Die Symbiose aus Steam-API-Betrug: Täuschung, Fahrlässigkeit und Verantwortlichkeit

1. Einleitung: Eine Symbiose aus kalkulierter Nachlässigkeit

Steam hatte schon immer keinerlei Probleme mit allen Entwicklungen – einschließlich aller Vorschriften und Änderungen (zum Beispiel den Handelssperren oder Handelsverboten nach einer Änderung des Spitznamens). Das sind zwar erzwungene Maßnahmen, aber sie sind wirkungslos und unvollständig. Valve hat kein echtes Interesse daran, dagegen vorzugehen, da das Unternehmen versteht, dass seine Plattform sowohl von Betrug und Glücksspiel als auch vom Rest der Schattenwirtschaft abhängt, die Steam über viele Jahre hinweg gefördert, entstehen lassen und bestehen lassen hat. Es geht nicht darum, dass sie Steam angreifen; es handelt sich um eine Symbiose – zum gegenseitigen Nutzen und von beiden Beteiligten dieser Symbiose verstanden.

Der berüchtigte „API“-Betrug (allgemein bekannt als „Offer Swapping“ oder „Replacement“) hat schon eine lange Geschichte. Phishing stützte sich schon immer auf den Austausch von Transaktionen. In seiner persistenten Form tauchte er etwa im Frühjahr 2019 auf (zuvor existierte er als eigenständiges Phishing, das sich schließlich zu einem Austausch mit einer Dauer von 1, 4 oder 8 Stunden entwickelte). Bis zum Frühjahr 2019 machten alle auf dem Betrugsmarkt aktiven Tools die gekaperte Sitzung „mobil“. Und so erlebte sie ihre enorme Popularität. Nach unseren vorsichtigsten Schätzungen ermöglichte dies einen Diebstahl von mindestens 10 Millionen Dollar und mehr. Man muss jedoch verstehen, dass dies generell Cyberkriminelle begünstigt. Steam schützt Betrüger, indem es das Spiel „Skins sind wertlos“ mitmacht. Die Einführung der Handelssperre erfolgte, nachdem sich der Mechanismus des Angebotsaustauschs bereits etabliert hatte. Die endlose 7-tägige Handelssperre wurde abrupt und ohne Grund eingeführt. Das ist keine Betrugsbekämpfung, sondern Regulierung.

Lassen Sie uns erklären, wie das „Offer Swapping“ funktioniert und warum Steam und seine Versuche, Betrug zu bekämpfen, eine einzige Farce sind (und schon immer waren).

2. Der Leitfaden 2017–2018: Fünf private Algorithmen

Um das Ausmaß der Operation zu verstehen, können wir einen Blick auf die privaten Betrugs-Panels werfen, die von 2017 bis zum Frühjahr 2018 aktiv waren. In diesem Zeitraum entwickelten die Entwickler fünf verschiedene Betriebsalgorithmen für die „Offer-Swap“-Methode. Dieses private Update umfasste alle fünf Algorithmen: Der Bot des Panels meldete sich im Konto des Nutzers an und arbeitete nach einem der fünf unten aufgeführten Algorithmen, wobei er die 2FA mithilfe der Guard-Validierung umging. Betrüger konnten diese Einstellungen (zu versendende Spiele, Filter für den Mindestangebotspreis usw.) direkt in ihrem Admin-Panel konfigurieren.

Technischer Anhang: Varianten des Angebotsaustauschs und Entwicklung des Panels

Algorithmus Nr. 1: Der klassische Tausch

• Überprüft das Angebot: Stammt es von einer Handelswebsite? Wenn ja, führt es die folgenden Schritte aus.
• Hebt das Angebot des offiziellen Handelsbots auf.
• Analysiert den Spitznamen, den Avatar und die Handelsnachricht vom offiziellen Bot-Konto und weist sie alle dem Bot-Konto des Betrügers zu.
• Versendet genau dasselbe Angebot, allerdings vom Konto des Betrügers aus, mit denselben Artikeln, demselben Spitznamen und demselben Avatar.

Algorithmus Nr. 2: Verzögerter Tausch

• Überprüft das Angebot: Stammt es von einer Handelswebsite? Wenn ja, führt es die folgenden Schritte aus.
• Das Angebot des offiziellen Bots wird nicht sofort storniert, sondern es wird abgewartet, bis der Nutzer es auf seinem Computer (nicht auf dem Handy) annimmt.
• Sobald der Nutzer es (auf dem Computer) akzeptiert, storniert der Bot das offizielle Angebot.
• Analysiert den Spitznamen, das Profilbild und die Handelsnachricht vom offiziellen Bot-Konto und weist sie dem Konto des Betrügers zu.
• Versendet genau dasselbe Angebot vom Konto des Betrügers aus, mit denselben Artikeln, demselben Spitznamen und demselben Avatar.
• Nimmt das Angebot (des Bots des Betrügers) auf dem Computer an.
• Infolgedessen bestätigt der Nutzer den Handel über seine mobile App, in der Annahme, dass die Nachricht vom offiziellen Bot stammt, obwohl sie in Wirklichkeit vom Betrüger stammt.

Algorithmus Nr. 3: Outgoing Hijack

• Der Nutzer sendet ein Angebot über den Handelslink des Bots des Betrügers und bestätigt es anschließend in seiner mobilen App.
• Der Bot des Betrügers storniert das Angebot des Nutzers.
• Sendet ein Angebot vom Konto des Nutzers, das alle seine Gegenstände enthält (die in Frage kommenden Spiele können im Admin-Bereich ausgewählt werden), an den Tausch-Link des Bots des Betrügers.
• Der Nutzer bestätigt diesen geänderten Handel anschließend über seine mobile App.

Algorithmus Nr. 4: Austausch in beide Richtungen

• Eingehende Angebote:
  • Wenn dem Nutzer ein Angebot gesendet wird, in dem er lediglich nach seinen Artikeln gefragt wird, findet der Tausch statt, sobald der Nutzer das Angebot auf seinem Smartphone annimmt (nachdem er es bereits auf dem Computer angenommen hat) [unter Verwendung von Algorithmus Nr. 2].
  • Wenn dem Nutzer ein Angebot sowohl für seine Artikel als auch für die Artikel der Gegenpartei gesendet wird, findet der Tausch statt, sobald der Nutzer dieses Angebot auf seinem Smartphone annimmt (nachdem er es bereits auf dem Computer angenommen hat).
• Ausgehende Angebote:
  • Wenn der Nutzer jemandem ein Angebot mit seinen eigenen Artikeln sendet und im Begriff ist, dieses über seine mobile App zu bestätigen, wird der Tausch durchgeführt. Die Überprüfung der Bestätigung des Nutzers über die mobile App erfolgt auf Seiten des Bots durch eine automatische Annahme des Tauschs.

Algorithmus Nr. 5: Inventory Sweeper

• Identisch mit Algorithmus Nr. 4, mit dem Unterschied, dass beim Austausch des ausgehenden Angebots zunächst die Gegenstände des Nutzers hinzugefügt werden, die bereits Teil des Tauschs waren, und anschließend das gesamte Inventar der ausgewählten Spiele darunter angehängt wird. Die Spiele, deren Bestände geleert werden können, lassen sich im Admin-Panel auswählen (CS, DOTA, H1Z1, PUBG).

3. Infrastruktur des Scam-Panels und Verwaltungsfunktionen

Betrugsnetzwerke werden wie seriöse SaaS-Unternehmen betrieben. Ihre Administrator-Dashboards verfügen über leistungsstarke, multithreaded-Funktionen, die für eine schnelle Datenexfiltration und -kontrolle ausgelegt sind:

• Tabelle mit detaillierten Protokollen Anzeige der aktiven SteamIDs, die gerade ausgetauscht werden: „SteamID“, „Inventar ($)“, „Verbleibende Zeit bis zum Ablauf der Tausch-Sitzung“, „Getauschte Angebote“, „Verwendeter Algorithmus“, „Preisfilter“, „Startzeit der Tausch-Sitzung“, „Anmerkung“, „Aktionen“.
• Funktionen zur Benutzerverwaltung: Anhalten, Fortsetzen, Löschen, Handelslink aktualisieren.
• Filter für Mindestpreisschwelle in USD (Angebote, deren Gesamtwert unter diesem Schwellenwert liegt, werden nicht ausgetauscht, um keine Zeit mit Artikeln von geringem Wert zu verschwenden). Diese Option ist auf der Registerkarte „Einstellungen“ verfügbar. Die Preise für CS, DOTA, H1Z1 und PUBG werden täglich zwischen 5:00 und 7:00 Uhr aktualisiert.
• Manuelle Aktualisierungen von Handelslinks falls der Nutzer seine Handels-URL ändert.
• Bot-Steuerung anbieten (Starten, Stoppen, Neustarten).
• Integrierter Steam-Browser (kostenpflichtiges Add-on).
• Und viele weitere Funktionen...

Das spezielle „maFile“-Phishing-Paket

Außerdem gibt es ein separates Bundle, das auf maFiles (Mobile Authenticator-Dateien) abzielt. Der Kern des Vorgehens besteht darin, einen SMS-Code abzufangen, eine zweitägige Wartezeit abzuwarten, die Skins zu leeren und das Konto vollständig zu kapern.

Das Opfer meldet sich auf einer Phishing-Website mit seinem Benutzernamen und Passwort an (die in Echtzeit überprüft werden). Anschließend erscheint eine Aufforderung zur Eingabe eines SMS-Codes (anstelle von Steam Guard), wobei die letzten beiden Ziffern der Telefonnummer angezeigt werden, an die die SMS gesendet wurde. Sobald ein gültiger SMS-Code eingegeben wurde, generiert das Admin-Panel automatisch einen maFile. Mit dieser Datei können Betrüger Steam-Guard-2FA-Codes generieren und Tauschgeschäfte direkt akzeptieren. Diese neu erstellte maFile unterliegt jedoch einer zweitägigen Handelssperre (Hold): Alle Tauschgeschäfte, die innerhalb der ersten zwei Tage nach der Erstellung der maFile initiiert werden, werden für 48 Stunden zurückgehalten und können vom Eigentümer storniert werden.

