Notre série d'enquêtes en plusieurs volets révélant la corruption systémique de Valve, son aveuglement lucratif et son contournement des sanctions.
Feuille de route d’investigation et aperçu
Valve profite des comptes volés : la trilogie
Sur cette page
Première partie sur trois — Active 2026-08-14
Valve tire profit de 578 000 comptes Steam volés
897 000+ comptes volés actifs sur LZT Market à travers 16 plateformes. 0M+ en annonces criminelles. 50M de responsabilité estimée pour les victimes. Cinq vecteurs juridiques. Forensique interactive. Tableau de bord de renseignement en direct. La décennie de cécité lucrative de Valve — documentée.
Lecture de 40 minutes
Lisez la première partie 
Annonce officielle
Ce manifeste est publié en réponse directe aux menaces corporatives de Valve, à leurs tactiques d'intimidation et à leur négligence continue.
Mettons les choses au clair. PhishDestroy n'est pas une « communauté » traditionnelle — nous sommes un domaine, et nous sommes une compréhension approfondie de la manière dont les choses fonctionnent réellement. Il n'y a rien à infiltrer, aucune adhésion à révoquer, aucun modérateur sur qui s'appuyer.
Lorsque Gabe Newell raconte des contes de fées sur des cartes de baseball à une « communauté » qui n'a ni voix, ni commentaires, ni discussion ouverte, c'est franchement risible.
Regardez comment cela a réellement fonctionné. Un procureur général d'État dépose une plainte. Valve répond — publiquement, en détail, à sa « communauté ». Aucun commentaire activé. Aucune réponse. Aucune question acceptée. Une seule direction. Une discussion, telle que vue par Valve.
Et sous cette déclaration se trouve ce que personne n’a abordé : des objets pris à des enfants, conservés, et jamais restitués. Répondre ainsi à un procureur, ce n’est pas un manque de respect envers nous. C’est du mépris pour tous ceux qui lisent.
Nous ne jouons pas aux « jeux de menaces », nous ne jouons pas au docteur, et nous ne trouvons certainement pas amusant qu'une plateforme provoque des situations dangereuses et divulgue sciemment les données de mineurs.
Interdire un bot n'est pas faire de la police
C'est la partie que les régulateurs américains doivent voir clairement, car elle est présentée comme l'inverse de ce qu'elle est réellement.
Lorsque Valve bannit un compte bot détenant des objets volés, rien n'est restitué à personne. La victime ne récupère rien. Les objets restent gelés sur le compte banni, l'inventaire est masqué de la vue publique, et l'offre est retirée du marché — ce qui fait grimper le prix de tout article comparable et augmente la commission de Valve sur chaque vente ultérieure.
Ce n'est pas de l'application de la loi. Steam n'est pas la police. C'est de la confiscation à l'échelle industrielle, menée sous le langage de la lutte contre la fraude, par la seule partie qui en tire profit.
Les « chefs-d'œuvre » de Valve et la fausse philanthropie
Oh, nous sommes de grands fans de Valve. De véritables chefs-d'œuvre comme Half-Life 3, Aperture Desk Job, Dota Underlords et Artifact.
Nous apprécions profondément le « volontariat » forcé de Steam — distribuer des jeux gratuits (car sinon, qui les achèterait ?), utiliser les joueurs comme cobayes non rémunérés pour tester l'anti-triche, et ignorer complètement les fermes de bots massives juste pour gonfler artificiellement vos statistiques « réelles » de joueurs en ligne.
Nous ne sommes pas enregistrés sur votre plateforme. Nous n'avons pas accepté vos accords. Nous n'avons fait que toucher à vos deux « brillants » outils (speedtest.valve.net et speedtest1-sea1.valve.net), ont réalisé qu'ils étaient nuls, et sont passés à autre chose.
Il semble que vos méga-codeurs hyper-rémunérés — qui, soi-disant, génèrent plus de profits que les employés d'Apple — opèrent sans aucune supervision de la direction. Beau travail, mais cela ne fait pas de nous vos clients. Votre Contrat d'abonnement ne nous atteint pas.
Incompétence, bogues ignorés et la blague GrapheneOS
S'agit-il d'un conflit ? Non. Qui sommes-nous pour entrer en conflit avec qui que ce soit ? Nous sommes simplement des analystes qui traitent d'immenses ensembles de données publiques et qui se soucient réellement des arnaques que vous engendrez.
En cherchant des emails de contact standards — que vous n'avez apparemment pas, non legal@ et non privacy@ — nous sommes tombés sur des pépites comme developer.valvesoftware.com/wiki/Utilisateur:PeeMerci pour ce wiki utile. Nous mettrons certainement en lumière la réalité de vos interactions avec vos employés dans nos prochains articles.
En parlant de votre wiki (Modèle:Boîte utilisateur os/doc), il est fascinant que vos « professionnels » classent GrapheneOS comme un système d’exploitation distinct, au même niveau qu’iOS.
