Nuestra serie de investigación en múltiples partes que expone la corrupción sistémica de Valve, su ceguera lucrativa y su evasión de sanciones.
Hoja de Ruta de Investigación y Avance
Valve se Beneficia de Cuentas Robadas: La Trilogía
En esta página
Parte I de III — Activa 2026-08-14
Valve se beneficia de 578,000 cuentas de Steam robadas
Más de 897,000 cuentas robadas activas en LZT Market en 16 plataformas. 0M+ en listados criminales. 50M de responsabilidad estimada para las víctimas. Cinco vectores legales. Forense interactiva. Panel de inteligencia en vivo. La década de ceguera rentable de Valve — documentada.
40 minutos de lectura
Lea la Parte I 
Anuncio Oficial
Este manifiesto se publica directamente en respuesta a las amenazas corporativas, las tácticas de intimidación y la negligencia continua de Valve.
Aclaremos las cosas. PhishDestroy no es una "comunidad" tradicional: somos un dominio y una comprensión profunda de cómo funcionan realmente las cosas. No hay nada que infiltrar, ninguna membresía que revocar, ningún moderador en quien apoyarse.
Cuando Gabe Newell les cuenta cuentos de hadas sobre cromos de béisbol a una "comunidad" que no tiene voz, ni comentarios, ni debate abierto, la verdad es que resulta ridículo.
Mira cómo funcionó eso en realidad. Un Fiscal General estatal presenta una demanda. Valve responde —públicamente, y de forma extensa— a su "comunidad". Sin comentarios habilitados. Sin respuestas. Sin preguntas aceptadas. Solo una dirección. Una discusión, tal como la ve Valve.
Y debajo de la declaración se encuentra aquello que nadie abordó: objetos tomados de niños, retenidos y nunca devueltos. Responder así a un fiscal no es una falta de respeto hacia nosotros. Es desprecio hacia todos los que leen.
No jugamos a "juegos de amenazas", no jugamos al médico, y desde luego no nos parece divertido cuando una plataforma provoca situaciones peligrosas y filtra a sabiendas los datos de menores.
Prohibir un bot no es hacer cumplir la ley
Esta es la parte que los reguladores estadounidenses necesitan ver con claridad, porque se presenta como lo contrario de lo que realmente es.
Cuando Valve banea una cuenta bot que posee artículos robados, no se devuelve nada a nadie. La víctima no recibe nada. Los artículos permanecen congelados en la cuenta baneada, el inventario queda oculto a la vista del público y la oferta se retira del mercado, lo que eleva el precio de todo artículo comparable y aumenta la comisión de Valve en cada venta posterior.
Eso no es aplicación de la ley. Steam no es la policía. Es confiscación a escala industrial, llevada a cabo bajo el lenguaje de la lucha contra el fraude, por la única parte que se beneficia de ello.
Las "Obras Maestras" de Valve y la filantropía falsa
Oh, somos unos fans enormes de Valve. Auténticas obras maestras como Half-Life 3, Aperture Desk Job, Dota Underlords y Artifact.
Apreciamos profundamente el "voluntariado" forzado de Steam: regalar juegos gratis (porque, si no, ¿quién los compraría?), utilizar a los jugadores para pruebas no remuneradas de su sistema anticheat, e ignorar por completo las granjas masivas de bots solo para inflar artificialmente sus estadísticas "reales" de usuarios en línea.
No estamos registrados en su plataforma. No aceptamos sus acuerdos. Solo tocamos sus dos "brillantes" herramientas (velocidad.valve.net y speedtest1-sea1.valve.net), se dieron cuenta de que eran basura y siguieron adelante.
Parece que sus mega-programadores altamente pagados —quienes supuestamente generan más ganancias que los empleados de Apple— operan sin ninguna supervisión gerencial. Buen trabajo, pero eso no nos convierte en sus clientes. Su Acuerdo de Suscriptor no nos alcanza.
Incompetencia, Errores Ignorados y la Broma de GrapheneOS
¿Es esto un conflicto? No. ¿Quiénes somos nosotros para entrar en conflicto con alguien? Somos simplemente analistas que procesamos enormes conjuntos de datos públicos y que de verdad nos preocupamos por las estafas que ustedes crían.
Mientras buscaba correos electrónicos de contacto estándar — que aparentemente no tienes, no legal@ y no privacy@ — nos topamos con joyas como desarrollador.valvesoftware.com/wiki/Usuario:PeeGracias por la útil wiki. Definitivamente mostraremos la realidad de las interacciones con sus empleados en nuestros próximos artículos.
Hablando de tu wiki (Plantilla:Userbox_os/doc), es fascinante que sus "profesionales" enumeren a GrapheneOS como un sistema operativo separado al mismo nivel que iOS.