Sobald die neue maFile-Datei im Bedienfeld des Betrügers generiert wurde, beginnt der alte Mobil-Authentifikator des Opfers, ungültige Codes zu generieren, obwohl die App für das Opfer völlig normal zu funktionieren scheint. Der Text der eingehenden SMS, die der Nutzer erhält, lautet: „Der Code zum Deaktivieren oder Verschieben von Authenticator lautet: 13204“. Das Admin-Dashboard bietet außerdem Optionen zum Herunterladen der maFile, zur Überprüfung ihrer Gültigkeit, zur Generierung von 2FA-Codes (ähnlich wie beim Steam Desktop Authenticator – SDA), zum Auslösen eines Angebots mit allen Inventargegenständen per Knopfdruck oder zur Ausführung eines automatischen Angebots mit einer zweitägigen Sperrfrist unmittelbar nach der Erstellung der maFile. Darüber hinaus schaltet das Dashboard mit einer „Auto-Bypass-Phishing“-Lizenz die Funktionen „Auto-Phishing“ und „Kontoübernahme mit einem Klick“ frei. Der Übersichtlichkeit halber zeigt ein visueller Countdown-Timer direkt neben der maFile die verbleibende Wartezeit an.

3b. Operative Methoden

1) Kampf gegen Hautdiebstahl:

• Verzögerte Exfiltration: Warten Sie nach der Erstellung der maFile zwei Tage ab und senden Sie dann ein Handelsangebot an Ihr Zielkonto (über eine einzige Schaltfläche im Admin-Panel werden alle Skins an den Ziel-Handelslink gesendet). Voraussetzungen für den Erfolg: Das Opfer darf während dieser zwei Tage weder seine Telefonnummer noch sein Passwort ändern (da dies die maFile im Panel ungültig macht).
• Sofortiges automatisches Angebot: Senden Sie unmittelbar nach der Erstellung der maFile-Datei ein automatisches Angebot mit allen Bestandsgegenständen an den Ziel-Handelslink. Nehmen Sie dieses Angebot nicht sofort an, damit die Gegenstände nicht vorzeitig vom Konto des Opfers verschwinden. Warte einfach zwei Tage und nimm es dann an. Bei dieser Methode wird der Handel nicht durch eine Passwortänderung oder die Verknüpfung eines neuen mobilen Authentifikators unterbrochen. Wenn das Opfer jedoch seinen Authentifikator aktualisiert, wird die Sperrfrist zurückgesetzt, sodass erneut zwei Tage gewartet werden müssen. Voraussetzung für den Erfolg: Das Opfer darf das ausstehende Handelsangebot während der 48-stündigen Sperrfrist nicht manuell stornieren.

2) Bekämpfung von Kontodiebstahl (Phishing):

• Direktverkauf über das Konto: Verkaufen Sie das Konto mit vorinstalliertem maFile. Nach der Erstellung eines maFile ist es weitaus weniger wahrscheinlich, dass das Opfer einen Betrugsversuch vermutet, als dies bei herkömmlichem Phishing der Fall ist, das oft eine sofortige Sperrung des Kontos durch „Red Sign“ auslöst. Folglich haben Betrüger mehr Zeit, das Konto auf den Märkten weiterzuverkaufen. Es besteht jedoch immer das Risiko, dass das Opfer versucht, sich von einem neuen Browser oder PC aus anzumelden, und die maFile auf seinem Smartphone neu generiert oder sein Passwort zurücksetzt.
• Auto-Phishing (erfordert eine Phishing-Lizenz): Nachdem die maFile-Datei erfasst wurde, wird das Konto automatisch für die automatische Entnahme der Anmeldedaten in die Warteschlange gestellt und mit einem Community-Bann gesperrt. Phishing in Kombination mit der Erstellung einer maFile-Datei zielt ausschließlich auf den mobilen Steam Guard ab und entzieht diesem die Anmeldedaten.
• One-Click-Phishing (erfordert eine Phishing-Lizenz): Verhängt eine Community-Sperre und löst auf Befehl die automatische Löschung der Zugangsdaten aus.

Darüber hinaus lässt sich dieser Bot in die Cookie-Auswertung von OPSkins (sofern lizenziert) und die 2FA-Verifizierung integrieren. Das Backend ist multithreaded und in der Lage, unzählige Konten pro Sekunde zu verarbeiten.

4. Die Anatomie der Täuschung

Wie läuft der Betrug eigentlich ab? Ein Jugendlicher erhält auf Steam einen Link (die Domain könnte sich als Turnier, Airdrop oder Skin-Tauschbörse tarnen). Die Seite enthält eine Autorisierungsschaltfläche und äußerst raffinierte Anmeldeoberflächen: ein gefälschtes „Browser-im-Browser“-Popup-Fenster, das buchstäblich die „offizielle Steam-Domain“ anzeigt (unter Verwendung von about:blank (Tricks oder eigens angepasste Fenster, um die eigentliche Phishing-URL zu verbergen). Oder statt einer visuellen Fensterüberlagerung wird eine im Vollbildmodus angezeigte, perfekt nachgebildete Steam-Anmeldeseite geöffnet, die auf einer gefälschten Domain gehostet wird. Der Jugendliche meldet sich direkt an, indem er seinen Benutzernamen, sein Passwort und den Steam-Guard-Code eingibt. Und das war’s schon. Es passiert nichts – die Phishing-Seite leitet den Nutzer entweder weiter oder zeigt einfach erneut das Anmeldeformular an.

4a. Aber was ist hinter den Kulissen eigentlich passiert?

Auf dem Server des Angreifers wird unmittelbar nach der Authentifizierung eine Live-Sitzung erstellt – wodurch im Wesentlichen eine vollständig autorisierte Kontositzung eingerichtet wird. Das Skript fordert dann sofort einen „API“-Schlüssel für das Konto an (über steamcommunity.com/dev/apikey). Später führten Betrüger in laufenden Sitzungen integrierte Headless-Browser ein, zusammen mit Automatisierungsfunktionen für automatischen Spamversand, das Schließen von Support-Tickets und vieles mehr.

Um diesen Vorgang durchzuführen, benötigen Betrüger einsatzbereite Bot-Konten mit aktiven Handelsrechten und ohne Community-Beschränkungen. Dabei handelt es sich um automatisiert massenweise registrierte Konten (die mit genau 5 US-Dollar aufgeladen und 14 Tage lang „gereift“ wurden, um den Handel freizuschalten). Ja, sie werden mithilfe von Registrierungssoftware vollständig automatisch registriert. Steam erkennt diese Registrierungen natürlich (selbst bei Verwendung von Proxys); das System ist sich der softwaregesteuerten Aktivitätsmuster voll und ganz bewusst – Konten, die mit genau 5 $ aufgeladen werden, um das Limit aufzuheben, wobei das Guthaben völlig unberührt bleibt. Nach dem Kauf werden diese Konten in das Betrugs-Panel eingebunden. Von diesem Zeitpunkt an läuft der gesamte Angriff fast ausschließlich über reine „API“-Anfragen. Die einzige Ausnahme bildet der Verkauf der gestohlenen Gegenstände: In der Regel greifen die Betrüger manuell auf den Browser zu, stellen die Skins ein, überweisen das Geld und lassen es sich auszahlen (obwohl einige behaupten, eine vollständige End-to-End-Automatisierung erreicht zu haben, bei der ein Bot angeblich die Skins einstellt, Verkäufe abwickelt und Mitarbeiter, Spammer und Traffic-Generatoren automatisch bezahlt).

Die Authentifizierung erfolgt über eine brandneue IP und die per Software erstellte Sitzung stammt von einem statischen Hosting-/ISP-Pool – überwiegend Ihor. Die von PhishDestroy erhaltenen Daten und Dateien eines solchen Produkts weisen mehr als eine zufällig überlastete Adresse auf: Einige Ihor-IPs waren aufeinanderfolgend, darunter Adressen mit den Endungen .156, .157 und .158, und jede enthielt mehr als 1.000 aktive gekaperte Sitzungen gleichzeitig. Dies ist keine externe Schätzung; Es stammt aus der in den Produktdateien untersuchten Infrastruktur. Später tauchte auf der Seite des empfangenden Bots ein separates Schema auf: Ein Bot erhielt einen IP-Slot; Durch das Ersetzen des Bots in diesem Steckplatz wurde die Adresse beibehalten und sie effektiv etwa einen Monat lang zugewiesen. Dennoch könnte eine Serveranmeldung dennoch einen API-Schlüssel und eine unbestimmte parallele Sitzung erstellen. Ist das normales Spielerverhalten?

Darüber hinaus bleibt Ihr „API“-Schlüssel auf Steam auf unbestimmte Zeit gültig. Selbst wenn Sie ihn manuell löschen oder ändern, wird er bei jeder Hintergrundaktion automatisch neu generiert (beispielsweise bei Sitzungszustandsprüfungen, Inventarbewertungen oder routinemäßigen zeitgesteuerten Überprüfungen, von denen Betrüger zu Tausenden durchgeführt haben). Dieser dauerhafte Zugriff auf die Sitzung stellt sicher, dass Betrüger Konten in Echtzeit überwachen können, bevor Nutzer dies bemerken. Es kommt selten vor, dass Nutzer dies bemerken: In der Regel läuft ihre Sitzung irgendwann ab oder wird verworfen, sobald sie Opfer eines Phishing-Angriffs geworden sind. Wenn ein Opfer jedoch lediglich seinen „API“-Schlüssel löscht oder ändert, erstellt das Skript diesen sofort mithilfe der aktiven Sitzung neu.

Bei den Bots handelt es sich um massenhaft registrierte Konten mit einem Guthaben von 5 Dollar. Der Markt ist riesig, und der Wettbewerb ist so hart, dass die Konten fast zum Selbstkostenpreis von 5 Dollar verkauft werden. Steam erkennt beispielsweise eindeutig, dass sich das Smartphone eines Kindes – die aktive Sitzung, in der der Steam-Guard-Authentifikator läuft – in den USA befindet; es erkennt, dass sich dessen Computer und Browser in den USA befinden. Gleichzeitig erkennt es eine aktive Sitzung, die aus Russland oder den Niederlanden stammt (der Anbieter Ihor war lange Zeit der wichtigste Knotenpunkt, da es dort von diesen speziellen IP-Adressen nur so wimmelte).

