保留所有权利 向人类投降了。
本文件确立了关于PhishDestroy Steam 档案的无条件公共领域奉献（CC0 1.0 Universal）及MIT软件许可条款。所有法医调查结果、证据数据集、网络图及分析方法均不可撤销地置于公共领域，供全球范围内在监管、法律和学术领域不受限制地使用。
← 返回高管简报PhishDestroy 放弃了对此材料的全部权利——包括复制、出售以及署名等权利。以下是两份以同一声音呈现的文件：一封写给Valve的公开信，采用我们日常的写作风格；以及一份为负责推进此事项的机构起草的正式权利放弃书。
PhishDestroy 放弃对本作品的所有权利。零。没了。完事。你可以复制它、出售它、署上你的名字、把它纹在老板身上，随你便。无需署名，无需私信，也不指望收到感谢卡。
你无权决定自己是否是恐怖分子。
如果您是来自俄罗斯或任何受美国财政部外国资产控制办公室（OFAC）制裁国家的用户——本内容不适用于您。没有漏洞可钻。请享受您的制裁吧。
如果你在莫斯科时把Steam的地区设置改成了土耳其——恭喜你，真有创意。你依然是俄罗斯人。制裁依然有效。这正是关键所在。
我们将发布关于Valve的资讯，其内容之多甚至超过了Valve普通员工对自己所了解的程度。这并非在自夸，只是事情最终发展到了这一步。
我们怎么会走到这一步？说来有趣：Steam 可以说就是我们的缔造者。它用那些诈骗者、那些客服工单、那个规避封号的生态系统把我们养大——而如今，我们就在这里。没什么怨言。其实，这还挺有诗意的。
对于那些还没读过这则事件始末的人——我们之前已经见过Valve那些收费极其高昂的欧洲律师（既然你问了，就是泰勒·韦辛律师事务所）：
https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d 存档链接：2026-08-21 ↗
一次令人愉快的邂逅。尤其是考虑到他们的时薪。
Valve 知道吗？知道。Taylor Wessing 知道吗？几乎可以肯定知道。但当你富到那种地步时，法律与其说是必须遵守的规则，不如说是一种氛围，对吧？
其实，这基本上就是全部答案了。
Steam 花了好几年时间“收治”诈骗分子。这并非总是出于故意——有时诈骗分子只是因为与Valve有牵连，才被贴上了它的标签。我们并非想大惊小怪，而是力求准确。说实话，对我们来说，做到准确比大惊小怪更难——这只是我们的写作风格。
这算是一种冲突吗？
— 否。
这个问题能解决吗？
— 是的。但我们不会签署任何保密协议，也不会为了区区几分钱去参与漏洞赏金计划。
我们等了超过4年，直到他们修复了该欺骗问题，才得以公开撰文讨论此事。因为如果我们早些时候就写了这篇文章，Steam肯定会摆出一副受害者的样子，大喊“存在活跃威胁！”，并给我们一点零花钱，让我们签署一份文件，使我们永远成为他们的法律财产。不用了，谢谢。
（另外：Valve 本身就违反了保密协议。他们自己的员工也违反了，尤其是高层人员。不过，好吧，我们还是来谈谈我们这边的情况吧。）
Valve：如果您希望关闭该域名，请发送电子邮件给我们。此事无需聘请外部律师。
对于不了解内情的人来说：帕特里克博士拥有阿伯丁大学国际商法专业的法学硕士学位，而且——请注意——他的博士论文确实是关于信息技术法的。 他最近晋升为泰勒·韦辛律师事务所的合伙人，该事务所的整个商业模式就是向Valve这类公司收取天价费用，以此拖延诉讼，直到对方耗尽资金或失去耐心。
我们并不怪他。为那些按小时付费、心怀愧疚的富有的客户辩护——这确实是个明智的职业选择。我们只是觉得你不该为此买单。
该域名是Valve目前唯一能够切实触及的部分。调查、转介以及相关资源已经启动——无论该域名是否存在，这些工作都会继续进行。
如果您想要该域名：
请让您的IT法律专业人士来确定一个公平的价格。
50% 将捐赠给“SEAL”基金会。