Respetamos a Daniel Micay y su trabajo en privacidad, pero quizás sus expertos deberían haberle preguntado cómo solucionar la vulnerabilidad de su proxy MITM en la API, esa que les tomó 7 años parchear.
Si tu equipo es tan incompetente que no pudo proteger a los niños del espionaje MITM y de las sesiones paralelas durante casi una década, ¿por qué siquiera necesitan un teléfono GrapheneOS? ¿Preparándose para un REINICIO FORZOSO de pánico?
Quizás también añadas Tails, Whonix, Tor, CalyxOS y LineageOS a tu lista, ya que tu plataforma ha logrado criar a toda una generación de ciberdelincuentes.
La Parte 1 ya ocurrió
Lo publicamos. Su propio consejo legal nos entregó la corroboración: 830 páginas que no pudieron tachar, producidas por un despacho que facturaba por hora precisamente para impedirlo.
Ni una sola línea de ello ha sido refutada. Sus abogados no impugnaron los hechos. Calificaron nuestra notificación de "entretenida". Esa respuesta ahora es una prueba documental.
Doce jurisdicciones tienen los paquetes. Cartas de presentación, declaración de hechos, anexos, registros de acceso, hashes SHA-256. Enviados. No amenazados, no planeados — enviados.
Nuestra Postura: Sin Disculpas
No nos ofrecemos como voluntarios para ti. Protegemos a los consumidores y a los reguladores de tus mentiras descaradas. Todos nuestros datos y hallazgos se publican bajo la licencia MIT: libres de usar, distribuir y analizar.
No actuamos en interés de nadie más que de tus clientes engañados y de los reguladores a quienes mientes. Sabemos que somos groseros e inconvenientes, pero no nos disculpamos por exponer miles de millones en fondos robados, las conexiones con Lolzteam y la realidad de tus operaciones.
Y seamos honestos sobre la escala: no podríamos oponernos a una corporación aunque quisiéramos. Un registrador que se embolsa el Monero de alguien, quizás. Una empresa que mueve miles de millones con un bufete de abogados a sueldo — evidentemente no.
No tenemos que hacerlo. Presentamos la denuncia. Las autoridades con poderes que nosotros no tenemos toman las decisiones. Renunciamos a todos los derechos sobre el material, así que cualquiera de ellas puede publicarlo como hallazgos propios, y no podríamos retirarlo aunque lo intentáramos.
Aquí no hay nada que comprar ni nada que negociar. Sin exigencias, sin plazos, sin precio. No chantajeamos — eso es asunto de sus abogados, y son mejores en eso que en la redacción.
Lee Esta Parte Dos Veces:
CUALQUIER COSA QUE HAGAS PARA INFLUIR EN LO QUE SE PUBLICA SOLO DEMUESTRA QUE LE TEMES.
Presión, derribos de cuentas, cartas, una cuenta restaurada silenciosamente a alguien — cada uno de esos actos es una admisión, y cada uno se convierte en una línea fechada en un expediente que doce autoridades ya tienen en su poder.
El Archivo, y una Palabra Honesta Sobre el Dominio
El conjunto de datos ahora tiene alrededor de 100 GB, acumulativos. Informamos aproximadamente 75 en la Parte 1. No ha dejado de crecer.
Si sus costosos e incompetentes abogados quieren silenciarnos derribando phishdestroy.io — adelante. Lo diremos sin rodeos: en este punto, nos estarías haciendo un favor. Los conjuntos de datos son enormes, el trabajo es tedioso y estamos hartos de revisarlos. Nadie aquí está disfrutando esto.
Lo único que aún lo impulsa es lograr que los reguladores de EE. UU. vean lo que realmente ocurre en tu plataforma: que una prohibición no es vigilancia, que nada se devuelve jamás, y que el dinero sigue moviéndose en una única dirección.
A diferencia de ustedes, no filtraremos las identidades privadas de menores — no somos monstruos que observan cómo niños de un país son delatados por otro solo por diversión. Cualquier intento de cerrar nuestro sitio será tratado como un ataque directo contra investigadores independientes.
Y entiende lo predeterminado, porque no es una amenaza, es simplemente lo que ocurre. Si nos detenemos, todo lo procesado va a IPFS y cada regulador que tenga una referencia recibe el conjunto completo de datos sin procesar. No se requiere ninguna decisión de nuestra parte. No requiere nada de nosotros en absoluto.
Eliminar el dominio elimina una URL. No elimina archivos, ni cancela el envío de paquetes.
Diez meses después, a esas personas todavía no se les ha informado de que ocurrió algo, ni por usted, ni por sus abogados, ni por nadie.
Roadmap: Parte II — 14 de octubre
Prepárese para la segunda parte de nuestra investigación:
- Nos pondremos en contacto directamente con los desarrolladores de videojuegos para exponer cómo Valve elude descaradamente las sanciones internacionales con tal de asegurar su comisión del 30%.