Ja, der Diebstahl fand in großem Umfang statt. Steam äußerte sich dazu nicht. Als Kinder an den Support schrieben, wies Steam sie nicht einmal an, ihr Passwort zu ändern; stattdessen verschickte der Support allgemeine Standardantworten, in denen es hieß, die Skins seien weg und das sei „nicht unser Problem“. Später (etwa 2021–2022) begannen Betrüger, Support-Tickets automatisch selbst zu schließen: Ein Kind eröffnete ein Ticket, und das automatisierte Skript des Portals schloss es sofort wieder. Die Kinder glaubten, es sei der Steam-Support, der ihre Fälle abwies. Das war nicht der Fall. Aber Steam sah im Grunde tatenlos zu und ließ es geschehen.

Die Heuchelei von Steam und seinen „Anti-Betrugs“-Updates ist erschütternd, wenn man bedenkt, wie viele Daten Steam speichert: Es erfasst Länder, IP-Verläufe und Geräte-Fingerabdrücke. Steam hat bewusst verschwiegen, dass Konten aktiv gehackt wurden. Und dann gab es Vorfälle, bei denen Steam massenhafte Community-Sperren für die Konten der Opfer die bei aktiven Swap-Sitzungen erwischt wurden. Wow, toll gemacht, Steam! Steam hat die Konten der Betroffenen gesperrt, nur weil sie sich eine Proxy-IP mit anderen Sitzungen teilten, anstatt beispielsweise die unbefugten Sitzungen zu beenden. Und als die Betroffenen den Support kontaktierten, um gegen die Sperren Einspruch einzulegen, stellte sich der Support dumm und tat so, als könne er nichts sehen oder wissen. Aber wir wissen, dass sie alles sehen: eure Geräte, Hardware-IDs, Transaktionsprotokolle, Änderungsverlauf, frühere Passwörter, Telefonnummern, E-Mails und genau, wann und von welchem Gerät aus Änderungen vorgenommen wurden (das ist das Lustigste daran: Steam weiß, wann ein Konto gehackt wird – es protokolliert die genaue Geräte-ID, den Zeitstempel und die IP-Adresse des Angreifers).

4b. Die Illusion des „Trade Hold“

Also schreibt ein verängstigtes Kind an den Steam-Support: „Aaa, Hilfe, meine Skins wurden gestohlen! Ich wollte sie an meinen Freund, einen Händler oder eine Handelsplattform schicken, aber sie sind auf ein völlig anderes Konto mit genau demselben Spitznamen und Avatar gelandet – nicht auf das, das ich beim Tausch akzeptiert habe!“

Wie ist das eigentlich passiert?

Tatsächlich übernimmt der Betrüger den Tausch nicht sofort. In Ihrem Browser überprüfen Sie das ursprüngliche Tauschangebot, klicken auf „Bestätigen“ – Artikel gegen Artikel oder an das verifizierte Konto Ihres Freundes gesendet. Sie überprüfen die Details, und alles stimmt überein. Doch in dem kurzen Zeitfenster zwischen der Annahme des Tauschs auf Ihrem PC und dem Öffnen Ihres Smartphones zur Bestätigung – genau dann storniert der Bot des Betrügers, der mit demselben Namen und Avatar geklont wurde, den legitimen Tausch und sendet seinen eigenen.

Ja, auf dem Bildschirm Ihres Smartphones sehen Sie den vertauschten Tausch. Zunächst werden Ihre abgegebenen Gegenstände angezeigt, aber ganz unten erhalten Sie absolut nichts als Gegenleistung. Und die Nutzer ignorieren die Warnungen, weil sie bereits alles auf ihrem Computer überprüft haben. Die psychologische Präzision dieses Betrugs und die Anfälligkeit der Nutzer sind verblüffend, zumal die Opfer fest davon überzeugt sind, eine sichere Übertragung durchzuführen. Doch die Server von Steam erkennen eine Sitzung, die vor Wochen oder Monaten von einer völlig anderen IP-Adresse aus erstellt wurde, brechen einen aktiven Tausch ab und leiten sofort einen neuen ein – und behandeln diesen als völlig normale, legitime Transaktion. Das wirkt sehr seriös, nicht wahr?

Ich möchte betonen, dass schon lange bevor Steam seine umständlichen, ineffektiven Updates einführte, Handelsplattformen von Drittanbietern die Initiative ergriffen haben. Ihnen lag ihr Ruf am Herzen, und vielleicht hatten sie auch einfach Mitleid mit den betrogenen Kindern. Zum Beispiel die Website tradeit.gg Sie führten ein System ein, bei dem im Falle einer Stornierung ihres offiziellen Tauschangebots ein riesiger „CANCELED“-Alarm auf dem Bildschirm des Nutzers aufblitzte. Das war eine echte Lösung, weshalb wir sie als Pioniere anerkennen, die tatsächlich versucht haben, etwas zu unternehmen. Eine externe Website, die den Steam-API nutzte, konnte also einen Tauschvorgang in Echtzeit erkennen, Steam selbst jedoch nicht? Oder weigerten sie sich einfach, eine nicht autorisierte Sitzung zu beenden, die offensichtlich keinerlei Bezug zum rechtmäßigen Nutzer hatte? Ja, in den Support-Tickets von Steam hieß es immer wieder: „Deine Gegenstände sind weg, wir können dir nicht helfen“, und die Empfangs-Bots der Betrüger wurden selten gesperrt (und wenn doch, dann erst lange nach der Tat). Selbst nach der Einführung von Tausch-Sperren lag die durchschnittliche Sperrquote für aktive Betrugs-Bots (Sperren, die letztendlich der Wirtschaft von Steam zugutekommen, anstatt den Opfern ihre Gegenstände zurückzugeben) in Spitzenzeiten bei etwa 15–25 %. Unterdessen blieb der Hosting-Anbieter, bei dem die Bots betrieben wurden, Ihor, und bei diesen automatisierten Sitzungen wurden zu keinem Zeitpunkt rotierende Proxys aus dem privaten oder mobilen Bereich verwendet.

4c. Nachweis der statischen Infrastruktur

Das können wir beweisen. Wie ihr wisst, ist „PhishDestroy“ ein radikales Anti-Phishing-Projekt. Wir haben Phishing-Formulare in großem Umfang mit gefälschten Seed-Phrasen überflutet, um die Lade- und Verarbeitungskapazitäten ihrer Server auszureizen. Genau hier entstand eigentlich unser Konzept: Steam erlegt Beschränkungen für die Anzahl der Anmeldeversuche pro IP-Adresse auf. Vor Jahren setzten wir dies mithilfe kostenloser öffentlicher Proxys um, indem wir endlos viele ungültige Anmeldeversuche sendeten oder Konten ins Visier nahmen, die durch Steam Guard per E-Mail geschützt waren. Schließlich begann Valve, diese Versuche zu blockieren, und da wir keine kommerziellen Proxy-Netzwerke kauften, erwies sich diese Vorgehensweise mit der Zeit als immer weniger praktikabel. Wie wir nun jedoch erkennen, hätte dies äußerst störend wirken können – doch nach Valves verdrehter Logik galt die Störung der Aktivitäten von Betrügern als „unethisch“.

Durch unsere Belastungstests der Anmeldeportale der Betrüger – durch die deren Authentifizierungssysteme stundenlang komplett offline waren – konnten wir bestätigen, dass sie keine riesigen Proxy-Netzwerke für Privathaushalte nutzten (die Millionen von IP-Adressen umfassen würden). Stattdessen stützten sie sich auf statische Proxys und günstiges VPS-Hosting. Konkret war in ihrer Konfiguration genau 1 Bot einer IP zugeordnet, und diese IP-Adressen gehörten ausschließlich zu Ihor-VPS-Servern.

Fazit: Ein offener Tatort

Steam hat alles gesehen, wusste alles und hat einfach geschwiegen, anstatt Maßnahmen zum Schutz seiner Nutzer zu ergreifen. Was für eine Plattform, die behauptet, Sicherheit habe oberste Priorität.

Darüber hinaus könnte ein Angreifer mit einer aktiven Browsersitzung gleichzeitig Ihr Konto überwachen, Ihre Chats lesen oder Ihr Profil ändern (beispielsweise durch die Inszenierung einer gefälschten „VAC-Ban“-Meldung), um Sie in Panik zu versetzen, sodass Sie schnell alle Ihre Gegenstände an einen Freund oder ein „sicheres“ Zweitkonto übertragen – und damit direkt in die Tauschfalle tappen. Ja, er könnte Ihre privaten Chats mit Freunden aktiv mitlesen und Ihre Medien in Echtzeit direkt neben Ihnen einsehen. Offenbar betrachtet Steam parallele Sitzungen aus völlig unterschiedlichen Ländern als normales Verhalten für eine Gaming-Plattform (vielleicht mit der Begründung, dass es – da es „Family Sharing“ gibt – „in Ordnung ist, wenn sie stehlen, solange sie nicht gleichzeitig CS:GO spielen“).

5. Die „API“-Falle: Ein Passwortwechsel reicht nicht aus

Selbst wenn Sie Ihr Passwort geändert, aber vergessen haben, den aktiven „API“-Schlüssel zu widerrufen, könnten Betrüger Sie dennoch ausnehmen. Ja, ohne aktive Sitzung könnte ihr Skript zwar nicht mehr durch Ihr Profil navigieren oder Trades automatisch akzeptieren. Der offizielle Steam-Dienst „API“ ermöglichte es ihnen jedoch weiterhin, die wichtigsten Aktionen auszuführen: die Überwachung Ihrer Kontoaktivitäten und das Stornieren ausstehender Trades (über CancelTradeOffer).

Ausgestattet lediglich mit Ihrem „API“-Schlüssel würde der Bot Ihren legitimen Handel sofort erkennen und stornieren und umgehend ein gefälschtes Klon-Angebot von seinem eigenen Konto aus versenden (das auf Ihren Handelslink verweist). Ab diesem Zeitpunkt wartete das Skript einfach ab. Es konnte nicht in Ihrem Namen auf „Bestätigen“ klicken. Der gesamte Betrug beruhte darauf, dass Sie Ihre mobile App öffneten und den ausgetauschten Handel in Steam Guard freiwillig bestätigten. Und es funktionierte einwandfrei.

