là một chỉ số trong hồ sơ. Đây không phải là mười năm vi phạm DSA đã được xác định. Hãy liên kết từng thông báo với một mục cụ thể, quy định pháp luật áp dụng, bằng chứng gửi thông báo và phản hồi. Bài viết 52(3) / mức trần theo quy định **6 %** ### trong tổng doanh thu hàng năm trên toàn cầu Mức phạt tối đa đối với hành vi vi phạm các nghĩa vụ theo Luật DSA, được tính dựa trên năm tài chính trước đó của nhà cung cấp. Đây là mức trần theo quy định pháp luật, không phải là mức phạt đã được áp dụng đối với Công ty Dịch vụ Kiểm toán và Thuế (Valve). Các bài viết 6, 8 & 16 / tiêu chí pháp lý Đối với các dịch vụ lưu trữ liên quan, việc có kiến thức cụ thể và không hành động kịp thời có thể dẫn đến việc mất quyền miễn trừ dành cho dịch vụ lưu trữ. Một thông báo đủ rõ ràng có thể chứng minh việc biết về nội dung cụ thể đó. DSA không quy định nghĩa vụ giám sát chung; việc mất quyền miễn trừ bản thân nó không đủ để xác lập trách nhiệm pháp lý theo một luật khác. [DSA: Các điều 6, 8, 16, 52, 53, 93 và phần lý do 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [đã lưu trữ 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [Xem lại các khiếu nại đã được lưu giữ ↗](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records)[Tạo dòng thời gian tài khoản →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook)[Phân tích pháp lý và kinh tế toàn diện →](https://phishdestroy.io/steam_dossier/legal_analysis) Phần C — Khung pháp lý · Mục 17 · Danh tính, độ tuổi, quyền truy cập thương mại ## Người chưa thành niên: Việc đăng nhập vào Steam không phải là hình thức xác minh độ tuổi Bối cảnh và các giới hạn về nguồn Không có dữ liệu nào của trẻ vị thành niên xuất hiện ở bất kỳ đâu trong hồ sơ này và cũng không có dữ liệu nào được thu thập: các tác giả không đăng ký, không tải lên hoặc đăng nhập vào bất kỳ nền tảng nào được nêu tên. Bất kỳ ai tham khảo phần này cần giữ bí mật các bằng chứng liên quan đến trẻ em và che giấu các chi tiết nhận dạng khỏi các tài liệu công khai. COPPA được trích dẫn ở đây với tư cách là luật bảo vệ quyền riêng tư của trẻ em, có các điều kiện phạm vi áp dụng riêng — đối tượng, sự biết rõ thực tế, dữ liệu cá nhân được thu thập — chứ không phải là quy định chung về độ tuổi tham gia cờ bạc; đơn khiếu nại tại New York của Viện Bảo vệ Quyền riêng tư Trẻ em (2026) là một cáo buộc từ cơ quan nhà nước, chứ không phải là kết luận chính thức. "Đăng nhập bằng Steam" chứng minh rằng tài khoản đó tồn tại. **Điều đó không chứng minh được gì về tuổi tác cả** — và trên các trang web này, đó là cánh cửa duy nhất ngăn cách giữa một đứa trẻ và một khoản tiền gửi. Hãy đọc nó cùng với [Phần 3.1](https://phishdestroy.io/steam_dossier/vi/#inside-steam-filter): trong ứng dụng khách Steam, cảnh báo mà trình duyệt thường hiển thị sẽ không bao giờ xuất hiện, do đó trẻ em sẽ không bao giờ nhìn thấy cảnh báo đó. Những tính năng mà OpenID của Steam cung cấp **Thông tin tài khoản** Một SteamID đã được xác minh dùng để đăng nhập hoặc liên kết tài khoản. Những điều mà nhà khai thác phải xác định **Điều kiện tham gia** Độ tuổi, phạm vi thẩm quyền và các thủ tục xác minh danh tính cần thiết. Cơ sở kỹ thuật: [Tài liệu về Steamworks OpenID ↗](https://partner.steamgames.com/doc/features/auth#website) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). Việc xác nhận danh tính đã được ghi nhận không phải là chứng nhận cho thấy người dùng được phép tham gia cờ bạc một cách hợp pháp. COPPA / Trẻ em dưới 13 ### Xác định toán tử và dữ liệu. Luật COPPA áp dụng đối với các dịch vụ dành cho trẻ em thuộc phạm vi điều chỉnh và các dịch vụ có thông tin cụ thể về việc thu thập thông tin cá nhân từ trẻ em dưới 13.. Đây là luật bảo vệ quyền riêng tư của trẻ em, không phải là quy định chung về độ tuổi tham gia cờ bạc. Cần xác định rõ đối tượng người dùng, loại dữ liệu cá nhân được thu thập, mức độ nắm rõ thông tin và quy trình xin sự đồng ý của phụ huynh. [FTC: Các yêu cầu của COPPA ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) Các bằng chứng cần được bảo quản ### Ghi lại toàn bộ quá trình từ khi đăng nhập đến khi nạp tiền. Giữ nguyên cơ chế kiểm tra độ tuổi, nội dung thông báo đăng ký, các điều kiện đủ điều kiện, quy trình thanh toán và lịch sử khiếu nại của trang web. Đánh giá từng nhà điều hành một cách riêng biệt. Giữ bí mật mọi bằng chứng liên quan đến trẻ em và che đi các thông tin nhận dạng trong các tài liệu công khai. Một hồ sơ thi hành pháp luật liên quan là [2026 Thông báo về đơn kiện tại New York](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [đã lưu trữ 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), trong đó cáo buộc rằng các hộp quà có trả phí gây hại cho người dùng trẻ tuổi. Đây không phải là kết luận theo COPPA. Phần C — Khung pháp lý · Mục 18 · GDPR Điều 15 request ## Yêu cầu. Phản hồi. So sánh còn thiếu. Anh ấy yêu cầu bốn điều, trong đó có bản ghi nhật ký sẽ tiết lộ danh tính của người đã cài đặt khóa API vào tài khoản của anh ấy. **Ba ngày sau, vé được đóng lại kèm theo một liên kết dẫn đến một trang không chứa bất kỳ thông tin nào trong số đó** — và câu kết thúc bài báo này lại bị chính các luật sư của Valve bác bỏ. Tài khoản này thuộc về ai · Nguồn gốc và giới hạn **Những ảnh chụp màn hình này không phải của PhishDestroy.** Những thông tin này đến từ một người dùng bình thường của Steam — một người tham gia cuộc khảo sát ngắn do dự án này tổ chức, người đã tự mình gửi yêu cầu và cung cấp các ảnh chụp màn hình. Tài khoản là của anh ấy, phiếu yêu cầu là của anh ấy, và các trao đổi diễn ra giữa anh ấy và bộ phận Hỗ trợ của Steam. Dự án này không gửi yêu cầu, không sở hữu tài khoản nào trên nền tảng này và không phải là bên liên quan trong phiếu yêu cầu này. Vào ngày 16 tháng 9 năm 2026, anh đã gửi một yêu cầu truy cập thông tin theo Đạo luật Bảo vệ Quyền riêng tư của California (GDPR/CCPA) 15, trong đó yêu cầu cụ thể về các bản ghi đăng ký khóa API, lịch sử đăng nhập kèm địa chỉ IP, lịch sử ủy quyền thiết bị và lịch sử giao dịch. Vào ngày 17 tháng 9, nhân viên “Logen” đã hướng dẫn anh truy cập trang Dữ liệu Tài khoản tự phục vụ. Vào ngày 18 tháng 9, anh ấy cho biết các danh mục được yêu cầu không có trên trang đó và đề nghị chuyển vụ việc lên Nhóm Bảo mật Dữ liệu hoặc Chuyên viên Bảo vệ Dữ liệu (DPO). Vào ngày 19 tháng 9, nhân viên hỗ trợ "Kal" đã đóng phiếu yêu cầu với cùng lời hướng dẫn. Cả hai ảnh chụp màn hình đều được lưu giữ bên dưới (địa chỉ email của người yêu cầu đã được che đi; mã SHA-256 trong `steam_tos_assets/screenshot-manifest.json`). Anh ấy là người đề nghị phù hợp vì một lý do rất bình thường: **Tài khoản của anh ấy có khóa Web API thuộc loại “Steam” mà anh ấy không tạo ra, được đăng ký dưới tên `localhost`**. **Không rõ nó được tạo ra vào thời điểm nào** — không phải đối với anh ta, và cũng không phải từ bất kỳ thông tin nào mà Valve đã cung cấp cho anh ta, bởi vì bản ghi duy nhất có thể xác định thời điểm đó chính là nhật ký đăng ký khóa “API” — và đây chính xác là danh mục mà hệ thống đã giấu đi. Khóa này không phải là mới: nó đã tồn tại từ trước khi anh ta biết đến nó một khoảng thời gian mà anh ta không thể đo lường được, cũng vì lý do đó. Các chủ tài khoản khác cũng đang gửi yêu cầu tương tự. Bất kỳ phản hồi nào nhận được sẽ được bổ sung vào đây theo các điều kiện tương tự như hai trường hợp này — số phiếu yêu cầu, ngày ghi nhận, mã SHA-256,(thông tin người yêu cầu đã được ẩn danh) — bất kể phản hồi đó chấp thuận hay từ chối các danh mục được đề xuất. Dự án này không đưa ra quan điểm nào về lý do tại sao phiếu yêu cầu đã bị đóng. Trong phiếu yêu cầu đó không nêu rõ lý do nào, và ở đây cũng không suy luận ra lý do nào cả. **Yêu cầu. Phản hồi. So sánh.** THEO DÕI KẾT QUẢ YÊU CẦU**Các danh mục cụ thể** API- hồ sơ khóa, đăng nhập, thiết bị và giao dịch PHẢN HỒI**Tham chiếu dữ liệu tài khoản** Kiểm tra việc trao đổi hỗ trợ BÀI KIỂM TRA**Đã cung cấp những gì?** So sánh từng danh mục được yêu cầu Hãy đọc yêu cầu đã được lưu trữ để xem chủ tài khoản đã yêu cầu những danh mục nào. Phản hồi đã được lưu trữ đề cập đến “Dữ liệu tài khoản”. Các ảnh chụp màn hình hiển thị nội dung và kết quả xử lý yêu cầu. Ông ấy đã yêu cầu bốn danh mục cụ thể. Trang “Dữ liệu tài khoản” mà ông được hướng dẫn truy cập là tính năng xuất dữ liệu tự phục vụ của chính Valve, và dự án này không thể liệt kê nội dung của nó cho tài khoản của người khác — do đó, không có so sánh chi tiết theo từng danh mục nào được công bố tại đây. Điều được ghi nhận là tuyên bố của ông vào ngày 18 tháng 9 rằng các danh mục đó không tồn tại, và việc đóng lại yêu cầu vào ngày 19 tháng 9, trong đó chỉ lặp lại việc chuyển hướng mà không giải quyết các danh mục đó. Màn hình 1/2 — Yêu cầu (16 tháng 9) và câu trả lời đầu tiên, nhân viên hỗ trợ “Logen” (17 tháng 9) Image: [GDPR Vé HT-2YBP-F7JP-D4VB — Yêu cầu và phản hồi ban đầu](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) Nguồn: help.steampowered.com, phiếu yêu cầu HT-2YBP-F7JP-D4VB · được ghi lại vào ngày 16–17 tháng 9 năm 2026 · địa chỉ email của người yêu cầu đã được ẩn 2026-09-21 · Tệp: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)). Màn hình 2/2 — Yêu cầu chuyển cấp (18 tháng 9) và việc đóng yêu cầu, nhân viên hỗ trợ “Kal” (19 tháng 9) Image: [GDPR Phiếu HT-2YBP-F7JP-D4VB — Yêu cầu chuyển lên cấp trên và đóng phiếu](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) Nguồn: help.steampowered.com, mã vé HT-2YBP-F7JP-D4VB · được ghi lại vào ngày 18–19 tháng 9 năm 2026 · Tệp: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)). Phản hồi cuối cùng, 19 tháng 9 (trích nguyên văn): "Các dữ liệu mà Steam lưu trữ hiện đã có sẵn trên trang Dữ liệu tài khoản của bạn. Do bộ phận Hỗ trợ Steam không thể cung cấp thêm thông tin nào khác, **Yêu cầu này sẽ bị đóng.**" Không cung cấp dữ liệu · không nêu rõ cơ sở pháp lý cho việc từ chối · không hiển thị kết quả khi chuyển lên cấp trên **Câu đó là sai, và chính các luật sư của Valve đã chứng minh điều đó.