Nous respectons Daniel Micay et son travail sur la vie privée, mais vos experts auraient peut-être dû lui demander comment corriger votre vulnérabilité de proxy MITM sur l'API — celle qui vous a pris 7 ans à patcher.
Si votre équipe est si incompétente qu'elle n'a pas su protéger des enfants contre l'espionnage par attaque de l'homme du milieu (MITM) et les sessions parallèles pendant près d'une décennie, pourquoi aurait-elle même besoin d'un téléphone GrapheneOS ? Se préparent-ils à une RÉINITIALISATION D'URGENCE en mode panique ?
Ajoutez peut-être aussi Tails, Whonix, Tor, CalyxOS et LineageOS à votre liste, puisque votre plateforme a réussi à former toute une génération de cybercriminels.
La première partie a déjà eu lieu.
Nous l'avons publié. Votre propre conseil nous a remis la corroboration — 830 pages qu'ils n'ont pas pu caviarder, produites par un cabinet facturant à l'heure précisément pour empêcher cela.
Pas une seule ligne n'a été réfutée. Vos avocats n'ont pas contesté les faits. Ils ont qualifié notre notification d'« divertissante ». Cette réponse est désormais une pièce à conviction.
Douze juridictions ont reçu les dossiers. Lettres d'accompagnement, exposés des faits, pièces jointes, journaux d'accès, empreintes SHA-256. Envoyés. Ni menacés, ni planifiés — envoyés.
Notre position : aucune excuse
Nous ne nous portons pas volontaires pour vous. Nous protégeons les consommateurs et les régulateurs contre vos mensonges éhontés. Toutes nos données et conclusions sont publiées sous licence MIT — libres d'utilisation, de distribution et d'analyse.
Nous n'agissons dans l'intérêt de personne, si ce n'est celui de vos clients trompés et des régulateurs à qui vous mentez. Nous savons que nous sommes grossiers et dérangeants, mais nous ne nous excusons pas d'exposer les milliards de fonds volés, les connexions avec Lolzteam et la réalité de vos opérations.
Soyons honnêtes sur l'ampleur de la chose : nous ne pourrions pas nous opposer à une entreprise, même si nous le voulions. Un bureau d'enregistrement qui empoche les Monero de quelqu'un, peut-être. Une société qui déplace des milliards avec un cabinet d'avocats sous contrat — évidemment non.
Nous n'avons pas à le faire. Nous déposons le dossier. Les autorités disposant de pouvoirs que nous n'avons pas prennent les décisions. Nous avons renoncé à tous nos droits sur le matériel, si bien que n'importe laquelle d'entre elles peut le publier comme ses propres conclusions, et nous ne pourrions pas le retirer même si nous le voulions.
Il n’y a rien à acheter ici, et rien à négocier. Pas d’exigences, pas de délai, pas de prix. Nous ne faisons pas de chantage — c’est le rayon de vos avocats, et ils y sont bien meilleurs qu’en matière de rédaction.
Lisez cette partie deux fois :
TOUTE TENTATIVE DE VOTRE PART D’INFLUENCER CE QUI EST PUBLIÉ NE FAIT QUE PROUVER QUE VOUS EN AVEZ PEUR.
Pression, démantèlements, lettres, un compte discrètement restauré à quelqu'un — chacun de ces éléments est un aveu, et chacun devient une ligne datée dans un dossier que douze autorités détiennent déjà.
Les Archives, et un mot honnête à propos du domaine
Le jeu de données fait maintenant environ 100 Go, cumulativement. Nous en avons signalé environ 75 dans la partie 1. Il n'a pas cessé de croître.
Si vos avocats coûteux et incompétents veulent nous faire taire en faisant retirer phishdestroy.io — Allez-y. Disons les choses clairement : à ce stade, vous nous rendriez service. Les tableaux sont énormes, le travail est fastidieux, et nous en avons marre de les examiner. Personne ici ne prend plaisir à cela.
La seule chose qui le motive encore, c'est d'amener les régulateurs américains à voir ce qui se passe réellement sur votre plateforme — qu'une interdiction n'est pas une mesure de police, que rien n'est jamais restitué, et que l'argent continue de circuler dans une seule et même direction.
Contrairement à vous, nous ne divulguerons pas l'identité privée d'enfants — nous ne sommes pas des monstres qui regardent des enfants d'un pays se faire signaler par un autre pour le simple plaisir. Toute tentative de fermer notre site sera traitée comme une attaque directe contre les chercheurs indépendants.
Et comprenez le défaut, car ce n'est pas une menace, c'est simplement ce qui se produit. Si nous nous arrêtons, tout ce qui est traité va sur IPFS et chaque régulateur détenant une référence reçoit l'ensemble complet des données brutes. Aucune décision n'est requise de notre part. Cela n'exige rien de nous du tout.
La suppression du domaine retire une URL. Elle ne supprime aucun fichier et n'annule l'envoi d'aucun paquet.