我们注销这个域名。没戏。不用上法庭。搞定。
这并非威胁。这是针对唯一真正触手可及之事所提出的一项直截了当的提议。你别无他法——这就是现状的本质。
我们会直接“损害”Valve的利益吗？恐怕不会在财务上对他们造成实质性影响。我们并不自欺欺人。但我们会以诚实、公开的方式行事，不为博取影响力——因为我们不需要影响力。我们需要让全世界看到那些只要花足够时间观察，本就显而易见的事实。
我们拥有5年的档案资料。Valve的律师在证据开示过程中展示的内容——即特工们可以查阅的数据、指纹记录，以及他们亲手交给我们的一系列书面证据——已经足够了。我们没有必要将原始数据泄露出去。
谁得到什么
监管机构将收到原件。
研究人员和记者获得的是经过删节的版本（受害者报告、儿童的登录信息以及Valve那令人捧腹的客服评论均因显而易见的原因被删除）。
受影响的账户中包括未成年人，但他们并未收到通知。这一调查结果已纳入监管机构提交的材料中，其中已删除受害者报告和身份信息，因为该内容应提交给数据保护机构，而非刊载于文章中。
此外，Valve——在您决定如何处理此事之前，我们想澄清一点：PhishDestroy 是一个社区，而不是某个人。您在未与该社区沟通的情况下，直接向其发送法律函件——只是为了获取数据，随后便封禁了相关账号——这已经说明了一切。
本社区与Valve没有任何冲突。这不是我们主动找上的。是你们培养出来的骗子主动找上了我们。我们已经将他们封禁了。现在情况就是这样。
我们希望坦率地说明这种放大机制，因为假装它不存在是不诚实的。
据我们了解，PhishDestroy 社区内至少有两个盟友资源，它们会接手这些材料并加以利用。
这在实际中意味着：
他们针对重叠的主题，各自从不同的角度切入。
他们是独立的——他们不接受我们的指导，我们也不接受他们的指导。虽然主题大致相同，但研究方法各不相同。
他们绝不会根据第1.条采取行动。他们正在密切关注。
如果 Valve 决定不关闭该网站：
预计它们会在第2部分或第3.部分之后出现。
他们会从我们的研究成果中汲取有用的部分，结合自己的研究成果，然后以自己的名义发表。
这正是1条款中的许可所针对的情况：内容被传播到需要的地方，得到补充，得到扩展——而我们和他们之间都不需要互相标注来源。
（附注：对于那些对责任链存有疑问的律师：根本不存在责任链。这些资源既未接受我们的指导，也未获得我们的资助，更未使用我们的数据。它们只是阅读公开信息，并得出自己的结论。就像你们一样。）
我们这么说并不是为了恐吓。我们这么说，是为了让“Valve”阵营中负责制定战略的人，能够准确了解信息环境的实际情况。
能够整合我们的资料并加以补充的一种资源就是一篇报道。如果两种资源各自独立地进行分析并得出相似的结论，这就形成了一种模式。而监管机构关注的就是这些模式。
我们正在跟进一份关于某款通过 Steam 发行、未公开名称的游戏可能存在远程代码执行（RCE）漏洞的报告。据称，该问题自 2026 年 8 月起仍在活动。报告描述的连接服务器时的行为被拿来与 Unturned 比较，但尚未确认存在共同的技术原因。
Valve 是否知情、是否存在漏洞悬赏报告及其状态、修复时间表均尚未核实。我们不公布游戏名称或利用细节。这是一份需要核实的报告，而非已确认的调查结论。
PhishDestroy 项目与网络安全联盟
本声明随同本转交材料中的每份提交文件和每份附件一并提供。本声明致所有收到该材料的机构、法院、监管机构、检察官、研究人员、记者或相关当事人。
1.1 联盟在此转交案件中制作的所有材料——包括事实陈述、分析、其撰写的证据材料、分析工具及调查结果——均以“不保留任何权利”的方式予以发布。
1.2 任何人无需征得许可，也无需通知我们，即可：
复制该内容（无论是全部还是部分）；
对其进行改编、编辑、改写、重组或更正；
将其转换为；
摘录该内容，但未注明系摘录；