** Thư của luật sư ngày 1 tháng 10 năm 2025,, đoạn 1.9, mô tả mối tương quan ở cấp độ thiết bị liên kết một thiết bị với hàng chục tài khoản ([Phụ lục A](https://phishdestroy.io/steam_dossier/vi/#official-memorandum)). Bản trả lời đó kèm theo 830 trang tài liệu lưu trữ ([Phụ lục B](https://phishdestroy.io/steam_dossier/vi/#academic-response)). Không có thông tin nào trong số đó xuất hiện trên trang Dữ liệu tài khoản. Tại sao tài khoản này lại yêu cầu tệp nhật ký khóa “API”? Anh ấy không chọn bốn danh mục đó một cách ngẫu nhiên. Những `localhost` mã khóa trên tài khoản của anh ấy là **dấu hiệu của một đoạn mã, chứ không phải của một người đang nhập tên miền thực vào trang dành cho nhà phát triển** ([Phần 5](https://phishdestroy.io/steam_dossier/vi/#vulnerability-profile), [Phần 6](https://phishdestroy.io/steam_dossier/vi/#hijack-simulation)). Tài liệu duy nhất cho biết ai là người tạo ra nó và từ đâu chính là nhật ký đăng ký khóa “API”. Đó là điều đầu tiên anh ấy yêu cầu. Và đó cũng chính là thông tin mà cơ quan đóng cửa đã giấu đi. Nguồn: chủ tài khoản, trong quá trình khảo sát của dự án này. Các ảnh chụp màn hình vé ở trên đã được mã hóa băm; trang chứa khóa không được công bố. Đánh giá · PhishDestroy Việc đóng một phiếu yêu cầu hỗ trợ trong khi câu hỏi vẫn chưa được giải đáp không phải là một sự cố ngẫu nhiên ở đây. Đó là kết quả bình thường. Chúng tôi luôn [16,319 hồ sơ khiếu nại và hỗ trợ được lưu giữ](https://phishdestroy.io/steam_dossier/steam_evidence_archive) và [354 các giao dịch hỗ trợ đã loại trừ trùng lặp](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records) được trích dẫn từ các nguồn đó. Vé này là một ví dụ cụ thể, được ghi lại đầy đủ về hình thức mà chúng thể hiện. Yêu cầu hỗ trợ — Đã lưu giữ HT-2YBP-F7JP-D4VB Loại yêu cầu GDPR Bài viết 15 DSAR Tình trạng vé Đà ĐÓNG CỬA 19 THÁNG 9 NĂM 2026 — KHÔNG CÓ DỮ LIỆU ĐƯỢC CUNG CẤP Các đại lý trên sàn giao dịch "Logen" (17 tháng 9), "Kal" (19 tháng 9) Đã nộp 16 2026 tháng 9 Dữ liệu được yêu cầu Ai đã đăng ký khóa Web API liên kết với tài khoản này, và từ địa chỉ IP / thiết bị / dấu thời gian nào? Căn cứ pháp lý được viện dẫn GDPR Điều 15 — quyền truy cập dữ liệu cá nhân **Khung pháp lý:** Điều 12 (3) quy định cơ quan kiểm soát có thời hạn một tháng kể từ ngày nhận được (có thể gia hạn nếu có lý do chính đáng). Thời hạn này chưa hết hiệu lực tại thời điểm xuất bản, và hồ sơ này không khẳng định có vi phạm thời hạn. Phản đối này liên quan đến nội dung: văn bản trả lời cuối cùng có liên kết đến một trang tự phục vụ nhưng không cho thấy bốn loại dữ liệu được nêu tên đã được cung cấp, và nếu cơ quan kiểm soát từ chối thực hiện, Điều 12(4) yêu cầu cơ quan này phải nêu rõ lý do và các kênh khiếu nại. Cả hai điều này đều không xuất hiện trong văn bản trả lời cuối cùng. Tại sao dữ liệu cụ thể này lại quan trọng? Nhật ký sự kiện khóa Web API là bản ghi cho biết liệu có bên thứ ba nào đã đăng ký khóa bằng cách sử dụng cookie phiên bị đánh cắp hay không — cơ chế được mô tả trong các đơn khiếu nại về việc đánh cắp tài sản được lưu giữ trong kho lưu trữ của hồ sơ này. Việc tiết lộ danh tính người đã đăng ký khóa API, từ địa chỉ IP nào và vào thời điểm nào sẽ: - Cho phép nạn nhân so sánh địa chỉ IP tạo ra liên kết API với lịch sử đăng nhập của chính họ - Tiết lộ các địa chỉ IP của trung tâm dữ liệu có liên quan đến cơ sở hạ tầng bot lừa đảo / cờ bạc đã được xác định - Cung cấp bằng chứng có thể được sử dụng trong các thủ tục tố tụng dân sự hoặc hình sự đối với người thực hiện hành vi - Hiển thị liệu chủ tài khoản có được thông báo khi khóa được tạo hay không **Theo hồ sơ ghi nhận:** Valve lưu giữ các bản ghi ở cấp độ thiết bị và bản ghi liên quan đến tài khoản — thư của luật sư đại diện cho họ ngày 1 tháng 10 năm 2025 đã mô tả các bản ghi này (xem Phụ lục A, Bản ghi nhớ về bằng chứng — Nguồn 1). Trong phiếu yêu cầu HT-2YBP-F7JP-D4VB, chủ thể dữ liệu đã yêu cầu cùng loại hồ sơ này và phiếu yêu cầu đã được đóng lại với việc chuyển hướng đến một trang tự phục vụ mà theo báo cáo của chủ thể dữ liệu thì không chứa các hồ sơ đó. Việc từ chối đó có hợp pháp hay không là vấn đề thuộc thẩm quyền của cơ quan giám sát; hậu quả là người mà dữ liệu liên quan đến không nhận được thông tin đó. Cuộc trao đổi — bốn tin nhắn, ba ngày Hai nhân viên hỗ trợ của Steam đã trả lời bằng tên riêng được hiển thị trên phiếu yêu cầu: “Logen” trong phiếu ngày 17 tháng 9 và “Kal” trong phiếu ngày 19 tháng 9. Cả hai đều hướng dẫn người gửi yêu cầu truy cập trang Dữ liệu Tài khoản. Không có thông tin nào trên phiếu yêu cầu cho thấy liệu yêu cầu này có được chuyển đến Nhóm Bảo mật hoặc Cán bộ Bảo vệ Dữ liệu của Valve hay không, và hồ sơ này cũng không nêu rõ danh tính của các nhân viên hỗ trợ, vai trò của họ, cũng như cách thức phiếu yêu cầu được chuyển tiếp. 16 SEP Điều 15: Đơn yêu cầu đã được nộp với bốn danh mục dữ liệu được nêu tên 17–18 SEP Tham chiếu đến dữ liệu tài khoản; người yêu cầu đề nghị chuyển lên DPO 19 SEP Vé đã được đóng với cùng một mã giới thiệu; không có dữ liệu, không nêu rõ cơ sở Điều 15 GDPR quy định rõ ràng những quyền gì mà đối tượng được hưởng Điều15 (1) (a) Mục đích xử lý — lý do tại sao Valve lưu trữ dữ liệu Điều15 (1)(b) Các loại dữ liệu — những gì được lưu trữ tại Valve Điều15 (1) (c) Người nhận hoặc các nhóm người nhận — **người đã nhận dữ liệu (e.g, người nắm giữ khóa API)** Điều15 (1) (d) Thời hạn lưu giữ hoặc các tiêu chí để xác định thời hạn đó Bài viết “15” (3) Một bản sao của dữ liệu cá nhân đang được xử lý — i.e., chính bản ghi nhật ký phím (API) BÀI VIẾT:12 (3) Yêu cầu phản hồi trong vòng **một tháng** kể từ ngày nhận được; việc gia hạn phải được thông báo trong tháng đó. Thời hạn này chưa hết hạn tại thời điểm xuất bản. **Điều 12 (4):** Nếu cơ quan quản lý không có biện pháp xử lý, cơ quan này phải nêu rõ lý do và hướng dẫn người khiếu nại về các kênh khiếu nại. Quy trình khiếu nại về quy định — dành cho mọi người dùng Bất kỳ người dùng nào đã gửi yêu cầu theo Điều 15 GDPR tới Valve mà không nhận được phản hồi tuân thủ (hoặc nhận được mẫu thư từ chối không kèm thông tin) đều có thể nộp đơn khiếu nại lên cơ quan giám sát tại quốc gia thành viên EU/EEA của mình. Đơn vị hoạt động tại EU của Valve là Công ty TNHH Valve tại Hamburg, do đó cơ quan giám sát chủ chốt đối với các khiếu nại xuyên biên giới là **Cơ quan Bảo vệ Dữ liệu và Tự do Thông tin của Hamburg (HmbBfDI)**. (Theo Điều Valve, đại diện của 27 cũng có trụ sở tại Hamburg; địa chỉ của đại diện không tự nó quyết định cơ quan có thẩm quyền.) Khiếu nại cũng có thể được nộp lên cơ quan có thẩm quyền của quốc gia thành viên nơi người khiếu nại cư trú theo Điều 77. [Mẫu đơn khiếu nại HmbBfDI ↗](https://datenschutz.hamburg.de/beschwerde) [GDPR văn bản (Điều 12, 15, 77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [đã lưu trữ 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Hướng dẫn của EDPB ↗](https://edpb.europa.eu) Mã tham chiếu vé cho mọi khiếu nại: **HT-2YBP-F7JP-D4VB** — được lưu giữ trong hồ sơ này như một trường hợp đã được ghi nhận. Một trường hợp đã được ghi nhận ### Các hồ sơ đó vẫn còn tồn tại; nhưng chủ thể dữ liệu chưa nhận được chúng. Luật sư của Valve đã mô tả các hồ sơ tương quan ở cấp độ thiết bị trong một lá thư ngày 1 tháng 10 2025. Vào ngày 19 tháng 9 2026, một yêu cầu theo Điều 15 đối với cùng loại hồ sơ này đã bị đóng lại kèm theo lời hướng dẫn truy cập trang tự phục vụ mà người yêu cầu cho biết không chứa các thông tin đó, mà không nêu rõ cơ sở pháp lý. Phiếu yêu cầu HT-2YBP-F7JP-D4VB là một trường hợp được ghi nhận; liệu điều này có phản ánh một thực tiễn phổ biến hơn hay không là câu hỏi dành cho cơ quan giám sát, cơ quan này có thể yêu cầu Valve cung cấp hồ sơ xử lý vụ việc. GDPR Các bài viết 12, 15, 77 / Cơ quan giám sát Có thể nộp đơn khiếu nại theo các Điều 12 và 15 trực tiếp tới cơ quan giám sát có thẩm quyền mà không phải chịu chi phí (Điều 77). Cơ quan này có thể áp dụng các biện pháp khắc phục, bao gồm yêu cầu tuân thủ yêu cầu truy cập, và phạt tiền theo Điều 83(5)(b) đối với các vi phạm quyền của chủ thể dữ liệu. Việc lưu giữ mã tham chiếu vé gốc và bất kỳ phản hồi nào từ Valve (hoặc việc không nhận được phản hồi) sẽ củng cố tính thuyết phục của đơn khiếu nại. [Xem mẫu DSAR →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Phần C — Khung pháp lý · Mục 19 · Luật hợp đồng ## Thỏa thuận đăng ký trái với kiến trúc riêng của nền tảng Bối cảnh và các giới hạn về nguồn Các tác giả không phải là luật sư và những nội dung này không phải là tư vấn pháp lý. SSA được trích dẫn từ bản sửa đổi của 10 tháng 9 năm 2026; các bản sửa đổi khác có thể có nội dung khác nhau, và cách đánh số điều khoản đã thay đổi qua các bản sửa đổi — hãy đối chiếu điều khoản với phiên bản áp dụng cho hành vi đang được đề cập. Các bài viết 25 và 32 nêu rõ những yêu cầu của quy định, chứ không phải là cơ quan giám sát đã phát hiện vi phạm. Các số liệu trong bài viết 1 nêu rõ các giới hạn phạm vi được quy định tại Mục 13. Ba trong số các quy định cốt lõi của SSA có sự mâu thuẫn với cách thức xây dựng nền tảng này: lệnh cấm sử dụng cho mục đích thương mại kết hợp với mức trần giá trên Thị trường, khiến các giao dịch có giá trị cao bị đẩy ra khỏi nền tảng; điều khoản về trách nhiệm của người dùng đối với các khóa xác thực hai yếu tố (API) mâu thuẫn với điểm cuối khóa (key endpoint) vốn trước khi có quy định về xác thực hai yếu tố (2023,) không yêu cầu yếu tố xác thực thứ hai; và ngôn ngữ quy định về việc thi hành mâu thuẫn với hồ sơ công khai cho thấy không có việc thi hành đối với từng nhà điều hành. Việc những mâu thuẫn này có ảnh hưởng đến khả năng thi hành hay không là vấn đề thuộc thẩm quyền của tòa án; phần này trình bày các sự kiện mà tòa án sẽ xem xét. Thuyết "1" / Kiến trúc vốn hóa thị trường ### Giới hạn giá thị trường và quy định cấm sử dụng vào mục đích thương mại Chợ cộng đồng Steam có mức giá niêm yết tối đa khoảng $1,800.. Theo