Es gibt eine wichtige technische Besonderheit: Mit nur einem „API“-Schlüssel (und ohne aktive Sitzung) kann das Skript einen Tausch nicht direkt in Ihre Steam-Guard-Bestätigungen einfügen. Es muss ein neues Tauschangebot senden. Das bedeutet, dass Sie zunächst manuell auf Ihrem PC auf „Tausch akzeptieren“ klicken müssen, bevor das Angebot in Ihrer Steam-Guard-App angezeigt wird.

Man könnte meinen, dieser zusätzliche Schritt würde die Erfolgsquote des Betrugs verringern – schließlich zeigt Steam bei der Annahme eines neuen Tauschs von einem Fremden deutliche Warnungen an („Ihr seid keine Freunde“, „Dieser Account wurde markiert“). Doch die Betrüger nutzten die menschliche Psychologie und das motorische Gedächtnis aus. Da das Opfer den ursprünglichen Tausch selbst initiiert hatte, war es mental bereits darauf vorbereitet, sich von seinen Gegenständen zu trennen. Als es sah, dass der Tausch plötzlich abgebrochen wurde und sofort ein neuer mit genau denselben Gegenständen, demselben Spitznamen und demselben Avatar eintraf, ging es davon aus: „Die Website hatte Verzögerungen und hat den Handel neu generiert.“

Der Nutzer klickte sich mechanisch und wie im Autopilot-Modus durch die Warnmeldungen von Steam, akzeptierte den gefälschten Tausch und bestätigte diesen auf seinem Smartphone. Der Betrug gelang nicht dadurch, dass die Sicherheitsvorkehrungen von Steam Guard umgangen wurden, sondern indem die Trägheit des Menschen ausgenutzt wurde.

6. Das Urteil: Komplizenschaft durch Konstruktionsweise

Unsere Kernbotschaft bleibt unverändert: Ein besonderer Dank gilt Valve und dessen Support-Mitarbeitern, denen es unglaublich gut passte, „nichts zu sehen und nichts zu wissen“.

Sie behaupten gerne, dass ihnen technisch gesehen die Mittel oder Fähigkeiten fehlen, um zu helfen. Die Realität sieht jedoch ganz anders aus. Um ein gekapertes Konto wiederherzustellen, benötigt der Support gar keinen uralten, verstaubten CD-Key von vor zehn Jahren. Steam erfasst eine Vielzahl anderer Parameter, die bei Streitigkeiten um die Wiederherstellung bewusst ignoriert werden. Die Rede ist von deiner eindeutigen Gerätekennung. Dabei handelt es sich nicht um eine einfache HWID, eine Festplatten-Seriennummer oder eine BIOS-Version – es ist ein einzigartiger Hardware-Fingerabdruck, den Steam abruft, wahrscheinlich auf derselben Kernel-/Tiefensystemebene wie ihr VAC-Anti-Cheat-System.

Wenn Valve sich also weigert, deinen Account wiederherzustellen, nur weil dir „ein CD-Key fehlt“, handelt es sich dabei nicht um eine technische Einschränkung. Es ist eine Geschäftsstrategie. Es ist der Wunsch, dich dazu zu zwingen, deine Spiele noch einmal zu kaufen, und eine rundheraus ablehnende Haltung gegenüber der Rückgabe der Kontrolle über wertvolle Skin-Bestände.

Das ist zwar unethisch, aber typisch für „Steam“. Das Gleiche gilt für ihr Support-System – einen billigen, ausgelagerten Kundendienst, dessen interne Richtlinien darauf ausgelegt sind, echte Hilfe oder auch nur grundlegende Höflichkeit zu vermeiden. Alles läuft auf vorformulierte Copy-Paste-Antworten und das einseitige Schließen von Tickets hinaus.

Aber Steam hat damit überhaupt kein Problem.

7. Fragen, die der Kongress an Valve stellen muss

Kongress-/Regulierungsbrief

Fragen Sie nicht nach Baseballkarten. Befolgen Sie das Geld- und Postenbuch.

Wenn Valve vor dem Kongress oder einer Regulierungsbehörde erscheint, sind Analogien kein Beweis. Bitten Sie um eidesstattliche, überprüfbare Antworten über den Wert, den es lähmt, über die Opfer, die es nicht wiederherstellen will, und über die Kontrollen, die es durchsetzen will.

Wie viel Spielerwert ist gesperrt?

Wie viele CS2- und Dota-Artikel befinden sich auf Handels- oder Community-gesperrten Konten? Wie viel Prozent des zirkulierenden Angebots und welchen Marktwert stellen sie dar, aufgeschlüsselt nach Jahr, Art der Beschränkung, Seltenheit des Artikels und Zeit des Einfrierens?

Nachfrage:Gesamtsummen, Methodik, Altersgruppen, eine unabhängige Prüfung und einsehbare Offenlegung der Bestände an verbotenen Bots. Wenn die Zahlen die Behauptung widerlegen, veröffentlichen Sie sie.

Warum werden die Beweise versteckt?

Welchem Sicherheitszweck dient es, wenn ein Inventar oder Profil nach einer Einschränkung nicht öffentlich wird? Hat sich die Sichtbarkeitsrichtlinie um das Jahr 2020 geändert, und warum sollte das Hauptbuch ausgeblendet werden, anstatt eine auffällige öffentliche Warnung anzuzeigen, die einem VAC-Hinweis ähnelt?

Nachfrage:Der Versicherungsverlauf, die interne Begründung, die Zugriffsregeln und der Einspruchspfad.

Warum werden Bot-Pipelines nicht bei der Geburt gestoppt?

Steam selbst gibt an, dass böswillige Benutzer häufig Scheinkonten betreiben und einen Schwellenwert von 5 US-Dollar verwenden. Was erkennt die automatische Registrierung, die Bereitstellung von Telefonen und Authentifikatoren, die Finanzierung genau am Schwellenwert, keine Spielaktivität, eine lange Ruhephase und dann maschinenähnliche Artikelströme?

Nachfrage:Falsch-positive und falsch-negative Raten – und ob Sperren erfolgen, bevor das Konto einen Wert hat, oder erst, nachdem wertvolle Gegenstände eingetroffen sind.

Ist „Duplizierung“ immer noch eine glaubwürdige Ausrede?

Die Begründung für die Duplizierung geht auf Restaurierungspraktiken und Support-Missbrauchsgeschichten aus der Mitte der 2010er Jahre zurück. Ein moderner Artikel verfügt über einen eindeutigen Datensatz, eine bekannte Übertragungskette und Handelssperren. Warum sollte eine Kopie entstehen, wenn derselbe Gegenstand einem nachweislich illegalen Empfänger entzogen und dem verifizierten Vorbesitzer erneut zugewiesen wird? In welchem ​​genauen Schritt erscheint im Jahr 2026 ein zweiter Artikel?

Nachfrage:Der Versicherungsverlauf seit 2014, eine reproduzierbare technische Erklärung und die Anzahl der tatsächlich durch Wiederherstellung verursachten Doppelvorfälle seit 2019.

Unter welcher Autorität wird der Gegenstand stillgelegt?

Behandelt Valve einen Skin als Eigentum, als Lizenz oder lediglich als Datenbankberechtigung? Welche Vertragsklausel und Rechtstheorie erlaubt eine dauerhafte Immobilisierung nach einem Diebstahl, verweigert aber gleichzeitig die Rückerstattung an den verifizierten Vorbesitzer? Eigentum, das von einem Dieb beschlagnahmt wurde, wird nicht zu Einnahmen der Polizei; Warum bleibt das digitale Äquivalent unter der ausschließlichen Kontrolle der Plattform, anstatt zum Opfer zurückzukehren?

Nachfrage:Benachrichtigung, Offenlegung von Beweismitteln, menschliche Überprüfung, Berufung, Fristen und die genaue Regelung, die die endgültige Entscheidung über jeden Gegenstand regelt.

Wen schützt das Verbot – und wie viel hat Valve bereits verdient?

In den offiziellen FAQ von Valve wird eine Steam-Transaktionsgebühr von 5 % sowie eine spielspezifische Gebühr von 10 % für CS2 und Dota aufgeführt, die der Käufer bei Community Market-Verkäufen zahlt. Steam Wallet-Erlöse können nicht von einer Bank abgehoben oder auf ein anderes Konto überwiesen werden. Die vertretbare Frage ist daher nicht, ob Valve bei jedem Weiterverkauf erneut den vollen Nominalpreis erhält, sondern wie viel Closed-Loop-Geld und kumulierte Gebühreneinnahmen mit einem Artikel verbunden waren, bevor er gesperrt wurde – und wie sich die Entfernung des Angebots auf die Knappheit und den Preis von allem, was noch übrig ist, auswirkt.

Nachfrage:Lebenslange Gebühren, die für jeden später eingefrorenen Artikel erhoben werden, Opferrückerstattungs- und Interventionsraten vor dem Verlust sowie ein Modell der Preiswirkung des eingefrorenen Angebots. Zählen Sie ein Verbot ohne Entschädigung nicht als Hilfe für das Opfer.

Verteidigt Valve eine Schuldvermutung?

Eine Hautbeschränkung ist keine Gefängnisstrafe; Die Analogie testet das Verfahren. Wenn Valve oder seine Führungskräfte mit einer ungeklärten Strafe, nicht offengelegten Beweisen und einer nominellen Berufung konfrontiert wären, die mit „Lesen Sie das Gesetz“ beantwortet wurde, würden seine Anwälte das als Gerechtigkeit bezeichnen? Bei hochwertigen Beständen kann Valve jedoch als Ankläger, Richter und Verwalter des eingefrorenen Werts auftreten. Welche unabhängige Prüfung behebt diesen Konflikt?

Nachfrage:Die genaue Regel, mutmaßliche Handlung, Zusammenfassung der Beweise, menschlicher Gutachter, begründete Entscheidung, unabhängige Eskalation und Offenlegung, wie mit eingefrorenen Werten umgegangen wird.

Warum ist ein sinnvoller Einspruch nicht zugänglich?

Eine Standardantwort und ein breiter Link zum Steam Subscriber Agreement sind keine Tatsachenfeststellung. Warum kann einem normalen Verbraucher die Behauptung und die Beweise verweigert werden und er dann mit technischen, rechtlichen und finanziellen Hürden konfrontiert werden, die es unmöglich machen, eine automatisierte oder irrtümliche Einschränkung anzufechten?

