# 账户访问与问责——《Steam档案》 Canonical: https://phishdestroy.io/steam_dossier/zh/investigation_part2 Language: zh Author: PhishDestroy Team Publisher: PhishDestroy > 公共自动化。外包支持。最终承担代价的还是民众。 《STEAM档案》 / II # 您的账户。 他们的访问权限。 *谁接电话？* 公共自动化。外包支持。最终承担代价的还是民众。 追踪基础设施状况、已报告的损失以及索赔背后的文件。 第一部分——早期出版物： [Steam API 诈骗案曝光 ↗](https://phishdestroy.io/steam-api-scam-exposed) [Valve 盗用账户所得的利润 ↗](https://phishdestroy.io/valve-profits-from-stolen-accounts) [实时情报：暗网监控 ↗](https://phishdestroy.io/live-intel/?category=steam) [GDPR律师 违规调查 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [已归档 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [数据泄露应对工具包 ↗](https://github.com/phishdestroy/taylor-wessing-data-breach-toolkit) IPFS：**steamdestroy.eth** IPFS：**valve.xmr** [追踪基础设施 ↘](https://phishdestroy.io/steam_dossier/zh/investigation_part2#automation-map) 附件 01 / 实时暗网市场监控 **550,000+** Steam 个账号正在 FSB Market (匿名名称；此处不公开原名) 上积极出售 就在这一刻 550,000+ 实时库存 · 231,829 历史抓取语料库（198,320 窃取日志） 被劫持的 Steam 账户的主要地下交易平台，`FSB Market` (其他相关名称不予公开) 使用 Valve 的官方 Steam OpenID 对买卖双方进行身份验证（`openid.realm = https://FSB Market`). 每分钟都有超过50万个被盗和遭泄露的账户（来自RedLine/Lumma的窃取日志、钓鱼攻击截获数据、凭证填充数据）以几美分的低价（$0.50–$2.00）被积极挂牌出售。两者均未`FSB Market` nor`相关论坛` 被 Valve 的链接过滤器拦截。这是为 63.06% 个付费机器人账户提供支持的“人才库”，而 Valve 在未向受害者提供任何帮助的情况下将其封禁。 [实时情报：暗网市场监控（55万+在线用户） ↗](https://phishdestroy.io/live-intel/?category=steam) ·[打开捕获记录 ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/lzt.market.json) ·[打开链接过滤器跟踪记录 ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-evidence-lzt.json) 55万+ 在线 01 / 一个由作者构成的生态系统 ## 自动化已经 *书面记录。* 已命名的项目。已发布的功能。追溯工具至其文档，然后检查收集到的开发者关联关系。 **252** 已收录的仓库 **3,320** GITHUB 个人主页 **4,214** 简介——配置文件与存储库配对 Valve 基础设施 社区图书馆 可重用应用程序 线条表示已记录的集成或依赖关系。选择一个节点以查看其相关信息。 开发者图所揭示的内容 该图表展示了已公开的贡献者与分支者之间，在指定项目与 GitHub 个人资料之间的关联关系。这些都是公开记录——仓库分支、贡献列表、个人资料关联。关键在于，已公开的能力和开发者关系所留下的这些“纸质痕迹”要求 Valve 回答什么问题，而不是这项调查杜撰了什么。源代码哈希值保存在[地图来源](https://phishdestroy.io/steam_dossier/steam_tos_assets/automation-map.json). [探索整个网络 ↗](https://phishdestroy.io/steam_dossier/zh/output_steam_network/network.html)[存储库源数据 ↓](https://phishdestroy.io/steam_dossier/output_steam_network/raw_data.json) 02 / 不同的凭证，不同的权限。 ## 哪个键 *我们说的是什么？* 玩游戏并不要求玩家提供个人 Web API 密钥。这正是本调查的核心区别所在。 01 / 用户账户 ### 个人 Web API 密钥 `steamcommunity.com/dev/apikey` 由用户账户签发，用于允许的 API 调用。密钥的创建、可见性、撤销和滥用检测均属于账户安全问题。 02 / 游戏后端 ### 发布商 Web API 密钥 Steamworks 合作伙伴使用发行商凭据来执行受支持的后台操作，包括与游戏相关的服务。玩家的个人密钥则是另一种凭据。 03 / 身份与会话 ### OpenID / 会话令牌 OpenID 用于向网站验证身份。而 Steam 会话令牌或刷新令牌则具有不同的用途。不应将这些机制混为一谈，视作一个可互换的“API 密钥”。 Valve 同时记录了用户和发布商的 Web API 密钥。因此，整个 Web API 并非独立于 Steamworks 之外。