một bản chụp màn hình đã lỗi thời (23 Sep 2026), các danh mục mặt hàng CS2 trên 248 có mức giá được niêm yết độc lập cao hơn mức trần đó tại hai hoặc nhiều sàn giao dịch; những mặt hàng như vậy **không thể được bán với mức giá đó trên nền tảng riêng của Valve**. Các chủ sở hữu muốn áp dụng mức giá đó sẽ sử dụng các nền tảng giao dịch của bên thứ ba, hoạt động trên các tài khoản Steam và Steam API — lưu ý rằng Cơ quan An sinh Xã hội (SSA) phân loại các nền tảng này là thương mại trừ khi được cho phép rõ ràng. Các mặt hàng vượt quá mức trần của Thị trường → các thị trường bên thứ ba bù đắp phần chênh lệch → các thị trường này sử dụng tài khoản Steam và Steam API → Cơ quan An sinh Xã hội (SSA) cấm sử dụng thương mại mà không có sự cho phép → chưa có danh sách các trường hợp được phép nào được công bố. Phí tổng hợp của Thị trường Cộng đồng (khoảng 15%) chỉ áp dụng cho các giao dịch được hoàn tất bên trong Thị trường, không áp dụng cho các giao dịch bên ngoài này. Tham số 2 / Kiến trúc bảo mật khóa API ### Lỗ hổng bảo mật liên quan đến khóa (API) là một vấn đề về thiết kế nền tảng chứ không phải do sự bất cẩn của người dùng Trước đây, điểm cuối tạo khóa API của 2023, Steam đã chấp nhận yêu cầu POST kèm theo một sessionid bị đánh cắp và tạo ra thông tin đăng nhập có đặc quyền cao **không có xác nhận qua email, xác thực hai yếu tố hoặc xác thực qua thiết bị**. Các khiếu nại về việc chiếm quyền điều khiển API được thu thập trong cuộc điều tra này đều tuân theo một mô hình nhất định: tập lệnh của kẻ tấn công, cookie phiên bị đánh cắp, tạo khóa ẩn, chặn giao dịch (nội dung yêu cầu được trình bày tại Mục 8). GDPR Điều 25 (bảo vệ dữ liệu ngay từ thiết kế) và Điều 32 (an ninh trong quá trình xử lý) yêu cầu phải áp dụng các biện pháp kỹ thuật phù hợp với mức độ rủi ro. Việc cấp một chứng chỉ có khả năng bị chặn trong quá trình giao dịch mà không có yếu tố xác thực thứ hai hoặc thông báo cho chủ sở hữu là một vấn đề thiết kế thuộc trách nhiệm của người kiểm soát. Việc liệu điều khoản của SSA quy định trách nhiệm cho người dùng có thể được viện dẫn trong bối cảnh đó hay không là vấn đề thuộc thẩm quyền của tòa án và cơ quan giám sát. Tham số 3 / Khả năng hiển thị theo thời gian thực ### Valve nhận tên máy chủ xác thực mỗi khi đăng nhập Tên máy chủ xác thực được gửi đến điểm cuối OpenID của Valve dưới dạng văn bản thuần túy trong `openid.return_to` và `openid.realm` (Cấu trúc yêu cầu được trình bày tại Mục 3). Việc trích xuất thông tin này là một thao tác tiêu chuẩn. Theo dữ liệu tại 2026-09-22, trong các cặp 26, miền chính nằm trong Bộ lọc liên kết (Link Filter), trong khi máy chủ mang thông tin đăng nhập Steam thì không. Valve chưa công bố bất kỳ bản ghi thực thi nào theo từng nhà mạng, do đó không thể xác định được từ dữ liệu công khai liệu có bất kỳ biện pháp nào khác ngoài Bộ lọc liên kết (Link Filter) đã được áp dụng cho các máy chủ này hay không. Ai sẽ chịu chi phí này? ### Mô hình trong các đơn khiếu nại đã được lưu trữ Trong các khiếu nại được xem xét, phản hồi của Bộ phận Hỗ trợ Steam đối với cáo buộc chiếm đoạt khóa APIluôn tuân theo một khuôn mẫu: từ chối khôi phục, nêu rõ trách nhiệm của người dùng đối với tài khoản và khóa API, sau đó đóng phiếu yêu cầu. Hồ sơ này không đưa ra ước tính về số lượng tài khoản bị ảnh hưởng hay giá trị bị mất; cũng không tìm thấy nguồn nào cung cấp con số này. Vấn đề không phải là liệu các người dùng cá nhân có mắc lỗi hay không. Vấn đề là ai phải chịu trách nhiệm về một kiến trúc mà, cho đến khi 2023, cho phép một yêu cầu POST sử dụng cookie bị đánh cắp để tạo ra thông tin đăng nhập giao dịch có quyền truy cập cao mà không có bất kỳ thông báo nào và không yêu cầu xác thực hai yếu tố. SSA với tư cách là một văn bản so với SSA với tư cách là một hợp đồng ### Một tòa án xem xét hồ sơ này sẽ không diễn giải Đạo luật An sinh Xã hội (SSA) một cách tách biệt. Họ sẽ xem xét tài liệu này cùng với lá thư ngày 10 tháng 2025 của luật sư, trong đó mô tả mối tương quan ở cấp độ thiết bị, các ngày đăng ký máy chủ xác thực, các dấu thời gian đăng ký theo lô, nội dung yêu cầu khóa API, cũng như khoảng thời gian mười năm giữa các thông báo tháng 7 2016 và các nền tảng vẫn đang hoạt động vào tháng 9 2026.. Đó chính là hồ sơ mà Valve sẽ phải giải quyết. SSA so với hồ sơ / những điểm chính - "Không được sử dụng cho mục đích thương mại" — Giới hạn của Thị trường khiến các giao dịch có giá trị cao phải chuyển sang các thị trường thương mại của bên thứ ba - "Người dùng phải chịu trách nhiệm về các khóa API" — không có xác thực hai yếu tố trên điểm cuối khóa trước khi truy cập 2023 - "Chúng tôi xử lý nghiêm các trường hợp vi phạm" — không có hồ sơ xử lý vi phạm theo từng nhà khai thác nào được công bố kể từ tháng 7 năm 2016 - "Bạn đã đồng ý với các điều khoản" — trong mô hình chiếm quyền điều khiển, việc chấp nhận được thực hiện bởi một tập lệnh, chứ không phải chủ tài khoản Kết luận · Những gì hồ sơ đã chứng minh và những gì chúng tôi yêu cầu ## Các kết quả. Các tài liệu mà chúng tôi yêu cầu. Bối cảnh và các giới hạn về nguồn Mỗi phát hiện dưới đây đều liên quan đến một hồ sơ công khai có ghi rõ ngày tháng trong các phần trên. Các yêu cầu này được gửi đến các cơ quan có thẩm quyền, những cơ quan có thể buộc phải cung cấp thứ duy nhất mà cuộc điều tra này không thể tiếp cận được: chính các hồ sơ về việc thi hành, truy cập và xử lý dữ liệu của Valve. Mỗi yêu cầu đều dựa trên một kết luận đã được ghi ngày tháng. Các cơ quan chức năng có thể yêu cầu cung cấp các tài liệu mà cuộc điều tra dựa trên nguồn công khai này không thể buộc phải cung cấp. Những gì hồ sơ công khai đã xác nhận - 44 Các nền tảng trực tuyến xác thực thông qua một tên miền riêng biệt có thể đăng ký — 27 với tệp bằng chứng được công bố theo từng tuyến đường, 17 được thu thập thủ công và liệt kê riêng biệt. Tính đến thời điểm 2026-09-22,, các cặp 26 đã bị chặn tên miền chính trong Bộ lọc liên kết Steam, trong khi máy chủ chứa thông tin đăng nhập của chúng thì không — csgogem.com bị chặn, `api.csgem.com` đã đăng ký từ tháng 3 năm 2014. Steam nhận được tên máy chủ đó trong `openid.realm` và `openid.return_to` mỗi khi đăng nhập. [Phần 3](https://phishdestroy.io/steam_dossier/vi/#proxy-bypass-explainer) - Vào ngày 13 tháng 7 năm 2016 Valve, cơ quan này đã công khai nêu tên cơ chế này và cấm áp dụng nó; đồng thời, các thông báo của luật sư đại diện cho cơ quan này tại 20 tháng 7 năm 2016 đã đặt ra thời hạn mười ngày. Trong mười năm kể từ thời hạn đó, chưa có hồ sơ thi hành nào đối với từng nhà khai thác được công bố. [Phần 11](https://phishdestroy.io/steam_dossier/vi/#case-study-section) - Điểm cuối chính của Web API thuộc Dự án Nghiên cứu Bảo mật (Steam) đã cấp một thông tin xác thực có quyền truy cập cao và có thể thực hiện giao dịch chỉ dựa trên một cookie phiên, mà không có yếu tố xác thực thứ hai trước khi truy cập 2023. [Phần 5](https://phishdestroy.io/steam_dossier/vi/#vulnerability-profile) - Một yêu cầu trên GDPR 15 (mã phiếu HT-2YBP-F7JP-D4VB) đã được đóng sau ba ngày kèm theo một liên kết đến dịch vụ tự phục vụ và không có dữ liệu nào. [Phần 18](https://phishdestroy.io/steam_dossier/vi/#gdpr-live-case) Điều chúng tôi yêu cầu mỗi cơ quan chức năng Ủy ban Cờ bạc Tiểu bang Washington Mở lại tệp “2016”. Yêu cầu cung cấp danh sách chi tiết theo từng nhà điều hành về các tài khoản, bot và máy chủ trả về nào đã bị vô hiệu hóa sau khi nhận được thông báo 10 ngày, cũng như những nhà điều hành nào sau đó đã lấy lại quyền truy cập. [Phần 2](https://phishdestroy.io/steam_dossier/vi/#wsgc-public-address) HmbBfDI (Hamburg; Công ty TNHH Valve) Kiểm tra xem phản hồi tại Điều 15 có đáp ứng nghĩa vụ của cơ quan quản lý hay không, và yêu cầu công bố các hồ sơ đăng ký và truy cập khóa APIcó liên quan đến việc xác định danh tính của chủ thể thực hiện hành vi. [Phần 18](https://phishdestroy.io/steam_dossier/vi/#gdpr-live-case) Các điều phối viên dịch vụ kỹ thuật số của DSA Ghi chú về định tuyến máy chủ xác thực (auth-host) vào hồ sơ dưới dạng thông báo, sau đó đánh giá xem phản hồi từ Valve có đáp ứng các nghĩa vụ của mình hay không sau khi thông tin đã được ghi chép lại. [Phần 16](https://phishdestroy.io/steam_dossier/vi/#dsa-accountability) Bất kỳ chủ thể dữ liệu nào Hãy sử dụng mẫu bài viết “15” để yêu cầu các bản ghi tương tự cho tài khoản của bạn; bản ghi được lưu giữ có thể giúp xác định ai là người đã khởi tạo thao tác đặt lại hoặc tạo khóa. [Phụ lục G](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Yêu cầu duy nhất đằng sau cả bốn trường hợp này đều giống nhau: công bố các hồ sơ về việc thi hành, truy cập và xử lý dữ liệu mà chỉ Valve mới nắm giữ. Một cảnh báo trên trang chủ, một thư thông báo 10 ngày và một trang tự phục vụ đều là những hành động thể hiện quyền kiểm soát. Việc quyền kiểm soát đó có được thực thi hay không là câu hỏi mà hồ sơ công khai không thể trả lời, nhưng cơ quan quản lý thì có thể. Phụ lục — các tài liệu chứng cứ chính và tài liệu làm việc Phụ lục A — Thư từ của luật sư ## Bản tóm tắt bằng chứng — tài liệu do Nguồn cung cấp 1 Cơ sở bằng chứng và tình trạng nguồn của các thư từ trao đổi giữa các luật sư được trích dẫn tại các mục 1,, 18 và 19. **Cơ sở bằng chứng và tình trạng nguồn — các tài liệu do Nguồn cung cấp 1** Người dùng mà lệnh cấm vĩnh viễn của họ đã dẫn đến cuộc kiểm tra này không phải là đối tượng của cuộc kiểm tra. Việc lệnh cấm đó có hợp lý hay không không được xem xét ở đây, và hồ sơ này không bảo vệ cũng không phản bác điều đó. Tài khoản đó không phải là vấn đề chính. Điều quan trọng là nội dung: **Nguồn 1** — chủ tài khoản bị khóa, người đã nhận được thư từ dưới đây từ luật sư của Valve với tư cách là chủ thể dữ liệu trong yêu cầu theo Điều GDPR của chính mình — đã chuyển tiếp thư từ đó cùng các hồ sơ vụ việc kèm theo, kèm theo quyền cho phép công khai xem xét các tài liệu này. Tên của người này được giấu kín; các tài liệu được mô tả theo ngày tháng, siêu dữ liệu của tác giả và mã băm. Thư từ đó được gửi để trả lời yêu cầu theo Đạo luật Quyền Truy cập Thông tin (GDPR) / Yêu cầu Tiết lộ Thông tin An ninh (DSAR). Trong quá trình đó, luật sư của Công ty Phần mềm Máy tính (Valve) đã đưa ra một tuyên bố có chữ ký, trong đó mô tả một tính năng mà Bộ phận Hỗ trợ Dịch vụ Mạng (Steam Support) trước đó đã thông báo với người dùng là không thể thực hiện được về mặt kỹ thuật. Đoạn trích dẫn dưới đây chính là tuyên bố đó. Phân tích sâu hơn của các tác giả về đoạn trích nhật ký đã thu được là **không được đưa vào hồ sơ này** đang chờ kết quả đánh giá độc lập. Không có phần nào khác trong cuộc điều tra này dựa vào kết quả này. Thông tin được ghi nhận trong hồ sơ: dữ liệu đo từ xa liên tục ở cấp độ thiết bị Trong đoạn 1.9 của bức thư được cho là do luật sư của Valve gửi, các luật sư của Valve nêu rõ: *"Theo thông tin từ 2019 và 2023,, tài khoản này chủ yếu được sử dụng từ một thiết bị cũng đã được dùng để đăng nhập vào hàng chục tài khoản Steam bị đánh cắp."