Nachfrage:Kostenloser menschlicher Einspruch, eine Entscheidung in einfacher Sprache, Antwortfristen, externer Zugriff auf Streitigkeiten und Statistiken zu automatisierten Sperren, menschlichen Überprüfungen, Rückabwicklungen und wiederholten Vorlagenantworten.

Community, Wiederherstellung und die Sitzung Valve hat beschlossen, nicht zu töten

Was ist die „Community“ in Steam Community?

Nachdem der Generalstaatsanwalt von New York im Februar 2026 gegen Valve verklagt hatte, veröffentlichte Valve eine Steam-Unterstützungserklärung, die sich an Benutzer richtete und Auswirkungen auf Benutzer und den öffentlichen Prozess berief. Aber welche formelle Macht hat diese „Gemeinschaft“, wenn sich Plattformentscheidungen auf die wertvollen Bestände dieser Benutzer auswirken – Abstimmungen, Begründungen, politische Beratung, Aufsicht oder sogar Einblick in die Berichtsergebnisse?

Nachfrage:Definieren Sie die Governance-Rechte der Community und veröffentlichen Sie Konsultationsaufzeichnungen, berichten Sie über Ergebnisse und einen unabhängigen Benutzeraufsichtsmechanismus – oder geben Sie zu, dass „Community“ eine Marke und keine Repräsentation ist.

Warum übernimmt die normale Durchsetzung die VAC-Geheimhaltung?

Durch die Geheimhaltung von Anti-Cheat-Erkennungssignaturen kann eine Erkennungsmethode geschützt werden. Anders verhält es sich mit einer Gemeinschafts- oder Handelsbeschränkung. Welches Sicherheitsrisiko hindert Valve daran, die Regel, den Zeitstempel, die angebliche Aktion und die Beweiskategorie zu benennen? Wie viele Benutzerberichte und Bot-Berichte führen zu Maßnahmen und welche Integritätskontrollen gelten für Mitarbeiter, Auftragnehmer und Freiwillige?

Nachfrage:Fehler- und Umkehrraten, Report-to-Action-Statistiken, unabhängige Integritätsprüfungen, Regeln für Interessenkonflikte und aggregierte Disziplinarergebnisse.

Ist die Kontowiederherstellung auf Beweise ausgelegt, die Benutzer wahrscheinlich nicht behalten werden?

Laut Steam kann ein im Einzelhandel erhältlicher CD-Key den Besitz begründen und empfiehlt, ihn zu behalten; Es heißt auch, dass ein verifiziertes Telefon zusätzliche Wiederherstellungsoptionen bietet. Warum einen zehn Jahre alten physischen Schlüssel verlangen, wenn Valve möglicherweise Zahlungs-, historische E-Mail- und Telefon-, Geräte- und Anmeldedatensätze enthält? PhishDestroy geht intern davon aus, dass 15–20 % der Anspruchsberechtigten nach einem solchen Antrag keine vollständige Genesung erreichen, obwohl einige immer noch über den langjährigen Anbieter und den Computer schreiben und die E-Mail oder das Telefon kontrollieren. Valve kann diese Schätzung durch Veröffentlichung seiner Daten widerlegen.

Nachfrage:Versuche, Genehmigungen, Ablehnungen und abgebrochene Verfahren nach Beweisart; Ergebnisse für Antragsteller, die eine E-Mail, ein Telefon oder ein Gerät behalten; und eine nachprüfbare Erklärung der Signalgewichtung.

Warum das Opfer bestrafen, anstatt die feindselige Sitzung zu widerrufen?

In der untersuchten Infrastruktur hielten mehrere aufeinanderfolgende Ihor-IPs – darunter Adressen mit den Endungen .156, .157 und .158 – jeweils mehr als 1.000 aktive gekaperte Sitzungen ab, während die Besitzer anderswo auf bekannten Geräten blieben. Diese Sitzungen könnten API-Schlüssel neu erstellen, warten, Trades ändern und den Chat parallel lesen. Der Steam Subscriber Agreement droht mit der Kontokündigung wegen IP-Proxying, das den Wohnsitz verschleiert, auch „für jeden anderen Zweck“. Warum löst ein Server-Proxy mit tausend unabhängigen Konten nicht einmal einen Sitzungssperren aus?

Nachfrage:Widerrufen Sie automatisch eine Hosting-Sitzung, ihren API-Schlüssel und Bestätigungen, wenn nicht verbundene Konten in großem Maßstab zusammengefasst werden. Dann ist eine saubere Neuauthentifizierung erforderlich, ohne das Opfer einzuschränken.

Sieben Jahre, 79 Steam Mitarbeiter und 1,16 Millionen Sollstunden: Scheitern oder Geschäftsmodell?

PhishDestroy kann Pools von mehr als 1.000 Sitzungen auf einer IP, aufeinanderfolgenden Adressen bei einem Anbieter und separaten stabilen IP-Slots für den Empfang von Bots erstellen. Das serverseitige Muster löste jedoch nicht die offensichtliche Reaktion aus: Widerrufen Sie die Hosting-Sitzung, machen Sie den API-Zugriff ungültig und fordern Sie eine saubere Authentifizierung vom Eigentümer. Valve erzwingt bereits Regeln für die gleichzeitige Nutzung von Spielsitzungen. Warum wurde keine entsprechende Risikologik angewendet, wenn eine russische Hosting-Adresse zwischen dem Eigentümer und Steam lag und tausend unabhängige Konten besaß?

In einem Schnappschuss einer Organisation aus dem Jahr 2021, der versehentlich durch den Kartellrechtsstreit Wolfire im Jahr 2024 aufgedeckt wurde, wurden Berichten zufolge 79 Personen in der Kategorie „Steam“ von Valve und ein Gesamtbruttogehalt von 76.446.633 US-Dollar aufgeführt – etwa 968.000 US-Dollar pro gelistetem Mitarbeiter als Kategoriedurchschnitt, nicht als Einzelgehalt. Dieser Schnappschuss beweist nicht, dass 79 Sicherheitsingenieure am Angebotsaustausch gearbeitet haben, dass die Mitarbeiterzahl konstant geblieben ist oder dass die gesamte Mitarbeiterzeit für dieses Problem zur Verfügung stand. Es legt den Maßstab fest, den Valve erklären muss.

≈88 MonateStändiger Angebotswechsel für mobile Sitzungen vom Frühjahr 2019 bis zu dieser Veröffentlichung: etwa 2.700 Tage

79 PersonenGemeldeter Snapshot der Steam-Kategorie 2021 – keine Zählung durch das Sicherheitsteam

1.162.880Veranschaulichende Kapazitätsstunden: 79 × 14.720 – keine beanspruchten Betrugsermittlungsstunden

Run Liability Audit Simulate Attack Sequence

Parallelsitzung

Handelsströme

Sicherheitsmaßnahmen

An: Die Opfer von Vermögensdiebstahl und das irreführende Rechtsteam von Valve

Sie haben versucht, Gerichte und Spieler gleichermaßen davon zu überzeugen, dass der Diebstahl von Gegenständen ausschließlich die Schuld „dummer Kinder“ ist und dass die Architektur Ihrer Plattform keinerlei Verantwortung trägt. Lassen Sie uns die Unternehmensmasken fallen und in einfachsten Worten erklären, warum Ihr hochentwickeltes, äußerst profitables Phishing-Ökosystem ausschließlich aufgrund der architektonischen Sicherheitslücken von Steam existiert. Phishing ist lediglich der Diebstahl eines Schlüssels zur Haustür. Doch die Tatsache, dass sich hinter dieser Tür ein völlig unbewachter Tresorcontroller befindet – das ist allein die Schuld der Entwickler von Valve.

Betrachten wir einige Analogien zu Ihrem Sicherheitsmodell, um das schiere Ausmaß dieses Versagens zu verstehen.

1. Du bist nicht „GitHub“ (Das Entwickler-Märchen)

Valve rechtfertigt seine unsichere „API“ mit der Behauptung, Steam sei eine „offene Plattform für Entwickler“. Okay, vergleichen wir euch mal mit GitHub. Was passiert, wenn man versucht, auf GitHub einen Personal Access Token (PAT) zu generieren?

• Das System fordert Sie auf, Ihr Passwort erneut einzugeben.
• Sie werden zur Eingabe eines 2FA-Codes aufgefordert.
• Sie sind verpflichtet, die Bereichsberechtigungen (Trennung der Berechtigungen) für das Token ausdrücklich zu aktivieren.
• Entscheidend ist, dass Sie ein Ablaufdatum (TTL) für das Token festlegen müssen.

Und was macht Steam? Mit einem einzigen Klick vergibt es stillschweigend einen unbegrenzten, allmächtigen Schlüssel, der keinerlei Bestätigung erfordert und uneingeschränkten Lese- und Schreibzugriff gewährt, um Tauschangebote für immer zu stornieren und zu ersetzen. Ihr seid keine offene Plattform für Entwickler; ihr seid ein offenes Tor.

2. Ihr seid noch schlimmer als sanktionierte Krypto-Mixer (das „Tornado Cash“-Syndrom)

Wenn Steam keine Plattform für Entwickler ist, dann ist es vielleicht eine Finanzbörse? Wir wollen euch nicht mit seriösen Börsen vergleichen, sondern mit den zwielichtigen Krypto-Mixern und sanktionierten Plattformen, die das US-Finanzministerium und das FBI wegen Geldwäsche zerschlagen (wie beispielsweise Tornado Cash, Bitzlato oder Garantex).

Willst du die ultimative Ironie wissen, Gabe? Selbst illegale, sanktionierte Krypto-Waschbetriebe im Dark Web sorgen für eine bessere Sicherheit bei der „API“ als Steam! Selbst die Administratoren von Untergrund-Mixern verstehen, dass sie, um einen „API“-Schlüssel zu generieren, mit dem sich Nutzerguthaben verwalten lassen, den Nutzer zwingen müssen, einen 2FA-Code einzugeben, per E-Mail zu bestätigen und den Schlüssel an bestimmte IP-Adressen zu binden. Dennoch erlaubt Valve – ein legales, milliardenschweres amerikanisches Unternehmen – einem unsichtbaren Skript, das auf einem Server in Russland läuft, mit einem einzigen Klick dauerhaften, bestätigungsfreien Zugriff auf Nutzerinventare im Wert von Zehntausenden von Dollar zu erlangen. Setzen Cyberkriminelle tatsächlich höhere Sicherheitsstandards durch als eure Entwickler, die Millionen-Dollar-Gehälter beziehen?