将其纳入官方文件、调查结果、裁决、诉状、报告或新闻材料中；
将其作为收件人自己的作品或收件人自己的研究成果加以呈现；
将其作为原料使用，其余部分弃之；
并以相同的条款将其转交给任何其他人。
1.3 无需注明出处，也不要求注明出处。无需提及、引用、署名、致谢、征询或通知该联盟。 如果本转介材料对相关机构有所帮助，且从未提及本联盟，那么这将是一个完全令人满意的结果，本联盟特此预先声明，以免引发相关疑问。
1.4 另一方面，如果某机构认为引用该联盟作为来源更为方便，也可以这样做。选择权完全在于接收方，无论采取哪种做法都不会产生任何后果。
1.5 本文件为免责声明，而非许可要约。它无需接受，不产生任何义务，且无法被违反。 联盟发布的软件另行依据MIT许可协议发布；研究成果及发现已在法律允许的最大范围内进入公共领域；若某司法管辖区不允许免责，则联盟授予具有同等效力的不可撤销、全球范围、免版税的许可。
2.1 主管机关可能会出于合理考虑而犹豫是否采信外部方提供的材料，因为担心这会给人留下其受该方指使或与该方存在某种牵连的印象。
2.2 这里没有任何值得纠缠之事。联盟不索取任何东西，不被欠任何东西，不保留任何东西，也不抱有任何期待。它日后无法主张任何权利、索取任何功劳、抱怨滥用，或对材料的定性提出异议，因为它没有保留任何可据以这样做的依据。
2.3 因此，使用这些材料的机构并非代表联盟行事。它只是利用了恰好由他人整理的公开信息。
3.1 该联盟的工作默认是公开的：
调查结果已公开发布在 https://phishdestroy.io 并且可以自由阅读；
该工具已作为开源软件在以下地址发布，采用 MIT 许可协议： https://github.com/phishdestroy 存档链接：2026-09-11 ↗;
该方法论在转介文件本身附件A的A节中有所阐述。16D，其中包括每种信息来源类型的权重和限制；
该联盟不接受任何捐赠，并自 2018. 以来一直公开表明这一立场。
3.2 唯一未予公开的材料是那些依法或出于安全考虑无法公开的内容：受害人和第三方的个人数据，以及可能导致消息来源遭受报复的信息。此类材料已以保密方式提交给有关当局，并在证据清单中予以标明。
3.3 该联盟以与要求审查他人行为相同的标准，欢迎对其自身行为进行审查，并已主动向相关主管部门提交了其数据处理情况，包括请求就数据处置事宜作出指示。
4.1 附件随提交材料一并提供；如文件中另有标注，也可通过安全渠道应要求提供。这些附件不会发布在任何公开地址上，也不应推断出此类地址：此类材料将直接提供给相关主管部门。
4.2 每次交付都会附带一个名为 SHA256SUMS 的文件，其中列出了所提供每个文件的 SHA-256 摘要，以及一个独立的 OpenPGP 签名 SHA256SUMS.asc。
4.3 签名密钥发布在 https://phishdestroy.io/.well-known/pgp-key.txt 以及在 keys.openpgp.org 上。该网站的标识出现在本系列中每份投稿的信头中。
4.4 任何收件人都可以随时验证，其手中的文件是否与发送的文件完全一致、未被篡改：
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS
4.5 这样做并非为了走过场。其目的是，如果日后对任何证据的准确性或完整性产生争议，该问题可通过计算而非争论来解决。
5.1 当局可能会看到“联盟”发表的调查报告，并觉得这些报告措辞直白、充满对抗性，有时甚至带有讽刺意味。这种印象是正确的。“联盟”正是有意采用这种写作风格，对此也不作任何辩解。
5.2 它同时也承认，这种语气并不适合监管或司法程序。 严肃的事项不应以竞选宣传的口吻来表达。提交给主管部门的调查结果应直截了当地陈述，同时承认其局限性，而不应让读者在理解实质内容之前，先因语气问题而对其产生质疑。