* **Sự thật:** Luật sư của Valve tại đây mô tả việc đối chiếu dữ liệu ở cấp độ thiết bị giữa các tài khoản trong khoảng thời gian bốn năm. Steam Bộ phận hỗ trợ đã thông báo với các nạn nhân bị trộm cắp rằng việc theo dõi các mặt hàng bị đánh cắp hoặc liên kết các tài khoản với thiết bị là không thể thực hiện được về mặt kỹ thuật. Steam Quy trình ủy quyền thiết bị của Guard đã được công khai ghi chép, do đó việc tồn tại các bản ghi theo từng thiết bị không phải là điều mới; điều mới là xác nhận bằng văn bản của luật sư rằng các bản ghi đó được lưu giữ và liên kết giữa các tài khoản trong khoảng thời gian nhiều năm. **Tại sao điều này lại quan trọng:** Mối tương quan có thể liên kết một thiết bị với hàng chục tài khoản bị chiếm quyền kiểm soát trong vòng bốn năm thuộc cùng loại hồ sơ mà cơ quan hỗ trợ cho biết họ không thể sử dụng để hỗ trợ các nạn nhân. Các loại hồ sơ đó có khả năng xác định các tài khoản và thiết bị trong chuỗi hành vi trộm cắp và bán lại. Những hồ sơ nào tồn tại, thời gian lưu trữ là bao lâu và trên cơ sở nào chúng bị từ chối cung cấp cho chủ thể dữ liệu là những câu hỏi dành cho cơ quan giám sát. Nguồn: Thư của luật sư đại diện cho Valve ngày 1 tháng 10 năm 2025,, đoạn 1.9, và phụ lục PDF tại trang 830-· được Nguồn 1 nhận được để đáp lại yêu cầu theo Điều GDPR, Mục 15 · Mã SHA-256 của phụ lục được ghi lại tại [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · Nội dung bức thư không được trích dẫn; tên tài khoản và dữ liệu của bên thứ ba đã được loại bỏ. Trạng thái: mở Các tài liệu nguồn có thể truy cập qua kho lưu trữ bằng chứng. Phụ lục B — Tệp PDF đã tạo · Kiểm tra việc che giấu thông tin ## Việc che giấu trong tệp PDF được tạo ra chỉ mang tính hình thức: phần văn bản bị che vẫn có thể trích xuất được Luật sư của Valve đã trả lời yêu cầu tiếp cận thông tin theo Đạo luật Tự do Thông tin (GDPR) bằng cách đính kèm một trang từ trang web 830-, trong đó các phần bị che giấu được tô đè lên văn bản thay vì xóa bỏ chúng. **902,270 các ký tự nằm dưới các thanh màu đen và được trích xuất trực tiếp bằng công cụ trích xuất văn bản** — bao gồm cả các mã định danh của bên thứ ba mà các thanh ngang được thiết kế để che giấu. Tại đây chỉ công bố số liệu tổng hợp; không sao chép bất kỳ nội dung được bảo vệ nào, và bản thân phụ lục cũng không được công bố. 1. Kết quả kiểm tra hình học cho thấy Bài viết “GDPR” trên trang 15, ngày **1 Tháng 10 năm 2025** đi kèm với một phụ lục PDF gồm 830-trang (Aspose.PDF chứa thông tin siêu dữ liệu của nhà xuất bản .NET, được tạo và sửa đổi vào cùng ngày). Các tác giả đã tiến hành kiểm tra hình học ở cấp độ trang: đối với mỗi trang, các hình chữ nhật mờ gần như màu đen được vẽ sau lớp văn bản đã được xác định vị trí và các ký tự có thể trích xuất nằm bên dưới chúng đã được đếm. Được đo trên tệp đã tạo 902,270 Các ký tự vẫn có thể trích xuất được từ dưới các thanh màu đen Được thống kê, không phải ước tính. Đây là số liệu thống kê về các nhân vật được đề cập — không phải số nạn nhân, số trường hợp xác định lại danh tính hay số vụ việc. 830 / 830 Các trang bị ảnh hưởng — mọi trang 986 Hình chữ nhật bao phủ văn bản có thể trích xuất 1,329 Tổng số hình chữ nhật màu đen đục Các thanh màu đen được vẽ chồng lên lớp văn bản; chúng không xóa bỏ lớp văn bản đó. Văn bản nằm dưới các thanh này có thể được trích xuất bằng các công cụ PDF tiêu chuẩn. Chỉ số liệu tổng hợp mới được công bố; nội dung bị che khuất không được sao chép lại tại đây. Thí nghiệm pháp y: Tách lớp ASPOSE.PDF MẪU THIẾT KẾ LỚP PHỦ VECTOR CHO “.NET” (PHỤ LỤC P. 412) Đơn khiếu nại được nộp đối với tài khoản: [Đăng nhập: redacted_user_667] Lý do do người dùng đưa ra: [NỘI DUNG: "Người dùng báo cáo có các mặt hàng trùng lặp trong kho và hành vi giao dịch vi phạm quy định..."] Phần nền trước: Lỗi: Dòng dữ liệu UTF-8 cơ bản vẫn nguyên vẹn Nguồn: Phụ lục PDF kèm theo thư tư vấn của 1 ngày 2025 (830 trang, Aspose.PDF để xem thông tin siêu dữ liệu của nhà sản xuất .NET) · được các tác giả đo lường, phương pháp và số liệu tính theo trang trong [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · Mã SHA-256 của phụ lục được ghi trong cùng một tệp · bản thân phụ lục không được công bố. 2. Tại sao điều này lại quan trọng đối với phản hồi của chủ thể dữ liệu **Luật sư của Valve đã gửi tệp tin này cho chủ thể dữ liệu nhằm đáp ứng yêu cầu cung cấp hồ sơ cá nhân của người đó.** Các vạch che trên đó chỉ mang tính hình thức: văn bản bên dưới chưa bao giờ bị xóa, do đó các thông tin nhận dạng của bên thứ ba mà các vạch che này nhằm che giấu vẫn được gửi đến người nhận cùng với tệp tin. Việc che giấu thông tin mà có thể bị loại bỏ bằng công cụ trích xuất văn bản sẽ không che giấu được gì, đồng thời cũng khiến người nhận không thể xác định được thông tin nào đã bị tiết lộ và thông tin nào chưa. Điều 15 (4) chính là lý do tồn tại của những giới hạn đó: quyền được cung cấp bản sao không được xâm phạm đến các quyền và tự do của người khác. Đó chính là nghĩa vụ mà tác phẩm này đã không tuân thủ. Việc liệu sự việc này có được coi là vi phạm dữ liệu cá nhân theo Điều 4(12) hay không là do cơ quan giám sát quyết định; việc tiết lộ dữ liệu có thể đo lường được trong tệp và có thể tái tạo bởi bất kỳ ai sở hữu cùng các byte đó — mã SHA-256 đã được công bố, nhưng phụ lục thì không. **Những gì nằm dưới các thanh đó không phải là số tài khoản.** Đó là nội dung các báo cáo của người dùng được gửi chống lại người yêu cầu, kèm theo thông tin về tác giả của chúng: các tài khoản đăng nhập Steam — do một tài khoản đăng nhập hiếm khi chỉ được sử dụng trên Steam — nên đã giúp xác định danh tính của người đứng sau chúng — **Theo thống kê của các tác giả, hơn 60% số người dùng được nêu tên trong tài liệu này có thể được xác định danh tính một cách đầy đủ** — kèm theo bản văn bản gốc, chưa được chỉnh sửa của những gì họ đã viết. Nội dung đó bao gồm những lời chúc chết chóc và những lời lăng mạ nhắm vào quốc tịch của người yêu cầu. Một số người được xác định danh tính như vậy là trẻ vị thành niên. **Đơn vị sản xuất đã trao danh sách các phóng viên được nêu tên cho người mà họ đã đưa tin**, đó chính là tác hại cụ thể mà Điều 15 (4) được ban hành nhằm ngăn chặn. **Trình tự các ký tự trong tệp cũng quan trọng không kém nội dung của nó.** Yêu cầu này ban đầu vấp phải yêu cầu cung cấp thêm bằng chứng xác minh danh tính, với lý do địa chỉ email bí danh của người yêu cầu không chứa tên của anh ta; tài khoản này đã bị khóa vĩnh viễn trong thời gian trì hoãn sau đó. Bức thư cuối cùng cung cấp dữ liệu, hơn sáu tuần sau thời hạn quy định tại Điều 12(3), đã đe dọa người nhận sẽ bị truy tố hình sự và giữ lại phần dữ liệu còn lại của chính anh ta cho đến khi anh ta giải thích hoạt động tài khoản của mình với luật sư. Việc tiết lộ này cũng giải đáp hai câu hỏi mà Valve chưa từng trả lời công khai: các hồ sơ được cung cấp cho thấy việc liên kết tài khoản đã diễn ra từ rất lâu trước đây 2019, và dữ liệu theo dõi nội bộ với mức độ chi tiết Valve mà trước đây chưa từng được mô tả. **Phạm vi của phần này:** Phân tích ở đây chỉ giới hạn trong cơ chế biên tập, được đánh giá dựa trên tệp tin đã được tạo ra. Phân tích sâu hơn của các tác giả về các bản ghi đã tạo ra sẽ được giữ lại cho đến khi có kết quả đánh giá độc lập và không được sử dụng làm cơ sở cho bất kỳ phần nào khác trong hồ sơ này. Bằng chứng: Thư của luật sư ngày 1 tháng 10 năm 2025 và phụ lục PDF kèm theo (SHA-256 được lưu trong hồ sơ kiểm toán); [Các phép đo và phương pháp đối với tệp PDF ở cấp độ trang ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). Trình tự của yêu cầu, việc từ chối trang8 và mô tả chi tiết về các bản ghi bị rò rỉ được trình bày đầy đủ trong bản tường trình của PhishDestroy, [“Chú chó của tôi đối đầu với các luật sư hàng đầu về vụ ‘GDPR’”, 17 tháng 8 năm 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [đã lưu trữ 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). Tên tài khoản và dữ liệu của bên thứ ba đã được bỏ qua ở đây; không có thông tin nào nằm trong phạm vi các thanh này được trích dẫn. > **Page 8 of the covering letter refuses part of the request, and states the reason in writing:** Eine genauere Auskunft ist aufgrund des Schutzes der personenbezogenen Daten anderer Nutzer der Steam-Plattform… nicht möglich. — a more detailed answer is not possible, because the personal data of other Steam users must be protected. The 830-page appendix was in the same package. What the bars covered was not account numbers: it was the reports filed against the requester, their authors named, with the raw unredacted messages attached. The account holder had asked Valve, through its counsel, for his own file; what he could extract from it was other people's. Nothing in this appendix turns on who drew the boxes. What it establishes is that the protection Valve invoked as its ground for withholding is the protection this same production failed, in the same envelope, on