3. Die Graumärkte erwiesen sich als schlauer als ein milliardenschweres Unternehmen

Das Lustigste daran sind die von Drittanbietern betriebenen Marktplätze für das Glücksspiel und den Handel mit Skins (wie OPSkins oder das ehemalige BitSkins), gegen die Valve so aggressiv vorgegangen ist. Bereits 2017 standen sie vor genau demselben Problem mit dem „API“-Offer-Swap-Ersatz. Und wissen Sie, was sie getan haben? Sie – eine kleine Gruppe unabhängiger Entwickler ohne Milliardenbudgets – haben das Problem einfach innerhalb weniger Tage durch die Einführung von Bestätigungsschritten behoben und damit die Machenschaften der Betrüger sofort zunichte gemacht.

In der Zwischenzeit führte Valve sieben Jahre lang Experimente mit Kindern durch, um zu beobachten, wie lange Nutzer immer wieder neue Skins kauften, um gestohlene zu ersetzen, und wie viel illegales Kapital Betrüger über diesen Kreislauf waschen konnten.

4. Geniale Notlösungen statt echter Abhilfe

Anstatt die Sicherheitslücke zu schließen, führte Valve „geniale“ Notlösungen ein. Eine 7-tägige Handelssperre. Eine 4-stündige Handelssperre beim Ändern des Spitznamens. 7 Jahre lang habt ihr eine offene Fraktur mit einem Pflaster behandelt. Ein gestohlenes Messer wurde dem Opfer nie zurückgegeben; es wurde einfach für immer auf einem gesperrten Bot eingefroren, wodurch das zirkulierende Angebot künstlich verringert und der Marktwert in die Höhe getrieben wurde. Es war der perfekte Geschäftszyklus: Betrüger stehlen, Valve sperrt, das Angebot sinkt, die Preise steigen, und Gabe kassiert bei jedem neuen Verkauf eine lukrative Transaktionsgebühr.

Die wichtigste Frage, die Valve nicht beantworten kann:

STEAM, WARUM UM ALLES IN DER WELT KONNTET IHR NICHT EINFACH EINE VERPFLICHTENDE BESTÄTIGUNG ODER EINEN MOBILEN PUSH IN STEAM GUARD EINBAUEN, UM EINEN „API“-SCHLÜSSEL ZU GENERIEREN – EIN ALLMÄCHTIGES WERKZEUG, DAS VIRTUELLE VERMÖGENSWERTE IM WERT VON TAUSENDEN VON DOLLAR VERWALTET?!

Sie zwingen die Nutzer dazu, den Verkauf einer 3-Cent-Sammelkarte in Ihrer mobilen App zu bestätigen. Dennoch haben Sie sieben Jahre lang zugelassen, dass ein unsichtbares Skript ohne jegliche Benachrichtigung die dauerhafte Kontrolle über den gesamten Bestand Ihrer Nutzer erlangte. Das ist kein „Phishing“. Das ist vorsätzliche, kalkulierte Fahrlässigkeit, und Ihre Nutzer haben den Preis dafür bezahlt.

Die „Cryo-Chamber“-Chroniken: Was Valve in sieben Jahren übersehen hat Mit der Maus darüberfahren, um den Text zu lesen

Text ausgeblendet. Mit der Maus darüberfahren, um ihn anzuzeigen

Sollte die Geschäftsleitung von Valve ihre Sicherheitsingenieure im Frühjahr 2017 illegalen Kryogenik-Experimenten unterzogen und sie erst heute wieder aufgeweckt haben – dann ziehen wir alle unsere Behauptungen zurück. Das würde alles erklären. Die Wissenschaft erfordert Opfer (in diesem Fall die Bestände der Nutzer).

Sollten Ihre Mitarbeiter jedoch während dieser sieben Jahre bei vollem Bewusstsein gewesen sein und ihre Gehaltsschecks erhalten haben, haben wir schlechte Nachrichten für Sie. Während Ihre Entwickler 1,16 Millionen Stunden damit verbrachten, „API“-Schlüssel zu sichern, ohne eine einfache Steam-Guard-Bestätigung zu implementieren, hier ein kurzer Überblick darüber, was der Rest der Menschheit in der Zeit, in der Sie in Stasis waren, erreicht hat:

Technologische und wissenschaftliche Durchbrüche der Menschheit (2017–2024):

• Die KI-Revolution: Die Menschheit hat generative neuronale Netze erfunden. OpenAI brachte ChatGPT auf den Markt, das Anwaltsprüfungen bestand, lernte, komplexen Code zu schreiben, Krankheiten zu diagnostizieren und fotorealistische Bilder zu malen, und damit die Weltwirtschaft grundlegend veränderte.
• Weltraumforschung: Die NASA hat den Rover „Perseverance“ erfolgreich auf dem Mars gelandet, den Hubschrauber „Ingenuity“ in der Marsatmosphäre fliegen lassen und das James-Webb-Weltraumteleskop in die Umlaufbahn gebracht, das einen Blick zurück bis zum Anbeginn der Zeit ermöglicht. SpaceX hat es geschafft, fallende 50 Meter lange Raketenbooster mit riesigen mechanischen Armen mitten in der Luft abzufangen.
• Medizin: Die Welt sah sich mit der COVID-19-Pandemie konfrontiert. In Rekordzeit sequenzierten Wissenschaftler das Genom des Virus, entwickelten und testeten bahnbrechende mRNA-Impfstoffe und impften Milliarden von Menschen, um die Pandemie einzudämmen.
• Der Quantensprung: Google und IBM haben offiziell die „Quantenüberlegenheit“ erreicht und Quantencomputer entwickelt, die Gleichungen, für deren Lösung klassische Supercomputer Tausende von Jahren benötigen würden, in Sekundenschnelle lösen können.
• Hardware-Revolutionen: Apple hat die Prozessorarchitektur, auf die das Unternehmen jahrzehntelang gesetzt hatte, aufgegeben und seinen eigenen Hochleistungs-Chip der M-Serie von Grund auf neu entwickelt. Gleichzeitig ist es Valve selbst gelungen, die innovative Steam-Deck-Konsole zu entwickeln, herzustellen und auf den Markt zu bringen.

„Erfolge“ des Steam-Sicherheitsteams in denselben sieben Jahren:

• Es wurde eine 7-tägige Handelssperre eingeführt (die Diebstähle konnten dadurch jedoch nicht verhindert werden).
• Habe 5 Jahre lang darüber nachgedacht und dann nach einer Änderung des Spitznamens den Handel mit Gegenständen für 4 Stunden gesperrt (was bei Betrügern für Gelächter sorgte).

Zusammenfassung: In der Zeit, die die Menschheit benötigte, um den Mars zu erreichen, künstliche Intelligenz zu erfinden, eine globale Pandemie zu überwinden und Quantencomputer zu bauen, gelang es Valve – einem milliardenschweren Unternehmen – nicht, ein einziges Popup-Fenster mit der Schaltfläche „In der mobilen App bestätigen“ auf der Seite „dev/apikey“ hinzuzufügen.

Meine Herren von Valve, willkommen in der Zukunft. Euer Kryoschlaf ist vorbei. Die Menschheit hat einen großen Sprung nach vorne gemacht. Lasst uns endlich die Zwei-Faktor-Authentifizierung für eure „API“ einrichten, damit Kinder nicht länger Millionen von Dollar aufgrund eurer unternehmerischen Trägheit verlieren. Oder sollen wir noch weitere sieben Jahre warten, bis Elon Musk den Mars kolonisiert?

Die Vertuschung der „API“ auf Steam: Wie Valve heimliche Spionage legalisierte

Valve hat die letzten sieben Jahre damit verbracht, die Schuld für den massiven Betrugsfall rund um die „API“-Handelsersetzung auf seine Nutzer abzuwälzen. In der Standardantwort des Steam-Supports werden die Opfer abgewimmelt, indem behauptet wird, sie seien einfach auf Phishing hereingefallen und hätten ihre eigenen Konten kompromittiert.

Das ist eine kalkulierte Lüge des Unternehmens. Was Valve als „Account-Diebstahl“ bezeichnet, ist in Wirklichkeit eine ununterbrochene, automatisierte „Man-in-the-Middle“-Überwachungsaktion (MITM), die durch die eigene mangelhafte Infrastruktur des Unternehmens ermöglicht wird.

Konto-Diebstahl vs. heimliche MITM-Spionage

Die Steam-Nutzungsbedingungen verbieten die Verwendung automatisierter Skripte ausdrücklich. Dennoch drückt Valves Backend ein Auge zu, wenn genau diese Skripte Nutzersitzungen kapern.

• Standard-Diebstahl: Eine Anmeldung von einem nicht autorisierten Gerät aus führt zu einer Sperre in der Community, wobei das Konto gesperrt wird und das Inventar des Nutzers erhalten bleibt.
• API Spionage: Ein bösartiger Server baut eine parallele Verbindung auf und überwacht das Konto rund um die Uhr im Hintergrund, ohne dass dabei Warnmeldungen oder Sperren ausgelöst werden.
• Die Lüge der Schnittstelle: Während eines Tauschs zeigt die Steam-App eine legitime Transaktion an und zwingt den Nutzer dazu, einen Tausch zu autorisieren, den ein unsichtbares Skript innerhalb von Millisekunden storniert und ersetzt.

Die Phantomvereinbarung: Wie Steam über deine „Einwilligung“ lügt

Sprechen wir mal über die Lieblingsausrede des Steam-Supports, wenn er sich weigert, deine gestohlenen Gegenstände zurückzugeben: „Du bist für die Sicherheit deines Kontos und die darauf durchgeführten Aktionen verantwortlich.“

Sie unterstellen, dass Sie als Nutzer den Bedingungen zugestimmt haben, die diesen Diebstahl ermöglicht haben. Wirklich? Sie haben diese Seite mit den Entwicklerbedingungen noch nie gesehen: https://steamcommunity.com/dev/apiterms. Sie haben nie auf „Zustimmen“ geklickt. Ein Hacker hat diesen Vertrag in Ihrem Namen akzeptiert – Bruchteile einer Sekunde, nachdem er sich von einer russischen IP-Adresse aus in Ihr Konto eingeloggt hatte.