- Tenemos evidencia de más de 100 millones en la evasión de sanciones facilitada por una sola plataforma en solo dos años.
- Entregaremos estos datos a los desarrolladores de juegos que se nieguen a patrocinar el terrorismo, así como a los agregadores de pagos, para que finalmente puedan poner un freno a la codicia de Valve.
No tenemos ninguna obligación contigo. Solo tenemos la verdad.
— PhishDestroy
Lea la primera parte de la investigación:
Parte I: Mi perro contra los abogados de élite del RGPD
LICENCIA · DERECHOS · AVISO LEGAL
PHISHDESTROY
LICENCIA · DERECHOS · AVISO LEGAL
Investigación: Valve Corporation / Steam · público — sin fecha de caducidad, sin retractos
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SECCIÓN I — LICENCIA
PhishDestroy renuncia a todos los derechos sobre este material. Cero. Desaparecido. Hecho. Puedes reproducirlo, venderlo, poner tu nombre en él, tatuártelo en tu jefe, lo que sea. No se requiere crédito, no se necesita mensaje directo, no se espera una tarjeta de agradecimiento.
UNA REGLA REAL
Si eres un usuario de Rusia o de cualquier país sancionado por OFAC — este material NO es para ti. Sin trampas. Disfruta de tus sanciones. Y si cambiaste tu región de Steam a Turquía mientras estabas sentado en Moscú — felicidades por tu geografía creativa. Sigues siendo ruso. Las sanciones siguen aplicando. Ese es literalmente el punto.
SECCIÓN II — QUÉ ES ESTO Y POR QUÉ EXISTE
Publicaremos más sobre Valve de lo que un empleado promedio de Valve sabe sobre sí mismo. Básicamente, Steam nos creó. Nos crió con sus estafadores, sus tickets de soporte, su ecosistema de evasión de baneos — y ahora aquí estamos. Sin resentimientos. Poético, en realidad. Esperamos más de 4 años a que arreglaran el problema de suplantación antes de poder escribir sobre ello públicamente. ¿Es esto un conflicto? No. ¿Se puede resolver? Sí. Pero no firmaremos ningún acuerdo de confidencialidad (NDA) y no jugaremos a la recompensa por errores por unas monedas.
SECCIÓN III — CARTA ABIERTA A VALVE
Hola Valve. Si están pensando en tumbarnos el dominio — simplemente mándenos un correo electrónico. No paguen a Dr. Patrick otra vez. Por favor. Es vergonzoso para todos los involucrados.
¿Dañaremos directamente a Valve? Probablemente no de una manera que sientan fiscalmente. No somos delirantes. Pero lo haremos con honestidad, abiertamente, sin perseguir fama. Tenemos 5 años de archivos. Los reguladores reciben los originales. Los investigadores y periodistas reciben versiones censuradas. PhishDestroy es una comunidad, no una persona.
EL TRATO (oferta abierta, no se necesitan abogados)
Si quieren que el dominio desaparezca: dejen que sus profesionales de derecho informático calculen el precio. El 50% va a la SEAL Foundation. Matamos el dominio. Sin drama. Sin tribunal. Hecho. No lo conseguirán de ninguna otra manera. Eso no es una amenaza. Es simplemente la arquitectura de la situación.
SECCIÓN IV — EL DINERO, LOS BANEOS, TODO EL CIRCO
Aquí está el asunto con Steam baneando sitios de apuestas y estafadores: no es aplicación de la ley. Es captura de ingresos. Valve se queda el dinero, se limpia las manos y luego sube al escenario a contarles a todos una historia idílica. Mientras tanto, Valve eliminó la capacidad de rastrear adecuadamente las skins en 2017. Vamos a demostrarlo: Las skins son más anónimas que Monero. Un Cartel peruano supuestamente usó skins de Dota 2 para mover dinero. Steam es funcionalmente una máquina para evadir sanciones valorada en ~$7B en “tarjetas de intercambio”.
SECCIÓN V — EL ASUNTO DEL MALWARE
NO estamos divulgando públicamente la vulnerabilidad en el juego. NO estamos reportándola a Steam. No porque no podamos — sino porque su programa de recompensas por errores vale aproximadamente tres kopecks y no trabajamos por tres kopecks. Nuestros colegas de seguridad ya la reportaron al soporte de Steam. Esto NO es la variante trivial de CSGO. Esto se acerca más a: RCE (Ejecución Remota de Código) al conectar al servidor. Es decir — te unes a un servidor, no haces clic en nada. La conexión en sí misma es la superficie de ataque. La amenaza es activa.