the same day. Phụ lục C — Tài liệu kèm theo ## Tài liệu chứng cứ liên quan đến hỗ trợ và trao đổi pháp lý Định dạng hồ sơ lưu trữ, cùng với các liên kết đến hai tài liệu minh họa được trình bày đầy đủ ở phần khác trong tập hồ sơ này thay vì được lặp lại tại đây. Mỗi chú thích đều nêu rõ hình ảnh đó là gì và không phải là gì. Nơi các chứng cứ khác được tranh luận Tài liệu đính kèm A: Thông báo ngày 7 tháng 2016 (bản tái tạo) Đã hiển thị Được hiển thị trực tiếp, không phải dưới dạng ảnh chụp màn hình, trong [Phần “11” — Thông báo “2016” tháng 7](https://phishdestroy.io/steam_dossier/vi/#valve-demand-letter). Nội dung được tái hiện dựa trên bản tin do báo chí đăng tải trên trang 21 ngày 2016 tháng 7; đây không phải là bản quét từ bản gốc. Phụ lục B: Vé của GDPR HT-2YBP-F7JP-D4VB Đã đóng 19 tháng 9 năm 2026 Hai ảnh chụp màn hình đã được lưu giữ, các giá trị băm SHA-256 của chúng và bản phân tích đầy đủ có tại [Phần “18” — vụ án “GDPR” đang diễn ra](https://phishdestroy.io/steam_dossier/vi/#gdpr-live-case). Đã nộp đơn vào ngày 16 tháng 9 năm 2026; đơn đã được đóng kèm theo liên kết đến trang Dữ liệu Tài khoản, không có dữ liệu và không nêu rõ cơ sở pháp lý cho việc từ chối. Phụ lục C: Kho lưu trữ bằng chứng (mẫu hồ sơ) Được hiển thị Ví dụ về một bản ghi được lưu trữ từ kho lưu trữ có thể tìm kiếm của các bài đăng công khai trên GitHub, Reddit và các bài đánh giá; mỗi tuyên bố trong kho lưu trữ đều có nguồn trích dẫn riêng và cần được kiểm chứng bằng chứng riêng. Image: [Phụ lục C: Ví dụ về bản ghi lưu trữ đã được lưu lại](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) Phụ lục C · Ví dụ về một bản ghi được lưu trữ trong kho lưu trữ bằng chứng (một vấn đề công khai trên GitHub được lưu giữ trong bản dựng tại 2026-09-17). Chỉ minh họa định dạng bản ghi. · Tệp: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)). Phụ lục D — Thu thập nguồn ## Các tài liệu gốc được lựa chọn Sáu tài liệu từ kho lưu trữ — ba bài đăng trên diễn đàn “GitHub” trong hệ thống theo dõi của Valve và ba bài đăng trên Reddit về các kết quả hỗ trợ đang gây tranh cãi. Mỗi nguồn đều được đính kèm với tuyên bố liên quan, nội dung văn bản đã lưu và vấn đề mà nó đặt ra. 1 / 6 Chọn một bản ghi nguồn GH-01 / GITHUB Open in saved build ### Hardware keys, requested in 2016 ValveSoftware / steam-for-linux · #4521 · 2016-06-27 A user asked Valve to support U2F hardware keys as an alternative second factor. The saved issue carries both Feature Request and reviewed labels, with its state recorded as open. > I request U2F usb dongle support in steam as an alternative. > > [Excerpt from the GitHub issue ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521) Documented record A dated request for an additional account safeguard, published in Valve's own issue tracker and labelled reviewed. Accountability demand Publish the product decision, the response date and the protection delivered after review. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=GitHub&record=484)[Open GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521) [In the dossier: Account safeguards →](https://phishdestroy.io/steam_dossier/vi/#consent-analysis) Archive #484 · build 2026-09-17 GH-02 / GITHUB Open in saved build ### Crash reports without an effective opt-out ValveSoftware / steam-for-linux · #6459 · 2019-08-18 The reporter describes a Steam client from 12 August 2019 on Ubuntu 16. They say disabling the crash-upload destination did not persist after a restart, and include the relevant configuration. > If I disable the `ServerURL`, it gets overwritten after every reboot. > > [Excerpt from the GitHub issue ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archived 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459) Documented record A specific privacy complaint with a client date, operating system and configuration excerpt. The saved issue is open. Accountability demand Identify the investigation, the affected builds and the change that made the opt-out effective. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=GitHub&record=467)[Open GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archived 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459) [In the dossier: Request the underlying records →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Archive #467 · build 2026-09-17 GH-03 / GITHUB Open in saved build ### Auth-ticket abuse reported to Valve ValveSoftware / Source-1-Games · #3857 · 2022-02-26 The author alleges that a server operation retained Steam authentication tickets after players disconnected and used misleading server listings. The post asks Valve to address the behavior. > Making their servers look packed. > > [Excerpt from the GitHub issue ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857) Documented record A public abuse report lodged in Valve's tracker on 26 February 2022. Its saved state is open; the report includes links to screenshots. Accountability demand Produce the investigation result and the mitigation record for the reported authentication-ticket abuse. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=GitHub&record=768)[Open GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857) [In the dossier: Dataset scope →](https://phishdestroy.io/steam_dossier/vi/#evidence-base) Archive #768 · build 2026-09-17 RD-01 / REDDIT Author's account ### 44 disputed Market purchases r/DotA2 · author handle withheld · 2022-07-07 The author reports 44 unauthorized Market purchases on 6 July 2022 and roughly $500+ in losses. They say two-factor authentication was enabled and describe repeated template replies from support. > 2nd ticket in and I have still yet to receive a non robotic copy paste template response from Steam. > > [Excerpt from the Reddit post ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archived 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) Documented record A dated account of disputed purchases, with links to transaction screenshots and a support response. The amounts and events are the author's report. Accountability demand Reconcile the disputed purchases with transaction and session logs. Explain the evidence behind support's decision. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=Reddit&record=4533)[Open Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archived 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [In the dossier: Support and enforcement →](https://phishdestroy.io/steam_dossier/vi/#enforcement-standard) Archive #4,533 · build 2026-09-17 RD-02 / REDDIT Author's account ### A permanent ban and closed appeals r/ohnePixel · author handle withheld · 2024-12-09 The author disputes a permanent ban and says support cited suspected account transfer and community reports. They describe closed tickets and plans to request their personal data. > I explained my situation and asked for more details, but they're sticking to their decision and closing my tickets. > > [Excerpt from the Reddit post ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/) Documented record A preserved appeal account, including the reasons the author says support supplied and links to four images. The post date comes from the selected support export. Accountability demand Identify the evidence supporting the permanent ban and the review available to challenge it. Closing an appeal does not explain the decision. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=Reddit&record=4766)[Open Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/) [In the dossier: Request the underlying records →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Archive #4,766 · build 2026-09-17 RD-03 / REDDIT Author's account ### A recovery reset and a reported $10,000 loss r/legaladvice · author handle withheld · 2025-05-09 The author alleges that support reset credentials and disabled account protections after someone else submitted a recovery ticket. They report a loss of about US$10,000 from an inactive account. > Steam Support reset my password and turned off all my account security. > > [Excerpt from the Reddit post ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/) Documented record A preserved allegation about the recovery process overriding account safeguards. The saved post records what the author says support told them. Accountability demand Identify who authorised the reset, the ownership evidence they accepted and the access log. Account recovery is part of the security system Valve controls. [Read saved record](https://phishdestroy.io/steam_dossier/steam_evidence_archive?source=Reddit&record=4592)[Open Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/) [In the dossier: Request the underlying records →](https://phishdestroy.io/steam_dossier/vi/#dsar-playbook) Archive #4,592 · build 2026-09-17 Sáu bản ghi đã được chọn. Các trạng thái “GitHub” mô tả bản dựng đã được lưu. Các bài đăng trên Reddit lưu giữ thông tin tài khoản của tác giả. [Tải xuống sáu bản ghi ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json) Bản dựng có thể tìm kiếm này chứa **16,319 các bản ghi riêng biệt**: 393 Trustpilot, 5,635 Reddit, 2,395 GitHub, 276 web và 7,620 các bản ghi trên wiki. Nhiều bản ghi có thể liên quan đến cùng một sự kiện. Tệp xuất dữ liệu hàng riêng lẻ từ 40,448-có phạm vi khác. [Tìm kiếm trong toàn bộ kho lưu trữ ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive) · [Tạo tệp manifest ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Phạm vi và số lượng bộ dữ liệu →](https://phishdestroy.io/steam_dossier/vi/#evidence-base) Phụ lục E — Nghiên cứu điển hình ## ArchiSteamFarm và điều khoản tự động hóa Một công cụ “card-farming” mã nguồn mở, trong phần Câu hỏi thường gặp (FAQ) của chính công cụ này cho biết nó đang hoạt động trên hàng triệu tài khoản, trái ngược với điều khoản trong Thỏa thuận người đăng ký (§ 4.C) cấm việc tự động hóa. Các cơ chế — những gì một trang trại phải mua từ Valve trước khi có thể tạo ra bất kỳ thứ gì, lý do tại sao mọi cách rút tiền từ thẻ đều vi phạm giấy phép, hồ sơ thực thi và ai là người điều tiết nền kinh tế thẻ — được trình bày đầy đủ trong [Phụ lục V ↗](https://phishdestroy.io/steam_dossier/card_economy). Thỏa thuận đăng ký của Hiệp hội Truyền thông Độc lập (Steam), Điều 4.C, quy định như sau: "Bạn không được sử dụng bất kỳ hình thức kịch bản, bot, macro hoặc các hệ thống khác không do con người điều khiển ('Tự động hóa') để tương tác với Nội dung và Dịch vụ trên Steam dưới bất kỳ hình thức nào." — [Steam Thỏa thuận người đăng ký § 4.C (phiên bản hiện hành) ↗](https://store.steampowered.com/subscriber_agreement/) [đã lưu trữ 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) **Valve thực thi điều khoản này. Nó làm việc này rất tốt.