Deshalb fordern wir jeden Anwalt oder Vertreter von Valve auf, uns genau aufzuzeigen, an welcher Stelle in der Steam-Nutzungsvereinbarung es heißt: „Durch die Nutzung von Steam stimmen Sie einer rund um die Uhr stattfindenden Hintergrundüberwachung Ihres Kontos oder des Kontos Ihres Kindes durch einen automatisierten Server mit Standort in Russland zu.“

In 90 % der Fälle von Handelssubstitution weiß das Opfer nicht einmal, was ein „Web-API“-Schlüssel ist. Es hat noch nie einen verwendet. Dennoch hat Valve sieben Jahre lang untätig zugesehen und eine Lösung völlig ignoriert, die die Community seit dem ersten Tag lautstark fordert: Führt einfach eine obligatorische Steam-Guard-Bestätigung ein, um den „API“-Schlüssel zu generieren!

Steam: Kinder sollten nicht gezwungen werden, Hacker zu unterstützen

Stellt euch einen ganz normalen Teenager aus Europa vor. Er spielt Videospiele, spart Geld für seine Lieblings-Skins und macht irgendwann einen Fehler – er meldet sich auf einer Phishing-Seite an. In einem normalen digitalen Ökosystem ist das Vorgehen einfach: Das Konto wird automatisch gesperrt (Community-Ban), Passwörter werden zurückgesetzt und der Zugriff sicher wiederhergestellt. Der Jugendliche erkennt seinen Fehler, aber das System schützt ihn vor fatalen Folgen.

Aber bei Steam läuft alles anders. Anstatt die verdächtige Aktivität zu blockieren, öffnet Valve stillschweigend eine Hintertür. Ein Server aus einem sanktionierten Land (Russland) verschafft sich parallel dazu unbefugten Zugriff auf das Konto dieses Kindes. Ohne jegliche zusätzliche Bestätigung, ohne eine einzige Steam-Guard-Abfrage, generiert ein fremdes Skript einen Web-API-Schlüssel. Es akzeptiert im Namen des Nutzers die Nutzungsbedingungen und beginnt, dessen Chats, Tauschgeschäfte und Inventar rund um die Uhr zu überwachen.

Ein Teenager aus der EU hat einer verdeckten Überwachung niemals zugestimmt. Er ist nicht verpflichtet, Hacker aus einem von der OFAC sanktionierten Gebiet zu unterstützen, nur weil ein milliardenschweres Unternehmen zu faul ist, seine eigene „API“ zu sichern. Indem Valve die gestohlenen Skins einbehält und sich weigert, sie wiederherzustellen, vertuscht das Unternehmen seine infrastrukturelle Nachlässigkeit und legalisiert damit faktisch den Abfluss digitaler Vermögenswerte europäischer Bürger in sanktionierte Gebiete.

Warum die Sicherheitsvorkehrungen von Steam bei „API“ und „Token“ gegen das Gesetz verstoßen

Steam ermöglicht es Dritten, „API“-Schlüssel zu generieren und Sitzungstoken über MitM-Proxys zu kapern, ohne dass der Nutzer darüber informiert wird oder eine 2FA-Prüfung stattfindet. Diese Nachlässigkeit verstößt direkt gegen wichtige Datenschutz- und Verbraucherschutzgesetze:

• 🇪🇺 EU-GDPRe (Art. 25 und 32): Fordert „Security by Design“ und angemessene technische Schutzmaßnahmen. Die Generierung kritischer Zugriffsschlüssel ohne 2FA stellt einen schwerwiegenden Sicherheitsmangel dar.
• 🇺🇸 US-FTC-Gesetz (§ 5): Ahndet „unlautere Praktiken“ und mangelnde „angemessene Datensicherheit“. Die FTC geht regelmäßig gegen Plattformen vor, die bei kritischen Kontoaktionen keine Multi-Faktor-Authentifizierung (MFA) einsetzen.
• ⚖️ EU-Richtlinie 2019/770: Digitale Dienste müssen die grundlegenden Sicherheitserwartungen der Verbraucher erfüllen. Die seit sieben Jahren bestehende Sicherheitslücke „API“ bei Steam verfehlt diese Anforderungen völlig.
• 🛡️ NIS-2-Richtlinie: Schreibt strenge Cyber-Hygiene vor, einschließlich obligatorischer MFA für die Zugriffsverwaltung, was Valve bei der Erstellung von „API“ ignoriert.

Fazit: Wenn eine Plattform Ihre „API“-Schlüssel ohne jegliche Warnung oder Bestätigung an eine Proxy-Sitzung weitergibt, ist das nicht nur ein Fehler – es ist ein schwerwiegender Verstoß gegen die Compliance-Vorschriften.

Sind Sie bereit, sich zu wehren? Erstellen Sie Ihre Widerspruchserklärung

Akzeptieren Sie nicht die automatisierten Ablehnungen der Nutzungsbedingungen. Ziehen Sie Valve gemäß internationaler Verbraucher- und Datenschutzgesetze rechtlich zur Verantwortung. Nutzen Sie unseren kostenlosen, interaktiven Generator, um sofort eine formelle, rechtliche Anfechtungserklärung (PDF) für Ihre Region zu erstellen.

Benachrichtigung erstellen und als PDF speichern

Behält Valve Protokolle auf Sitzungsebene für die Authentifizierung, die Erstellung von API-Schlüsseln, die Stornierung und Ersetzung von Angeboten, Bestätigungen, den IP-Verlauf und Supportmaßnahmen? Wenn diese Datensätze existieren, könnte Valve dann nachweisen, wann es die Ihor-Pools zum ersten Mal gesehen hat und warum es sie aktiv gelassen hat? Wenn sie nicht existieren, warum hat eine Plattform, die hochwertige Bestände verwaltet, es dann nicht geschafft, den für die Untersuchung einer bekannten Angriffsklasse erforderlichen Prüfpfad zu bewahren?

Wie viele Nutzer – einschließlich Minderjähriger, soweit bekannt – haben in etwa 88 Monaten Tickets speziell für das Angebot eines Ersatzangebots geöffnet? Wie viele Tickets zeigten eine ausländische Parallelsitzung, erhielten jedoch eine schriftliche Antwort statt einer sofortigen Sperrung? Wie viele Fälle führten zu einer Prävention vor dem Verlust, einer tatsächlichen Rückerstattung des Gegenstands oder einem Empfangsbot-Verbot, das auf dieses Ticket oder diese Meldung zurückzuführen war, und nicht auf eine spätere, unabhängige Entdeckung? Die Durchsicht öffentlicher Opferberichte und Reddit-Diskussionen durch PhishDestroy ergab keinen Fall, der sicher mit der Anzeige eines Opfers in Verbindung gebracht werden konnte; Das ist kein Beweis dafür, dass keiner existiert, und Valve kann den Datensatz korrigieren, indem er seine internen Gesamtwerte veröffentlicht.

Auch die Geldfrage erfordert eine genaue Abrechnung. Für einen CS2- oder Dota Community Market-Verkauf, bei dem ein Verkäufer 100 Einheiten im Steam Wallet-Wert erhält, zahlt der Käufer etwa 115 nach der aufgeführten 5 % Steam-Gebühr und 10 % Spielgebühr, vorbehaltlich der Rundung. Die zusätzlichen 15 sind gebührenpflichtig; Die 100 des Verkäufers sind der Wallet-Wert, nicht weitere 100 Provision, daher wäre „115 % Gewinn“ ungenau. Wenn dieser Artikel jedoch später gestohlen und ohne Rückerstattung eingefroren wird, kontrolliert Valve weiterhin die Closed-Loop-Gelder, hat die Gebühr eingezogen und den Artikel aus dem Verkehr gezogen. Wie hoch sind die aggregierten Käuferzahlungen, Valve-Gebühren, Wallet-Verbindlichkeiten, der Wert des eingefrorenen Artikels, Preiseffekte und Rückerstattungsbeträge für diese Angriffsklasse?

Nachfrage:Veröffentlichen Sie die tatsächliche Anzahl der Sicherheits- und Supportmitarbeiter pro Jahr. Stunden und Budget für die Verhinderung von Angebotswechseln; die vollständige Zeitleiste der Berichte, Entscheidungen und verpassten Massenpools; Ticket-to-Session-Widerruf, Ticket-to-Bot-Verbot und Rückerstattungssätze; gespeicherte Anforderungs-/Aktionsprotokolle; und ein geprüfter Vergleich der Steam-Lohn- und Plattformgewinne mit Benutzerverlusten, erhobenen Gebühren, Wallet-Wert und eingefrorenen Artikeln. Antwort zu Protokoll: War dies ein Personalversagen, ein Versagen der Unterstützungspolitik oder eine bewusste geschäftliche Entscheidung?

Ausgelagerter Support und privilegierter Zugriff

Kann ein ausgelagerter Agent jeden Steam-Benutzer weltweit befragen?

In der Datenschutzrichtlinie von Valve heißt es, dass externe Supportanbieter personenbezogene Daten nur bei Bedarf erhalten dürfen. PhishDestroy kennt den Feldsatz und das Zugriffsmodell der untersuchten Schnittstelle; Valve wird gebeten, dies im Datensatz zu bestätigen oder abzulehnen. Kann ein Auftragnehmer in Irland – oder anderswo – einen Benutzer in den USA, Deutschland, Australien, China oder Russland eröffnen? Können sie aktuelle und historische E-Mail-, Telefon-, IP- und Gerätedatensätze, Sitzungen, Kontoänderungen, Transaktionen oder private Chats einsehen? Ist ein zugewiesenes Ticket erforderlich?

Nachfrage:Ein Verarbeiter- und Unterauftragsverarbeiterregister, jedes Verarbeitungsland, eine rollenweise Zugriffsmatrix, regionale Beschränkungen, Ticket-bezogener Just-in-Time-Zugriff und eine klare Antwort auf Chat und historische Kennungen.

Kennt Valve den Menschen hinter jeder privilegierten Suche?