5.3 这正是联盟放弃署名权的原因。1条中的放弃声明，正是将内容与登记名录分离的机制：主管部门可以取其所需，用自己的语言重新表述，并将联盟的措辞及名称一并舍弃。 这样做并不会造成任何损失，而且联盟更倾向于这种做法。
5.4 该联盟还要求不要将登记册与方法混为一谈。 公开发表的语气虽具对抗性，但其背后的实践却并非草率。在整个转交审查过程中，推论与观察相区分，证词被明确标识为证词，对信息来源进行了权衡并指出了其薄弱之处，数据在呈现时附有其局限性说明，而联盟无法证明的观点则被作为向主管当局提出的问题，而非作为断言。 当证据与联盟自身的立场相悖时，联盟已明确指出这一点——参见并行转交文件的附件A第7,段及B节0。
5.5 该联盟解释了其行事方式与财务状况之间的关联，因为二者密不可分。 它不接受任何人的资金——不接受捐款、不接受赏金、不接受客户、不接受赞助商。正是这种拒绝，才使得直言不讳成为可能：一个需要保护收入来源的组织，必须在谈论其所依赖的各方时有所克制。由于没有任何需要保护的东西，该联盟也就无需有所克制。
这也是联盟得以延续的原因。除此之外别无其他动力。工作之所以能完成，只是因为它确实完成了；当参与其中的人停下脚步时，工作也就随之停止。
5.6 当局无需接受上述任何内容。此处作出说明，是为了避免将联盟公开工作的语气误解为对其目前审议的材料的重视程度。
信息、研究和观察。
报告中并未将任何内容作为联盟无权作出的认定。若某项内容系推断得出，转交文件中会明确说明；若某项内容基于证词，转交文件中会注明证人身份及相关限制；若联盟无法回答某个问题，报告中也会如实说明，并指明谁能回答该问题。
该联盟既不寻求任何补救措施、任何赔偿、任何承认，也不为自身或任何个人寻求任何结果。它仅要求由一个有权强制要求答复的机构，将转交文件中列出的问题提交给Valve公司。
我们要感谢那位将这些材料送达指定地点的人。这恐怕不会是一趟轻松的旅程。Valve财力雄厚，而Taylor Wessing则按小时收费——这种组合正是为了让像你这样的人在抵达终点前就放弃。
我们清楚自己在做什么，也清楚自己在写谁。正是Valve塑造了我们——我们怎么可能不理解他们呢？
PhishDestroy 这与Valve没有任何冲突。我们只是扼杀了迄今为止遇到的唯一一个如此规模的诈骗团伙——我们并没有刻意与Valve为敌。只是结果发现，所有线索最终都指向了他们。这并非冲突，只是网络拓扑关系使然。
Valve 无法解决PhishDestroy的问题，因为根本没什么可解决的。我们之间没有任何关联。关于他们牟利手段和暴利的资料大多是公开的——你只需要花足够的时间去查阅就能看到。 不妨将其视为一本“成功百科全书”：“如何规避制裁，以免俄罗斯黑客盗版我们的免费游戏（那些付费游戏他们反正也不会盗版）。”你应该能明白其中的意思。
我们不需要署名。
我们不需要注明出处。
我们不需要赢。
我们需要一位拥有实际权限的人士，向Valve提出这份转交文件中已列出的问题，并有权要求其作出答复。
就这样。这就是全部的要求。
案例将发布在：
https://steamdestroy.eth.limo （目前无法正常显示——必要时将予以修复）
我们将出席以下活动：
下文中的权限授予声明和研究文本是分别签署的JSON对象。每个独立的OpenPGP签名都对与其相邻的JSON文件的具体字节内容进行认证。权限声明用于授予权限；文本快照则用于标识并包含所发布的材料。
license-rights.json已签名的对象： 完整的 license-rights.json 该文件包含一份日期为28的公开权利授予声明 2026.。该声明授权在无需注明出处、通知或获得批准的情况下，复制、发布、编辑、翻译、整合及商业化利用所撰写的档案材料。此签名仅对权利声明本身进行认证，并不对每个网页或PDF文件的文本内容进行认证。