** Câu hỏi thường gặp về **ArchiSteamFarm (ASF)** — một công cụ mã nguồn mở mà chính tài liệu hướng dẫn của nó mô tả là chạy trên **hơn vài triệu tài khoản Steam** Kể từ lần phát hành đầu tiên trên 11 cách đây nhiều năm — bài viết này trích dẫn ba thông báo hỗ trợ từ Steam về việc vĩnh viễn cấm các tài khoản đã vận hành mạng lưới bot. Valve đã phát hiện ra các mạng lưới này, nêu tên chúng và vô hiệu hóa chúng. Do đó, câu hỏi quan trọng ở đây không phải là liệu Valve có thể phát hiện hoạt động tự động hóa trên quy mô lớn hay không. Trang chính thức của dự án [Câu hỏi thường gặp về ArchiSteamFarm](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) đề cập trực tiếp đến nguy cơ bị cấm: "Điều này cực kỳ khó xảy ra nếu xét đến thực tế là ASF đang được sử dụng trên hơn vài triệu tài khoản Steam kể từ khi phiên bản đầu tiên của nó được phát hành cách đây hơn 11 năm — nhưng vẫn là một khả năng, bất kể xác suất thực tế là bao nhiêu." "Valve đã thừa nhận rõ ràng sự tồn tại của 'Steam idlers', như đã nêu ở đây, nên nếu bạn hỏi tôi, tôi khá chắc rằng nếu họ không chấp nhận điều đó, họ đã có hành động từ lâu rồi, thay vì chỉ ra rằng những hành vi đó có thể gây ra vấn đề liên quan đến VAC." **Từ khóa ở đây là các trang web “Steam” dạng idler, ví dụ như ASF, chứ không phải các trang web idler về trò chơi.**" — Câu hỏi thường gặp về ArchiSteamFarm, JustArchiNET. [Nguồn: Trang wiki về GitHub ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · Đã xác minh nguyên văn 2026-09-22 Câu trả lời trong phần Câu hỏi thường gặp (FAQ) cho câu hỏi “Có ai bị cấm vì điều đó không?” là **Đúng vậy**, và trích dẫn lại nội dung mà bộ phận hỗ trợ của Steam đã gửi cho ba người trong số họ: 1,000+ bot · bị cấm giao dịch *"Có vẻ như tài khoản này đã được sử dụng để quản lý một mạng lưới các tài khoản bot. Việc sử dụng bot vi phạm Thỏa thuận người dùng của Steam."* 170+ bot · bị cấm vĩnh viễn, Chương trình giảm giá mùa đông của2017 *"Tài khoản này đã được sử dụng để thu thập trái phép các thẻ sưu tập trên Steam, cũng như các hoạt động liên quan và không chỉ giới hạn ở các hoạt động thương mại. Tài khoản này đã bị khóa vĩnh viễn và bộ phận Hỗ trợ của Steam không thể cung cấp thêm sự hỗ trợ nào về vấn đề này."* 120+ bot · bị cấm vĩnh viễn *"Tài khoản này cùng với các tài khoản khác đã được sử dụng để tấn công làm quá tải hạ tầng mạng của chúng tôi, đây là hành vi vi phạm Quy tắc ứng xử trực tuyến của Hiệp hội Bóng chày Quốc gia (Steam)."* — Các tin nhắn hỗ trợ từ Steam được trích dẫn trong phần Câu hỏi thường gặp (FAQ) của ArchiSteamFarm, mục “Có ai bị cấm vì lý do đó không?”. [Nguồn ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · Đã xác minh nguyên văn 2026-09-22 **Đặt hai bản ghi cạnh nhau.** Một người dùng cá nhân sử dụng bot khai thác 1,000 đã bị phát hiện, được thông báo rằng “việc sử dụng bot là hành vi vi phạm Thỏa thuận Người dùng của Steam” và bị xóa vĩnh viễn. Các nền tảng thương mại trong hồ sơ này vận hành các tài khoản tự động Steam như hoạt động kinh doanh cốt lõi của họ, với quy mô lớn hơn nhiều, và xác thực thông qua OpenID riêng của Valve mỗi khi đăng nhập — và chưa có bất kỳ hồ sơ xử lý nào theo từng nhà điều hành được công bố đối với bất kỳ nền tảng nào trong số đó. **Điều khoản đó có hiệu lực. Vấn đề là nó nhắm vào ai.** ASF không bị cáo buộc bất cứ điều gì ở đây, và cách hiểu của ASF về quan điểm của Valve là của riêng họ — tác giả bài viết đã nêu rõ rằng “ASF không được Valve ủy quyền”. Công cụ này được sử dụng ở đây như một phương tiện đo lường: nó cho thấy rằng Valve phát hiện các mạng bot, nêu tên chúng bằng văn bản và cấm vĩnh viễn. Valve có thể giải quyết vấn đề chỉ bằng một câu bằng cách công bố các công cụ tự động hóa thương mại nào mà họ cho phép, cùng với hồ sơ chi tiết theo từng nhà cung cấp về các biện pháp đã thực hiện đối với phần còn lại. Tác động của việc “farm thẻ” đối với doanh thu củValve Thẻ sưu tập thu được từ việc “farm” được bán trên Chợ Cộng đồng của Steam, nơi thu một khoản phí tổng cộng khoảng 15% cho mỗi giao dịch hoàn tất trong Chợ; tài khoản phải đã chi tiêu $5.00 USD trên Steam trước khi có thể nhận được bất kỳ thẻ nào; và việc nhận thẻ yêu cầu phải sở hữu trò chơi hoặc thực hiện các giao dịch mua trong trò chơi. Không có con số doanh thu tổng hợp nào được ước tính ở đây — quy mô hoạt động chỉ được nêu theo như phần Câu hỏi thường gặp (FAQ) của ASF. Phần FAQ này cũng ghi nhận Valve để phân biệt *"Những người lười biếng ởSteam"* (cày thẻ) từ *"những người chơi game không làm gì cả"*; xem [Câu hỏi thường gặp về ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). Các cơ chế được trình bày đầy đủ trong [Phụ lục V — Thang đo](https://phishdestroy.io/steam_dossier/card_economy#scale) và [bẫy dành cho mục đích thương mại](https://phishdestroy.io/steam_dossier/card_economy#licence). Chủ đề ArchiSteamFarm — hệ thống canh tác thẻ tự động Tỷ lệ quy định Hàng triệu tài khoản (theo phần Câu hỏi thường gặp của ASF — số lượng tài khoản đang hoạt động chính xác chưa được xác minh) Được đếm, không phải được trích dẫn 10,880,610 Tổng cộng có API bài đăng trong nhóm Steam của chính ASF (5,360,499 không giới hạn, như Steam hiển thị) — con số “hàng triệu” trong phần Câu hỏi thường gặp (FAQ) không phải là một câu chuyện, mà là số lượng thành viên. Các bài đăng tại 88.97% không bị áp dụng bất kỳ hình thức cấm nào từ Steam. [Bảng thống kê đầy đủ về lệnh cấm ↗](https://phishdestroy.io/steam_dossier/enforcement_audit) Các thông tin được công bố trong tài liệu hướng dẫn của chính công cụ này - ASF đăng nhập vào các tài khoản ở chế độ không giao diện và để các trò chơi ở trạng thái chờ để nhận thẻ mà không cần khởi chạy ứng dụng khách Steam (theo tài liệu dự án). - Phần Câu hỏi thường gặp (FAQ) giải thích rằng Valve đã biết về “những người lười biếng trênSteam” và rằng “nếu họ không chấp nhận điều đó, họ đã có hành động từ lâu rồi”. - Không có báo cáo nào về việc thực thi nhắm mục tiêu trong hơn 11 năm (theo phần Câu hỏi thường gặp); doanh số bán thẻ tại Chợ Cộng đồng phát sinh từ đó phải chịu mức phí tổng hợp củSteam khoảng 15%. - Phần Câu hỏi thường gặp (FAQ) nêu rõ mức trần khuyến nghị là mười tài khoản cho mỗi nhà điều hành và dẫn nguồn từ Valve: “Khuyến nghị này dựa trên các hướng dẫn nội bộ của Valve, cũng như các đề xuất của chính chúng tôi.” Valve chưa công bố bất kỳ hướng dẫn nào như vậy. - Giới hạn kỹ thuật, theo cùng phần Câu hỏi thường gặp (FAQ) này: "Bạn có thể chạy tối đa 100-200 bot với một địa chỉ IP và một phiên bản ASF." - Thời gian chơi được tạo ra nhân tạo được ghi lại tại Valve — “thông tin này thường được cập nhật khoảng mỗi 30 phút” — và § 4.C liệt kê “Giả mạo số liệu thống kê trong trò chơi (e.g., thổi phồng số trận thắng hoặc thua, XP, thời gian chơi)” là hành vi bị cấm. Nguồn [Trang wiki câu hỏi thường gặp (FAQ) chính thức của JustArchi ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [Kho lưu trữ ArchiSteamFarm ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [đã lưu trữ 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm) Điều khoản về tự động hóa được quy định rõ ràng; phần Câu hỏi thường gặp (FAQ) của ASF đã nêu rõ từ nhiều năm nay rằng công cụ này đang hoạt động trên hàng triệu tài khoản; chưa có báo cáo nào về việc thực thi có chủ đích nhằm vào công cụ này. Khoảng cách giữa quy định và việc áp dụng quy định chính là thực trạng hiện tại; nguyên nhân dẫn đến điều này chưa được làm rõ trong bài viết này. [Triển lãm trọn vẹn Nền kinh tế thẻ: quy trình, quy mô, giấy phép và ai là người giám sát ↗ Những gì một trang trại phải mua từ Valve trước khi có thể sản xuất được một thẻ; hai dòng trong § 4.C mô tả hoạt động “trồng thẻ” qua các tác động của nó; lý do tại sao mọi cách đổi thẻ lấy tiền mặt đều vi phạm giấy phép Valve trong khi Valve thu phí ngay từ đầu; hồ sơ thực thi bao gồm đợt kiểm tra VAC vào tháng 6 tại 2025 và việc cấm theo chuỗi dựa trên số điện thoại chung; cùng với nhân viên Valve và các điều phối viên cộng đồng được phát hiện đang quản lý dịch vụ trao đổi thẻ và danh sách cấm xung quanh Steam.](https://phishdestroy.io/steam_dossier/card_economy) [Cuộc điều tra dân số về các loài bị cấm Chúng tôi không hỏi trang trại Valve diện tích trang trại là bao nhiêu. Chúng tôi đã tự đếm. ↗ 10,880,610 Tổng số tài khoản (có giới hạn và không giới hạn) được đọc từ nhóm Steam của chính ArchiSteamFarm, nhóm mà phần mềm sẽ tự động tham gia theo mặc định khi khởi chạy lần đầu, trừ khi người dùng bỏ chọn cài đặt tham gia nhóm (bao gồm cả các trang trại bot thương mại và người chơi thông thường vẫn giữ nguyên cài đặt mặc định). 