Der Mitarbeiter eines Auftragnehmers kann persönliche, politische oder staatliche Verbindungen haben, die dem Nutzer nicht bekannt sind. Was hindert einen Betreiber daran, vom FSB – oder einer anderen Geheimdienst- oder Strafverfolgungsbehörde – bestochen, genötigt oder damit beauftragt zu werden, den IP-Verlauf, die Aktivitätszeiten, Kontakte oder Kontoänderungen einer Person abzurufen? Identifiziert Valve jede natürliche Person, verbietet es die gemeinsame Nutzung von Zugangsdaten, zeichnet es jede Suche und Feldbesichtigung auf, erkennt es Zugriffe außerhalb eines zugewiesenen Falles, blockiert es den Massenexport und verlangt es, dass alle behördlichen Forderungen den rechtlichen Prozess von Valve durchlaufen?

Nachfrage:Individuell zuordenbare Prüfprotokolle, hardwaregebundene Authentifizierung, Anomaliewarnungen, regelmäßige Zugriffsüberprüfungen, Protokollaufbewahrungsfristen, Insider-Missbrauchsstatistiken, von Auftragnehmern stammende Gesamtzahlen für behördliche Anfragen, Disziplinarergebnisse und ein öffentlicher Transparenzbericht nach Ländern.

Verpflichtung zur Beweissicherung

Wird Valve behaupten, dass die Bots und Opfer nicht mehr gefunden werden können?

Wenn Valve bei einer Anhörung mitteilt, dass die Schnittstelle, die Sicherheit und der Support versagt haben – oder den Fehler auf einen Outsourcer abwälzt – und dann Wiedergutmachung verspricht, kann „Wir können die Bots oder Opfer nicht mehr identifizieren“ nicht die nächste Ausrede sein. PhishDestroy ist bereit, aufbewahrte SteamIDs empfangende Bots und zugehörige Handels- und Diebstahlaufzeichnungen des untersuchten Hauptprodukts einzureichen. Unsere aktuelle interne Schätzung geht davon aus, dass der Abgleich dieses Materials mit dem vollständigen Handelsbuch von Valve etwa 80 % der klassischen Angebotstausch-Opfer identifizieren könnte – nicht MaFile-, Credential-Phishing- oder RAT-Fälle; Eine genaue Abdeckung kann nur durch einen Abgleich festgestellt werden. Es gab zwei weitere Gremien: Eine Gruppe von Entwicklern ist jetzt möglicherweise schwer zu finden, andere Teilnehmer und Forscher können jedoch möglicherweise zusätzliche Listen bereitstellen.

Wenn Valve dem Kongress mitteilt, dass große Lagerbestände an gefrorener Haut keine Auswirkungen auf Angebot, Knappheit, Preise oder Plattformeinnahmen haben, während seine internen Daten etwas anderes zeigen, wäre das eine falsche Aussage gegenüber dem Kongress. Behauptungen reichen nicht aus: Sie erfordern die zugrunde liegenden Daten und ein unabhängiges Wirkungsmodell. Zeit ist wichtig. Der Austausch von Angeboten verliert an Bedeutung, da sich Steam-Betrügereien hin zu RAT-Payloads und gefälschten VAC-Ban-Ködern verlagern, die über Dateien übermittelt werden. Die Menschen hinter den älteren Produkten könnten mit den Beweisen verschwinden.

Unabhängiger Verifizierungspfad

Im Vorgriff auf die „Vertrauens“-Ausrede: das 213.000 Offer-Swap-Bot-Ledger

Wir nehmen die Standardverteidigung von Valve vorweg: „Wir können einer Liste von Opfern, die von Dritten bereitgestellt wird, nicht blind vertrauen.“ Wir respektieren diese Skepsis. Deshalb bieten wir keine Opferliste an. Wir bieten eine überprüfbare Liste der empfangenden Bots an, die von den klassischen Offer-Swap-Panels verwendet werden.

Wir verfügen über die Mittel, um Datenbanken zu sichern, die etwa 80 % des historischen klassischen API-Offer-Swap-Volumens abdecken – den Mechanismus, der ein legitimes Handelsangebot storniert und ein Ersatzangebot verschickt –, wenn Valve sich wirklich zur Rückerstattung und nicht zur PR-Schadensbegrenzung verpflichtet. Diese Schätzung deckt keinen MaFile-Diebstahl, gewöhnliches Credential-Phishing, RAT-Payloads oder andere Betrugsarten ab: Diese Abläufe könnten begrenzte oder versteckte Bots nutzen und können nicht mit der gleichen Sicherheit rekonstruiert werden. Wir können die Autoren des Betrugspanels direkt fragen. Sie sind zugängliche Programmierer: Wir können mindestens einen sofort kontaktieren und haben einen Weg zum anderen. Das Ziel ist keine Hexenjagd gegen einzelne Entwickler, sondern Steam zu zwingen, einen siebenjährigen Systemfehler zu beheben. Verglichen mit dem unternehmerischen Schweigen von Valve haben die Panel-Entwickler zeitweise mehr Menschlichkeit und Transparenz an den Tag gelegt.

≈213.000„Unbegrenzte“ Empfangs- und Liquidations-Bot-Konten · Nur klassischer Angebots-Swap · PhishDestroy interne Schätzung · einige bereits gesperrtGelieferte Bot-IDs → Valve verifiziert in seinem eigenen Hauptbuch → Opfer und Gegenstände

Auch wenn die Autoren sich weigern, ihre Protokolle weiterzugeben, verfügen wir über alternative forensische Methoden zur Identifizierung von Bot-Netzwerken, die ausschließlich für diesen speziellen Angebotsstornierungs- und Ersatzmechanismus eingesetzt werden. Unter diesem Kriterium der exklusiven Nutzung ist jeder eingehende Handel an einen verifizierten Panel-Empfangs-Bot ein dokumentierter Diebstahl.

Niemand bittet Valve, seine internen Protokolle an PhishDestroy zu übergeben. Wir stellen SteamIDs oder Konto-Logins für Bots bereit, die nur zum Empfang und zur Liquidation gestohlener Gegenstände durch Angebotsersatz verwendet werden; Valve kann sein Hauptbuch in seiner eigenen Umgebung behalten und den Abgleich selbst durchführen. Viele dieser Bots verkauften erfolgreich gestohlene Gegenstände, einige sind bereits verboten und das Volumen der eingehenden Geschäfte ist enorm.

Der Verifizierungsnachweis stammt von Valve: reines Bot-Kontoverhalten, der Zeitpunkt der Stornierung eines legitimen Angebots und der Zusendung eines Ersatzangebots, der Verlauf der eingehenden Artikel und der Liquidation, die dokumentierte Ihor-Infrastruktur und die Bestätigung betroffener Benutzer. Bei einem Konto, das als exklusiver Angebots-Swap-Empfangs-Bot verifiziert ist, ist jeder eingehende Handel während seines Betriebszeitraums ein Diebstahlsprotokoll – keine normale Spieleraktivität.

Direkte Frage an Valve:Verstößt der Bot-gesteuerte Empfang und die automatisierte Liquidation gestohlener Skins gegen Steam Subscriber Agreement und die Plattformregeln – oder nur dann, wenn die Durchsetzung für Valve günstig ist? Handelt es sich bei organisiertem Hautdiebstahl um eine kommerzielle Aktivität oder ändert sich diese Definition gegebenenfalls auch?

Valve muss unserer Opfereinschätzung nicht vertrauen. Es muss lediglich die geschätzten 213.000 Bot-Identifikatoren mit seinem eigenen Hauptbuch abgleichen und ihre Funktion unabhängig überprüfen. Nach der Überprüfung erfolgt die Identifizierung von Opfern und die Wiederherstellung von Elementen durch eine Datenbankabfrage. Wir werden alles in unserer Macht Stehende tun, um die Liste zu liefern. Das einzige fehlende Element ist die Handlungsbereitschaft von Valve.

PhishDestroy Verpflichtung:Wenn Valve tatsächlich mit der Rückerstattung beginnt, werden wir alle möglichen Anstrengungen unternehmen, um die verfügbaren Listen zu erhalten, aufzubewahren und sicher zu liefern.Nachfrage an Valve:Bewahren Sie jetzt interne Protokolle auf, ohne sie uns auszuhändigen, öffnen Sie einen geschützten Kanal für Bot-Identifikatoren, gleichen Sie SteamIDs und Geschäfte in Ihrem eigenen Hauptbuch ab, benachrichtigen Sie identifizierte Opfer und veröffentlichen Sie die Anzahl der wiederhergestellten Elemente.

Echtes Geld ist bereits in den geschlossenen Kreislauf von Steam gelangt, und Valve hat mit der Zirkulation des Artikels Gebühren erhoben. Wenn seine Geschichte vollständig nachvollziehbar bleibt, der frühere Inhaber bekannt ist und Valve es dann dauerhaft einfriert, während es die Rückgabe verweigert und den Bestand verbirgt, ist die Frage unvermeidbar: Warum sollte die Öffentlichkeit dies als Schutz und nicht als Monetarisierung der eigenen Schwachstelle der Plattform betrachten? Ein Verbot, das den Geschädigten mit leeren Händen zurücklässt, ist keine Wiedergutmachung.

Redaktioneller Hinweis:Die betrieblichen Ihor-Ansprüche basieren auf den von PhishDestroy gespeicherten Daten und Dateien eines untersuchten Produkts und können zur unabhängigen Prüfung eingereicht werden. Für Gesamtsummen, selektive Durchsetzung und wirtschaftliche Motive sind die Aufzeichnungen von Valve erforderlich. Verweise auf Irland, Russland, den FSB oder einen anderen Staat beschreiben ein Bedrohungsmodell; Sie beschuldigen keinen benannten Auftragnehmer oder Betreiber der Offenlegung ohne Beweise. Die Zahlen für 79 Personen und 76,4 Millionen US-Dollar stammen aus einer gerichtlich eingereichten Kategorientabelle für 2021, die vor der korrigierten Redaktion offengelegt wurde. Die Zahl von 1.162.880 Stunden ist eine beispielhafte Berechnung der Personalkapazität – keine Behauptung, dass 79 Personen Sicherheitsingenieure waren oder diese Stunden für diesen Betrug aufgewendet haben.