DECLARACIÓN SOBRE EL USO Y LOS DERECHOS
Proyecto PhishDestroy & Coalición de Ciberseguridad
1. NO HAY CONDICIONES DE USO
Todo el material producido por la Coalición en esta referencia — las declaraciones de hechos, el análisis, las pruebas, las herramientas y los hallazgos — se libera SIN RESERVA DE NINGÚN DERECHO. Cualquier persona puede reproducirlo, adaptarlo, editarlo, reescribirlo, traducirlo, extraer fragmentos, incorporarlo en documentos oficiales, presentarlo como su propio trabajo o pasarlo a cualquier otra persona — sin preguntar y sin notificar a la Coalición.
2. POR QUÉ ESTO IMPORTA PRÁCTICAMENTE
No hay nada aquí con lo que enredarse. La Coalición no pide nada, no se le debe nada, no retiene nada y no tiene expectativa de ningún tipo. Una autoridad que use este material no actúa en nombre de la Coalición. Está usando información pública que, por casualidad, fue recopilada por otra persona.
3. TODO YA ESTÁ ABIERTO
Las investigaciones se publican abiertamente en phishdestroy.io. Las herramientas se publican como código abierto bajo la licencia MIT en gitlab.com/phishdestroy. La metodología se detalla en la referencia. La Coalición no acepta donaciones y ha publicado esa posición desde 2018.
4. INTEGRIDAD DEL PAQUETE DE EVIDENCIAS
Cada entrega viene acompañada de un archivo SHA256SUMS que lista un resumen SHA-256 para cada archivo proporcionado, junto con una firma OpenPGP separada SHA256SUMS.asc. La clave de firma se publica en phishdestroy.io/.well-known/pgp-key.txt y en keys.openpgp.org.
5. SOBRE EL TONO
La autoridad puede encontrar las investigaciones publicadas de la Coalición y considerarlas directas, adversariales y a veces satíricas. Esa impresión es correcta. La Coalición escribe así deliberadamente. La renuncia es el mecanismo mediante el cual la sustancia puede separarse del tono: la autoridad puede tomar lo que sea útil, reformularlo con su propia voz y descartar cada palabra del estilo de la Coalición. No se pierde nada al hacerlo.
6. LO QUE LA COALICIÓN ESTÁ PROPORCIONANDO
Información, investigación y observación. No se afirma nada como un hallazgo para el cual la Coalición no tenga legitimidad. La Coalición no busca ningún remedio, ningún pago, ningún reconocimiento y ningún resultado para sí misma. Solo pide que las preguntas planteadas en la referencia sean formuladas a Valve Corporation por un organismo con el poder de exigir una respuesta.
NOTA DE CIERRE — A QUIEN QUIERA SEA QUE ESTÉ LLEVANDO ESTO ADELANTE
Queremos agradecer a quien lleve este material a donde necesita ir. Valve tiene bolsillos profundos y Taylor Wessing cobra por hora. Sabemos lo que estamos haciendo. Sabemos de quién estamos escribiendo. No necesitamos autoría. No necesitamos atribución. No necesitamos una victoria. Necesitamos a alguien con autoridad real para hacerle a Valve las preguntas que ya están en esta referencia, con el poder de exigir una respuesta. Eso es todo. Esa es toda la petición.
PhishDestroy — investigación pública — todos los derechos cedidos a la humanidad · Acceso a regiones OFAC: prohibido
Additional editorial notes
┌─────────────────────────────────────────────────────────────────────────┐ │ THE DEAL (open offer, no lawyers needed) │ │ │ │ If you want the domain gone: │ │ let your IT law professionals calculate its price. Take your time — │ │ it is a rare asset: the only website in the world whose purchase │ │ changes nothing, because everything on it already lives on IPFS, │ │ in regulator inboxes, and in archives we do not control. │ │ │ │ 50% of whatever you pay goes to the SEAL Foundation │ │ (securityalliance.org) — people who do volunteer security work │ │ professionally and publish it for free. We are not affiliated with │ │ them and they did not ask for this; we name them as the public │ │ standard of what real volunteers look like — the standard your own │ │ volunteer moderators and outsourced support failed, publicly, │ │ before you had to remove them. You know the scandals. So do we. │ │ │ │ The rest buys the community coffee while we keep publishing. │ │ That is not a settlement offer. It is a demonstration of what │ │ money can't reach: the domain is the maximum Valve can obtain, │ │ and obtaining it obtains nothing. The referrals continue. │ │ The mirrors continue. Part 3 continues. │ └─────────────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────────────┐ │ ONE ACTUAL RULE (yes, just one) │ │ │ │ Access from OFAC-sanctioned jurisdictions is prohibited. That is a │ │ matter of territory and law — not of nationality and not of people. │ │ Changing your Steam region does not change your physical location │ │ or your legal status. No loopholes. │ └─────────────────────────────────────────────────────────────────────────┘