88.97% không bị bất kỳ hình thức cấm nào từ Steam; trong số các trường hợp 11% bị cấm, 99.8% chỉ là các lệnh cấm cộng đồng mang tính hình thức và không bao giờ ngăn cản việc giao dịch. Sau khi đối chiếu với SteamRep, 67.77%, các đối tượng lừa đảo trong danh sách này vẫn hoạt động tự do một khi các lệnh cấm chống gian lận được gỡ bỏ. Với phân tích theo ngày đăng ký, vị trí địa lý và tỷ lệ tồn tại — quy mô thực tế, được đo lường, không phải chỉ là lời kể.](https://phishdestroy.io/steam_dossier/enforcement_audit) Phụ lục F — Sổ cái làm việc ## Chọn một quy tắc. Kiểm tra các bản ghi phù hợp. FSB Market là một tên gọi ẩn danh; tên gốc của thị trường tội phạm này không được tiết lộ tại đây. Bối cảnh và các giới hạn về nguồn Chọn một điều khoản trong Thỏa thuận người đăng ký hoặc Quy tắc ứng xử trực tuyến; danh sách sẽ hiển thị các nền tảng đã được ghi nhận và được gắn thẻ theo điều khoản đó, kèm theo tên miền chính, máy chủ xác thực đã khai báo và kết quả Lọc liên kết đã lưu. Danh sách này mô tả phạm vi của các hồ sơ trong cuộc điều tra này, chứ không phải là kết luận về việc vi phạm đối với bất kỳ nền tảng nào. Chọn một điều khoản để xem các nền tảng được gắn thẻ, máy chủ xác thực và kết quả Bộ lọc liên kết đã lưu. Mở từng nguồn để kiểm tra so sánh. Phụ lục G — Từ mẫu văn bản từ chối đến hồ sơ gốc ## Cẩm nang DSAR: Yêu cầu cung cấp bằng chứng Sử dụng Điều 15 GDPR để yêu cầu cung cấp dữ liệu cá nhân liên quan đến việc tạo khóa API, khôi phục tài khoản và truy cập dịch vụ hỗ trợ. Hồ sơ được lưu giữ có thể xác minh ai là người khởi xướng hành động và nền tảng đã dựa trên cơ sở nào. - 01 ### Hãy lưu giữ dòng thời gian của bạn. Lưu lại các thông báo tài khoản, phiếu yêu cầu, mã giao dịch và ngày giờ theo múi giờ UTC. Bảo mật tài khoản và xem xét các tùy chọn khôi phục áp dụng cho trò chơi và giao dịch. [Steam Thông tin về các biện pháp bảo hộ thương mại ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD) - 02 ### Yêu cầu cung cấp dữ liệu đã được lưu trữ của bạn. Yêu cầu cung cấp dấu thời gian, địa chỉ IP nguồn, các sự kiện quan trọng trong vòng đời khóa, xác nhận bảo mật và các hành động khôi phục liên quan đến tài khoản. Bao gồm các sự kiện truy cập hỗ trợ và người nhận trong trường hợp những dữ liệu đó liên quan đến bạn. - 03 ### Hãy lưu giữ biên bản giao hàng. Hãy sử dụng kênh liên hệ về quyền riêng tư của Valve. Thời gian phản hồi thông thường là một tháng; nếu cần gia hạn thêm tối đa hai tháng, phải nêu rõ lý do trong tháng đầu tiên đó. [Valve liên hệ về quyền riêng tư ↗](https://store.steampowered.com/privacy_agreement/#8) [đã lưu trữ 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/) - 04 ### Hãy so sánh các câu trả lời. Đối chiếu các bản ghi với dòng thời gian của bạn. Hỏi lý do tại sao có những nội dung bị bỏ sót, sau đó nếu cần thiết, hãy sử dụng thủ tục khiếu nại lên cấp trên có thẩm quyền. Lưu giữ nguyên văn câu trả lời như đã nhận được. Phạm vi / Bài báo15 Quyền truy cập bao gồm dữ liệu cá nhân được lưu giữ, bao gồm cả dữ liệu trong nhật ký. Quyền này không đảm bảo việc truy cập vào mọi tài liệu nội bộ, hồ sơ được tái lập hoặc dữ liệu chưa được che giấu liên quan đến người khác. Hãy yêu cầu một bản sao dễ hiểu và cơ sở pháp lý cho bất kỳ hạn chế nào. [Hướng dẫn về quyền truy cập của EDPB, các điều 2, 4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [GDPR Các bài viết 12, 15, 77 ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [đã lưu trữ 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) Yêu cầu truy cập thông tin của chủ thể dữ liệu GDPR / Bài viết 15 ### Bảo mật tài khoản và lịch sử truy cập Hãy thay thế các trường được đặt trong dấu ngoặc trước khi gửi. ``` To: Valve Privacy Team Subject: Article 15 GDPR request — account security records Account / SteamID: [YOUR ACCOUNT IDENTIFIER] Relevant period (UTC): [START] to [END] Related support tickets: [TICKET REFERENCES] I request a copy of the personal data concerning me that you retain for this period, including: 1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers. 2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions. 3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others. 4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses. Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me. Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time. Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder. Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled. Name: [YOUR NAME] Date: [DATE] ``` [Tải xuống.txt](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt) Một địa chỉ IP trung tâm dữ liệu có thể thiết lập được những gì ### Sự không khớp là bằng chứng cần được điều tra. Yêu cầu khóa “API” xuất phát từ mạng trung tâm dữ liệu, như trong ví dụ về nhà cung cấp dịch vụ lưu trữ được nêu trong cuộc điều tra này, có thể có ý nghĩa khi so sánh với các bản ghi đăng nhập, thông báo xác nhận và dòng thời gian của người dùng. Chỉ riêng địa chỉ IP không đủ để xác định danh tính của đối tượng thực hiện hành vi hoặc tự động vô hiệu hóa mọi biện pháp phòng vệ. Bằng chứng cho thấy một đối tượng có ý đồ xấu đã cung cấp sự đồng ý được ghi lại có thể làm lung lay tính hợp lệ của sự đồng ý đó; các cơ sở pháp lý khác và các vấn đề về trách nhiệm pháp lý cần được phân tích riêng biệt. [Xem đơn khiếu nại “ban-and-GDPR” đã được lưu giữ →](https://phishdestroy.io/steam_dossier/steam_enforcement_evidence#support-records) Phụ lục H — Phân tích kho lưu trữ “Wayback Machine” · Thống kê hỗ trợ đã công bố ## Khối lượng hỗ trợ. Thời gian phản hồi đã công bố. Bối cảnh và các giới hạn về nguồn Valve công bố số liệu thống kê hỗ trợ hàng ngày tại `store.steampowered.com/stats/support`. Kho lưu trữ Wayback Machine lưu giữ các bản sao lưu lịch sử của trang này từ 2018 đến 2026. Tỷ lệ khối lượng công việc trên số lượng nhân viên được suy ra từ các số liệu này không phù hợp với việc kiểm tra thủ công từng phiếu yêu cầu trong khoảng thời gian phản hồi đã công bố. So sánh các số liệu hỗ trợ đã lưu trữ củaValve qua các bản chụp nhanh đã lưu. Phương pháp nghiên cứu giải thích những số liệu này có thể và không thể đo lường được những gì. Khối lượng so với thời gian phản hồi đã công bố (2018 → 2026) ### Hai hàng người chờ tại một quầy hỗ trợ, như có thể thấy qua các ảnh chụp màn hình được lưu trữ trên 21. Valve công bố số liệu hỗ trợ trực tuyến tại `store.steampowered.com/stats/support`. Mỗi giá trị dưới đây chính là giới hạn dưới Valve được in trên trang đó vào ngày Internet Archive lưu trữ trang web — chứ không phải là ước tính của chúng tôi. Cả hai dãy số liệu đều là cùng một đại lượng được đo bằng cùng một đơn vị, do đó chúng thuộc về cùng một trục và có thể so sánh trực tiếp với nhau. **Yêu cầu hoàn tiền** — số tiền mà Valve đang nắm giữ **Bảo mật và khôi phục tài khoản** — tài khoản mà bạn đã mất **49–55 phút** Giá trị dưới cùng của khoản hoàn trả trong mỗi lần ghi nhận từ tháng 2 năm 2018 đến tháng 8 năm 2026.. Trong khoảng thời gian tám năm rưỡi, giá trị này chỉ dao động chưa đến sáu phút, trong khi khối lượng hoàn trả hàng ngày biến động gấp chín lần. **2.4 h → 8.7 h** 10.9 5.8 Giới hạn dưới của thời gian khôi phục tài khoản nằm ở mức khoảng 2.4 giờ trong mọi lần ghi nhận cho đến tháng 12 2022, ngoại trừ một lần. Trong ba lần ghi nhận 2026, các giá trị được công bố lần lượt là Valve h, h và 8.7 h. **×2.8 → ×13** Theo số liệu do chính Valve công bố, tốc độ xử lý yêu cầu hoàn tiền chậm hơn bao nhiêu so với việc xử lý các khoản hoàn trả. Tình trạng này ổn định trong năm năm, sau đó khoảng cách ngày càng nới rộng — hàng đợi trở nên chậm hơn chính là hàng đợi mà người dùng, chứ không phải Valve, phải tự chi trả. Nguồn: 21 Wayback Machine các ảnh chụp màn hình của [store.steampowered.com/thống_kê/hỗ_trợ](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), 2018-02-03 đến 2026-08-10; trích xuất tại `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. Hãy xem các giới hạn kèm theo các số liệu: biểu đồ này thể hiện *thấp hơn* Giới hạn trên và dưới của khoảng giá trị Valve được công bố. Giới hạn trên được công bố kém hơn ở cả hai chỉ số — thời gian hoàn tiền dao động từ 1.5 giờ đến 1.5 ngày, thời gian phục hồi dao động từ 7.0 giờ đến 3.6 ngày. Hai bản ghi đã được lưu trữ trong phiên bản địa phương hóa của cùng một trang Valve — 2018-11-03 bằng tiếng Séc, 2020-03-25 bằng tiếng Pháp — và được đánh dấu là (cs) và (fr) trong bảng; các số liệu của chúng được hiển thị ở đây với các đơn vị đo lường được dịch và các con số giữ nguyên như đã công bố, trong khi các chuỗi nguồn nguyên văn được giữ nguyên trong tệp trích xuất. Mỗi lần thu thập dữ liệu đều công bố thời gian phản hồi cho cả hai hàng đợi, và không có điểm nào trên cả hai đường cong được nội suy. Con số phục hồi trong một phút duy nhất 15-là 2020-10-21 được đánh dấu trên biểu đồ và được giữ lại: nó chỉ xuất hiện trong một lần thu thập dữ liệu duy nhất và không có lần thu thập dữ liệu nào khác nằm trong cùng một bậc độ lớn với nó. Không có bản ghi nào tồn tại trong khoảng thời gian từ 2022-12-08 đến 2026-02-01; khoảng trống 38-tháng trong bản ghi được tô bóng và không có đường nào được vẽ qua đó. Các số liệu này mô tả thời gian phản hồi đã được công bố. Chúng không thể hiện những gì diễn ra bên trong một phiếu yêu cầu, và Valve chưa công bố số lượng nhân viên để so sánh với các số liệu này. Mở từng bản chụp dưới dạng bảng Mỗi bản ghi đã được lưu trữ, như đã được công bố | Chụp | Tiền hoàn lại / ngày | Phản hồi về việc hoàn tiền | Khôi phục / ngày | Các biện pháp ứng phó và phục hồi | | --- | --- | --- | --- | --- | | 2018-02-03 | 98,788 | 50.12 minutes to 1.52 hours | 25,662 | 2.51 hours to 1.80 days | | 2018-05-07 | 60,494 | 53.83 minutes to 1.47 days | 24,226 | 2.45 hours to 2.22 days | | 2018-08-02 | 69,084 | 50.27 minutes to 1.59 hours | 28,953 | 2.44 hours to 22.17 hours | | 2018-11-03 (cs) | 63,410 | 49.28 minutes to 1.54 hours | 33,910 | 2.42 hours to 1.31 days | | 2019-02-01 | 76,305 | 50.13 minutes to 1.52 hours | 35,164 | 2.44 hours to 2.04 days | | 2019-05-18 | 78,951 | 51.03 minutes to 3.12 hours | 27,514 | 2.46 hours to 20.39 hours | | 2019-09-07 | 78,941 | 50.65 minutes to 1.66 hours | 28,812 | 2.42 hours to 13.59 hours | | 2019-12-13 | 69,589 | 50.77 minutes to 1.55 hours | 25,322 | 2.45 hours to 1.13 days | | 2020-03-25 (fr) | 139,278 | 49.45 minutes to 1.53 hours | 32,302 | 2.48 hours to 3.62 days | | 2020-06-26 | 278,504 | 48.98 minutes to 2.29 