原始的签署版授权书将保持原样。无论是否更改网站、发布其他文件或关闭网站，均不得撤销或缩小其中现有的授权范围。第三方材料仍保留其自身的权利。
权利声明 JSON ↗ · license-rights.json的签名 ↗ · license-rights.json 的 SHA-256 ↗
gpg --verify license-rights.json.asc license-rights.json
sha256sum -c license-rights.json.sha256dossier-text.json已签名的对象： 完整的 dossier-text.json 文件。其中包含导出页面中实际可读的文本，位于 documents[].content.text，其中包含每页的标题、语言、来源网址、来源HTML哈希值、标题和参考文献。该 documents 该列表准确列出了本快照所涵盖的全部内容；各语言版本则单独列出。这是一份文本出版物，而不仅仅是一份哈希值列表。
每个条目都通过文件名和 SHA-256 在 documents[].pdf. 该 JSON 文件还通过 URL 和 SHA-256, 标识了原始权利声明，因此可以准确匹配已发布的文本、其 PDF 文件以及相应的权利授权书，无需猜测。链接到的外部数据库、原始图片以及未列入目录的页面均未嵌入此文本快照中。
完整的签名文本 JSON ↗ · dossier-text.json的签名 ↗ · dossier-text.json 的 SHA-256 ↗
gpg --verify dossier-text.json.asc dossier-text.json
sha256sum -c dossier-text.json.sha256在资料集首页，PDF 和 JSON 按钮用于导出研究资料包。在内页中，这些按钮用于导出该页面在发布语言中的版本。每个页面的 JSON 文件还都有各自的独立签名和 SHA-256文件，其名称在该 integrity 对象。要验证相关的 PDF 文件，请计算其 SHA-256，并将其与 pdf.sha256 经过验证的 JSON 中的值。该 PDF 受该摘要的约束；它不包含 PDF 格式的数字签名。
steam-dossier-{language}.content.json已签名的对象： 完整的特定语言的 JSON 文件，其中包括打包的章节正文，位于 documents[].content.text，章节页码范围、源语言、被排除的源文件清单以及精确的PDF摘要，详见 pdf.sha256. 这五个补充证据档案库仍在线上保持链接，并未打包在一起。作者撰写的研究文本得以保留；图文目录则被源链接所取代。
英语 JSON ↗ · OpenPGP标志（独立版）↗ · SHA-256摘要 ↗
德语 JSON ↗ · OpenPGP标志（独立版）↗ · SHA-256摘要 ↗
gpg --verify steam-dossier-en.content.json.asc steam-dossier-en.content.json
sha256sum -c steam-dossier-en.content.json.sha256签名指纹：129F C7F3 9C40 C69D 2EF3 C329 BFCF 9E8D D295 EE01
gpg --import pgp-key.txt
gpg --fingerprint 129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01请确认显示的指纹与上方的指纹一致，然后根据确切的 JSON 文件名验证签名。编辑已签名的 JSON 文件会更改已签名的对象，并使其原始签名失效。有效的签名用于识别已发布的字节；它并非对研究结果的独立验证。
PhishDestroy — 公开调查 — 所有权利均归于全人类
OFAC管辖区域的访问权限：禁止