[API 密钥文档 ↗](https://partner.steamgames.com/doc/webapi_overview/auth) [已归档 2026-09-15 ↗](https://web.archive.org/web/20260915025812/https://partner.steamgames.com/doc/webapi_overview/auth) ·[游戏会话认证 ↗](https://partner.steamgames.com/doc/webapi/ISteamUserAuth) [已归档 2026-08-29 ↗](https://web.archive.org/web/20260829124950/https://partner.steamgames.com/doc/webapi/ISteamUserAuth) 由该工具作者记录 / 2024年3月 ### 自动化不仅可以使用 API 密钥。 Trade Offer Manager 的维基文档描述了在没有单独 API 密钥的情况下，如何在 Web API 的部分功能中使用会话访问令牌。该文档还记录了自 2023 年末起，创建 API 密钥时需要进行手机验证。维护者指出，Valve 不支持此类令牌用法；这只是文档中过时的说法，并非针对当前环境的绕过测试。 [查看维护者的说明 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [已归档 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) 人性层面 / 一个具有说明性的网络钓鱼路径 ## 还在玩。 *已经曝光了。* 来自朋友的一条消息。一个投票请求。一个“感谢”页面。对玩家而言，任务已经完成。但被入侵的会话可能比这一刻持续得更久。 在播放器屏幕上 一位朋友的叙述 《看不见》 ### 静默会话令牌捕获 **在出售任何商品之前，账户安全是首要考虑的问题。** 该玩家并非有意创建自动化凭证或授权他人控制。重新登录游戏并不能证明该账户是安全的。Valve 保存着会话日志、API 密钥创建记录以及设备关联数据，而受害者则没有。这种信息不对称正是问责问题所在。 会话访问和凭据类型 API 密钥和登录会话是两种具有不同权限的凭据。撤销密钥不会终止当前的活动会话。Valve 的官方文档中对这两者均有说明；Valve 保存着日志，这些日志可显示在任何存在争议的操作发生时，究竟是哪一种凭据处于活动状态。 要求的是披露该记录——而非调查方凭空推断出的结论。[维护者关于令牌处理的文档 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [已归档 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) ·[Valve 关键文档 ↗](https://partner.steamgames.com/doc/webapi_overview/auth) [已归档 2026-09-15 ↗](https://web.archive.org/web/20260915025812/https://partner.steamgames.com/doc/webapi_overview/auth) 03 / 正规市场存在价格上限 ## 该物品可能是稀有物品。 *限制依然存在。* 如果报价超过挂牌上限，则无法通过在社区市场进行一次全价挂牌来实现该价格。 参考要价 $5,000更改商品的标价 $100 $20,000 此为已公布的限额示意图，并非估值或交易建议。simplified-chinese 上市上限 **≈ $1,800** 钱包帽 **≈ $2,000** 钱包中的资金无法提现至银行账户。这些限制催生了第三方皮肤市场所满足的需求：这种需求由上架限制和钱包额度限制所产生，而Valve自身的规则却禁止商业运营商满足这一需求。 [Steam的市场限额 ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [已归档 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) 04 / 支持边界内部 ## 受托管理数据。 *负责访问管理。* Valve的隐私政策明确规定，在提供支持所必需的情况下，可与第三方支持服务提供商共享个人数据。 《玩家》 **账目与凭证** VALVE **恢复过程** 支持提供商 **委托访问** [隐私政策 §5.2 ↗](https://store.steampowered.com/privacy_agreement/) · Valve的内部政策允许第三方支持人员进行访问。目前尚待澄清的问题包括：授予了哪些权限、存在哪些审计记录，以及在据称发生访问权限滥用时发生了什么。 2015 ### 该秤是公开的 Valve 承认了账户被盗现象普遍存在，并介绍了相应的防护措施。 [Valve 出版物 ↗](https://store.steampowered.com/oldnews/19618) [已归档 2026-08-09 ↗](https://web.archive.org/web/20260809125516/https://store.steampowered.com/oldnews/19618) 2015 ### Valve 将该岗位外包了——并且也这么说了 Valve 设有一个小型内部 Steam 支持领导团队，并表示*“雇了几家不同的公司”* 以处理支持服务（Erik Johnson、Valve，向Kotaku）；其隐私政策第5.2条授权这些第三方访问用户数据。**哪家承包商拥有账户恢复权限，Valve从未透露过** — 社区讨论中提到了Concentrix等供应商，但均未得到Valve确认。该外包服务台早在以下两则声明发布之前数年就已经设立。 [Kotaku：Valve 对其支持 ↗](https://kotaku.com/valve-explains-why-steam-customer-service-is-still-terr-1736988223) [已归档 2025-07-11 ↗](https://web.archive.org/web/20250711004653/https://kotaku.com/valve-explains-why-steam-customer-service-is-still-terr-1736988223) 2023 ### 第一次入学 Valve的《CS:GO》战队就其帮助请求流程导致账号被盗一事以书面形式承担责任，并撤销了相关交易。 [打开外包案例 ↓](https://phishdestroy.io/steam_dossier/zh/investigation_part2#outsourcing-case) 2025 ### 第二次入学 33个月后，Steam 客服回复称，一名技术人员“未按我们的流程操作，导致您的账户被恢复给了其他人”。同样的渠道。同样的结果。 [Dexerto，2025年11月14日 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) 案件档案 / HFB 与外包指控 ### 进入的方式正是Steam支持本身。 *Valve 以书面形式表示了这一点。* 在Dexerto转载的客服回复中，Valve的CS:GO战队承认其账号遭入侵一事应由该队负责**通过求助流程** — 这是其自有渠道，既非钓鱼页面，也非用户所为。相关资产已被追回，交易已撤销，而这正是Valve告诉其他受害者根本不存在的补救措施。据报道，HFB的库存为**$2,000,000+** 当天以及**$3,000,000+** 在后续工作中；**Qkss 也以同样的方式输掉了 $1,000,000+，一无所获**. 支持回复 / 转载自 DEXERTO · 2023年2月21日 > “因一则技术支持请求而遭到入侵，CS:GO团队对此承担责任” [阅读报道及转载的消息 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [已归档 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) 01 / 哪个阀门开了 #### 其自有支持渠道便是切入点 该回复涉及被入侵的账户及其交易的撤销。Valve已撤销这些交易——因此这些交易是可以撤销的。原始的经过认证的交易单不在此集合中。 02 / 解雇未能解决的问题 #### 2025年11月，那扇门再次敞开了 该承包商解雇了其全部 Steam 名支持人员——此消息由 Mzkshow 通过 Dexerto 报道，并非来自 Valve 的人事声明。 三十三个月后，Steam Support 致信另一位用户称：“处理该求助请求的技术支持人员未遵循我们的流程，导致您的账户被恢复给他人。”这是 Valve 本人关于同一渠道的陈述。 [第二次入学，2025年11月14日 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) 03 / 什么是“开放” #### Valve从未透露过该承包商的名称 这些消息来源既未指明承包商，也未指明具体地点。这并非报道中的漏洞——而是Valve尚未披露谁拥有用户账户的访问权限。 [该案的当代记载 ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) 有三个问题Valve尚未回答：谁可以绕过账户恢复机制、访问审计发现了什么，以及此后发生了什么变化。 保存下来的支持档案中后来的指控 2024年Reddit上的两篇帖子披露了Mzkshow的进一步调查——一起发生于2024年7月的VAC禁令撤销案例和一起发生于2024年12月的$13,000库存案例。这些是分别报告的事件。 每起事件中的问责问题都是一样的：谁拥有覆盖权限，审计发现了什么，以及发生了哪些变化。 [2024年7月14日 · 报告已康复 / VAC-禁令案例 ↗](https://www.reddit.com/r/cs2/comments/1e38jo4/stealing_accounts_and_removing_vac_bans_a_new/)[2024年12月2日 · 报告了 $13,000 库存案例 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [已归档 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/)[两条已保存的帖子、来源行和哈希值 ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json) 05 / 追随损失 ## 每个金额 *需要一个保护套。* 10起案例，时间跨度为2022年6月至2026年3月。每个金额均采用其所引用的来源公布的数值——**$6,300,000**,**$2,000,000+**,**$1,000,000+**,**≈$320,000**,**≈$300,000**，降至288欧元。Valve保存着每笔交易的交易日志、会话记录和支持审计轨迹，但均未提供任何相关记录。 来源及金额均按各来源的报告为准。Valve 保存了所有这些案例的交易日志、会话记录和支持审计轨迹。请提供这些资料。一篇被保留下来的 Reddit 帖子无法解决这个问题——Valve 自身的记录才能解决。 “系列” / “核对后” ## 231,829个账号正在出售。 *Valve 保存了每个的日志。* **354 → 201** ### Trustpilot 记录 已删除 153 行重复记录。导出文件中未保留单个评论的 URL。 **231,829** ### Steam 账户列表 33,509 归类为“自行登记”；198,320 归类为“收藏家盗窃品”。列表中的商品并不代表已成交。 [应收账款审计 ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-quality-review.json)[搜索源代码存档 ↗](https://phishdestroy.io/steam_dossier/zh/steam_evidence_archive)