hours | 20,343 | 2.39 hours to 6.99 hours | | 2020-10-21 | 107,633 | 50.80 minutes to 1.54 hours | 20,688 | 15.33 minutes to 8.62 hours | | 2021-03-20 | 158,956 | 50.80 minutes to 1.64 hours | 25,760 | 2.34 hours to 11.62 hours | | 2021-06-26 | 547,907 | 51.93 minutes to 6.73 hours | 29,728 | 2.40 hours to 15.63 hours | | 2021-10-10 | 170,103 | 51.88 minutes to 3.25 hours | 23,989 | 2.39 hours to 13.05 hours | | 2022-01-31 | 354,386 | 53.65 minutes to 8.09 hours | 24,391 | 2.42 hours to 15.29 hours | | 2022-05-09 | 172,555 | 51.83 minutes to 1.65 hours | 23,289 | 2.41 hours to 16.90 hours | | 2022-09-05 | 153,453 | 53.67 minutes to 4.15 hours | 23,594 | 2.45 hours to 1.22 days | | 2022-12-08 | 181,075 | 54.83 minutes to 6.67 hours | 27,111 | 2.46 hours to 18.89 hours | | 2026-02-01 | 317,762 | 50.30 minutes to 1.52 hours | 47,197 | 10.91 hours to 21.30 hours | | 2026-05-09 | 246,776 | 50.12 minutes to 1.52 hours | 35,264 | 5.81 hours to 15.60 hours | | 2026-08-10 | 373,244 | 52.05 minutes to 2.07 hours | 45,319 | 8.73 hours to 16.52 hours | NHẬN XÉT CHÍNH: Dọc theo **21 Các bản sao lưu của Wayback** từ 2018-02-03 đến 2026-08-10,, số lượng yêu cầu hoàn tiền hàng ngày dao động từ **60,494** (2018 tháng 5) đến **547,907** (2021 tháng 6) — a **9.1× chênh lệch**. Số liệu từ 2026 là 373,244 (+278% so với số liệu tháng 2 tại 2018). Trong suốt chín năm đó, giới hạn dưới đã được công bố về thời gian phản hồi hoàn tiền chưa bao giờ rời khỏi mức **49–55 phút** dải: tổng thời gian di chuyển dưới sáu phút, trong khi khối lượng công việc đằng sau nó tăng lên gấp chín lần. Nếu một người dành ra chỉ 5 giây để đọc từng vé, việc xử lý 373,244 vé mỗi ngày (theo số liệu hiện tại) sẽ chiếm **22 các đại lý làm việc tại 24/7** chỉ để mở và đóng chúng; vào giờ cao điểm (547,907, tháng 6 2021) con số này tăng lên 32. Nếu thời gian phản hồi được công bố phản ánh thời gian xử lý cho mỗi phiếu yêu cầu (~52 phút/phiếu), thì số lượng nhân viên làm việc đồng thời cần thiết sẽ vào khoảng **13,500 đại lý** ở mức hiện tại và khoảng20,000 khi đạt đỉnh. Chưa tìm thấy số liệu có nguồn gốc nào về số lượng nhân viên hỗ trợ của Valve; do đó, ở đây không đưa ra con số nào. Điều sau đây: tỷ lệ khối lượng công việc trên số lượng nhân viên không phù hợp với việc kiểm duyệt thủ công từng phiếu yêu cầu trong khoảng thời gian phản hồi đã công bố. Các số liệu này phù hợp với quy trình kiểm duyệt lần đầu chủ yếu được tự động hóa; tỷ lệ phần trăm các phiếu yêu cầu được kiểm duyệt thủ công không được công bố. Tại sao điều này lại quan trọng đối với việc tuân thủ Đạo luật về Người khuyết tật (GDPR) GDPR Điều 22 cấm việc ra quyết định đối với từng cá nhân hoàn toàn tự động mà tạo ra các hậu quả pháp lý đáng kể, mà không cung cấp quyền yêu cầu xem xét lại bởi con người khi có yêu cầu. Nếu các quyết định hỗ trợ của Steam (đóng phiếu yêu cầu, xử lý tài khoản, từ chối yêu cầu dữ liệu) được thực hiện hoàn toàn bằng các tập lệnh tự động, thì mọi quyết định như vậy “ảnh hưởng đáng kể” đến người dùng đều có thể vi phạm Điều 22. Vé **HT-2YBP-F7JP-D4VB** (Mục 18) đã được đóng sau ba ngày với một mẫu chuyển tiếp và không có bất kỳ phản hồi nào liên quan đến cơ sở pháp lý được trích dẫn. Không thể xác định được liệu có ai đã xem xét nội dung này hay không dựa trên phiếu yêu cầu; đó là câu hỏi mà cơ quan giám sát có thể đặt ra cho Valve theo Điều 22 và Điều 15(1)(h). Nguồn: Wayback Machine — các bản chụp nhanh từ store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) — dữ liệu được trích xuất vào tệp VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 — các bản chụp nhanh, 2018–2026). Lưu ý: thời gian phản hồi "~52 phút" là giới hạn dưới của danh mục hoàn tiền; thời gian phản hồi về bảo mật tài khoản là 2.4–16.5 giờ trên cùng các bản chụp nhanh. 2021-06-26 là mức đỉnh mọi thời đại (547,907 yêu cầu hoàn tiền), không phải là điểm giữa tăng đều — khối lượng đã tăng vọt ~6× trong 2020–2021 sau đó giảm một phần trước khi phục hồi lên 373K trong 2026. Phụ lục I — Phạm vi tập dữ liệu · số liệu có thể tái tạo ## Đếm số bản ghi. Kiểm tra phạm vi. Bối cảnh và các giới hạn về nguồn Hãy đếm số bản ghi, sau đó kiểm chứng các khẳng định: mọi con số dưới đây đều có thể được tính lại từ các tệp đã công bố. Kiểm tra các tập dữ liệu cơ sở, tái tạo các số liệu thống kê và phân biệt các hàng nguồn với các sự cố riêng lẻ. Tệp CSV chính chứa **40,448 hàng**. Trong số đó, **36,516** đến từ nguồn tin về lừa đảo (phishing) trên Discord-AntiScam. Phần còn lại **3,932** Các mục này bao gồm các bài viết trên GitHub, các bài đánh giá, kết quả tìm kiếm, nội dung trên diễn đàn và các nguồn khác, cung cấp một chỉ mục toàn diện về các chủ đề được cộng đồng đề cập và các báo cáo bảo mật. Trong tệp CSV đó, 1,690 các hàng được phân loại dưới nhãn bộ sưu tập “Lỗ hổng bảo mật chưa được vá”, đại diện cho các vấn đề của người dùng trong quá khứ và các thông báo về lỗ hổng bảo mật. Việc truy vết các báo cáo này đòi hỏi phải rà soát dòng thời gian phát triển cụ thể của từng chuỗi thảo luận và lịch sử các bản vá công khai. Kho lưu trữ có thể tìm kiếm “16,319-” là một phiên bản riêng biệt, được biên soạn cẩn thận với danh sách nội dung riêng, được thiết kế để khám phá chi tiết tại chỗ các khiếu nại của người dùng và báo cáo sự cố cụ thể. > To build a reliable audit trail, every user-reported record must be verified against documented build timelines and historical patch logs. Các bản ghi sưu tập riêng biệt thuộc Phần II **231,829 Mã danh sách duy nhất**, bao gồm 33,509 trong danh mục đăng ký tự động và 198,320 được đánh dấu là các giao dịch chuyển nhượng chưa được xác minh. Giá trị SHA-256 của tệp đầu vào trùng khớp với kết quả đo lường đã lưu giữ. Các số liệu này phản ánh các nỗ lực niêm yết và các giao dịch chuyển nhượng được ghi nhận, chứ không phải giá trị giao dịch đã hoàn tất hay tổng số vụ trộm cắp đã được xác minh, từ đó nhấn mạnh sự cần thiết phải dựa vào hồ sơ gốc của nền tảng để đo lường chính xác tác động kinh tế. [Danh sách các giá trị đo lường và hàm băm ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json) [Nắm vững CSV ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [Danh mục lưu trữ có thể tìm kiếm ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Kiểm tra các bản ghi nguồn ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive) Phụ lục J — Giới thiệu về cuộc điều tra này ## Valve không công bố bất kỳ hồ sơ thi hành nào. *Chúng tôi đã chế tạo một cái.* Độc lập. Không mang tính thương mại. Được xây dựng hoàn toàn dựa trên dữ liệu công khai. Đã được gửi đến các cơ quan quản lý. **88.97%** đội xe tự động hóa vẫn hoạt động bình thường — không có bất kỳ lệnh cấm nào **67.77%** trong số những kẻ lừa đảo đã bị Tòa án Tối cao (51,732) kết án lại được trả tự do **$26.8M+** Mức chi tiêu tối thiểu tại cửa hàng đối với đội xe không thuộc diện giới hạn **3.6%** Các tên miền cờ bạc bị chặn bởi tính năng Lọc liên kết của Valve **8 năm** các sự cố an ninh đã được ghi nhận **Đây là gì.** Một hồ sơ điều tra chi tiết về nền tảng Steam của Công tyValve — bao gồm lịch sử thực thi quy định, hệ sinh thái “card-farming”, khung pháp lý, và cơ sở hạ tầng xác thực mà các nhà điều hành cờ bạc sử dụng thông qua hệ thống chuyển tiếp OpenID của chính Steam. Mọi số liệu đều có thể kiểm chứng được từ hai nguồn: trang API công khai của Valve và các bộ dữ liệu được công bố kèm theo cuộc điều tra này. **Đối tượng dành cho ai.** Các cơ quan quản lý có thẩm quyền đối với Valve — Cơ quan giám sát của Cơ quan Quản lý Tài chính Hà Lan (GDPR), FinCEN, Ủy ban Chứng khoán và Giao dịch (SEC), Điều phối viên Dịch vụ Kỹ thuật số theo Đạo luật Dịch vụ Kỹ thuật số (DSA), UOKiK, và bất kỳ cơ quan thực thi pháp luật nào đang điều tra các luồng tài chính liên quan đến Steam. Cũng dành cho các nhà báo, nhà nghiên cứu và mọi người dùng đã bị cấm tài khoản vĩnh viễn, bị từ chối hoàn tiền hoặc bị đánh cắp tài sản trong tài khoản và được thông báo rằng không có quyền kháng cáo. **Yêu cầu duy nhất.** Valve lưu trữ dữ liệu này với độ chính xác tuyệt đối — kèm theo lý do cấm, không gian ID đầy đủ, theo thời gian thực. Hệ thống có thể thực hiện mọi truy vấn trong hồ sơ này chỉ trong vài giây và đã quyết định không công bố bất kỳ thông tin nào trong đó. Câu hỏi đặt ra cho bất kỳ cơ quan có thẩm quyền nào cũng rất đơn giản: *Tại sao không?* **Điều mà các tác giả không khẳng định.** Trong quá trình nghiên cứu này, không có thao tác đăng nhập nào vào Steam được thực hiện trên bất kỳ nền tảng bên thứ ba nào. Một URL OpenID được cung cấp chỉ xác định các tham số yêu cầu, chứ không phải là một thao tác đăng nhập đã hoàn tất. Việc sở hữu một tên miền riêng biệt có thể đăng ký không tự nó là bằng chứng cho việc lách luật. Ngày đăng ký là mốc thời gian sớm nhất mà một máy chủ có thể xuất hiện lần đầu tiên trong một yêu cầu OpenID; chúng không chứng minh việc sử dụng liên tục. Các tác giả không khẳng định những gì Valve biết hoặc dự định: mọi tuyên bố về Valve đều được liên kết với một tài liệu công khai có ngày tháng hoặc một quan sát có ngày tháng. Trong trường hợp một tuyên bố không thể được chứng minh bằng tài liệu nguồn, tuyên bố đó đã bị loại bỏ. Chúng tôi là ai PhishDestroy — các nhà điều tra độc lập. Không có liên hệ nào với Công ty Valve hay bất kỳ nền tảng nào được nêu tên tại đây. Một tài khoản Steam đã được sử dụng duy nhất để ghi chép lại yêu cầu tại GDPR trong Mục 18. Thông báo miễn trừ trách nhiệm pháp lý Cuộc điều tra phi thương mại, phi tập trung vì lợi ích công cộng. Tất cả dữ liệu được cung cấp “nguyên trạng” mà không kèm theo bất kỳ bảo đảm nào. Ấn phẩm này không phải là phán quyết tư pháp. PHẠM VI CÔNG CỘNG Cấp phép Tất cả các quyền được nhượng lại cho nhân loại. Được phép sao chép, chỉnh sửa, xuất bản — không cần ghi nguồn. Cấm truy cập tại khu vực thuộc thẩm quyền của OFAC. [Giấy phép đầy đủ & tuyên bố miễn trừ trách nhiệm →](https://phishdestroy.io/steam_dossier/license_disclaimer)