Dix mois plus tard, ces personnes n'ont toujours pas été informées que quoi que ce soit s'était produit — ni par vous, ni par vos avocats, ni par quiconque.
Feuille de route : Partie II — 14 octobre
Préparez-vous pour la deuxième partie de notre enquête :
- Nous contacterons directement les développeurs de jeux pour révéler comment Valve contourne ouvertement les sanctions internationales, uniquement pour s'assurer sa commission de 30 %.
- Nous disposons de preuves de plus de 100 millions en matière de contournement des sanctions facilité par une seule plateforme en seulement deux ans.
- Nous transmettrons ces données aux développeurs de jeux qui refusent de sponsoriser le terrorisme, ainsi qu'aux agrégateurs de paiement, afin qu'ils puissent enfin mettre un frein à la cupidité de Valve.
Nous n'avons aucune obligation envers vous. Nous n'avons que la vérité.
— PhishDestroy
Lisez la première partie de l’enquête :
Première partie : Mon chien contre les avocats d'élite spécialisés en RGPD
LICENCE · DROITS · AVERTISSEMENT
PHISHDESTROY
LICENCE · DROITS · AVERTISSEMENT
Enquête : Valve Corporation / Steam · public — sans date d'expiration, sans retrait
MIT PUBLIC DOMAIN OFAC-RESTRICTED
SECTION I — LICENCE
PhishDestroy renonce à tous les droits sur ce matériel. Zéro. Partis. Terminé. Vous pouvez le reproduire, le vendre, y mettre votre nom, le tatouer sur votre patron, peu importe. Aucune attribution requise, aucun DM nécessaire, aucune carte de remerciement attendue.
UNE SEULE RÈGLE RÉELLE
Si vous êtes un utilisateur de Russie ou de tout pays sous sanctions OFAC — ce matériel n'est PAS pour vous. Pas de failles. Profitez de vos sanctions. Et si vous avez changé votre région Steam en Turquie alors que vous êtes assis à Moscou — félicitations pour votre géographie créative. Vous êtes toujours russe. Les sanctions s'appliquent toujours. C'est littéralement le but.
SECTION II — CE QUE C'EST ET POURQUOI ÇA EXISTE
Nous publierons plus sur Valve qu'un employé moyen de Valve ne sait sur lui-même. Steam nous a essentiellement créés. Il nous a élevés avec ses escrocs, ses tickets de support, son écosystème d'évasion de bannissement — et maintenant nous sommes là. Pas de rancune. Poétique, en fait. Nous avons attendu plus de 4 ans qu'ils corrigent le problème de spoofing avant de pouvoir en parler publiquement. Est-ce un conflit ? Non. Peut-il être résolu ? Oui. Mais nous ne signerons aucun NDA et nous ne jouerons pas au bug bounty pour quelques centimes.
SECTION III — LETTRE OUVERTE À VALVE
Salut Valve. Si vous pensez à faire supprimer notre domaine — envoyez-nous simplement un e-mail. Ne payez plus Dr. Patrick. S'il vous plaît. C'est embarrassant pour tous les intervenants.
Allons-nous « nuire » directement à Valve ? Probablement pas d'une manière qu'ils ressentiront fiscalement. Nous ne sommes pas déraisonnables. Mais nous le ferons honnêtement, ouvertement, sans chercher la notoriété. Nous avons 5 ans d'archives. Les régulateurs recevront les originaux. Les chercheurs et les journalistes recevront des versions expurgées. PhishDestroy est une communauté, pas une personne.
L'ACCORD (offre ouverte, pas d'avocats nécessaires)
Si vous voulez que le domaine disparaisse : laissez vos professionnels du droit informatique calculer le prix. 50 % iront à la SEAL Foundation. Nous ferons disparaître le domaine. Pas de drame. Pas de tribunal. Terminé. Vous ne l'obtiendrez pas autrement. Ce n'est pas une menace. C'est juste l'architecture de la situation.
SECTION IV — L'ARGENT, LES BANNISSEMENTS, TOUTE LA CIRCUS
Voici le truc avec Steam qui bannit les sites de paris et les escrocs : ce n'est pas de l'application de la loi. C'est une capture de revenus. Valve met l'argent dans sa poche, se lave les mains, puis monte sur scène et raconte à tout le monde une histoire saine. Pendant ce temps, Valve a tué la capacité de suivre correctement les skins en 2017. Nous allons le prouver : Les skins sont plus anonymes que Monero. Un cartel péruvien aurait utilisé des skins de Dota 2 pour le mouvement d'argent. Steam est fonctionnellement une machine de contournement des sanctions d'une valeur d'environ 7 milliards de dollars en « cartes à collectionner ».
SECTION V — L'AFFAIRE DU MALWARE
Nous ne divulguerons PAS la vulnérabilité du jeu publiquement. Nous ne la signalerons PAS à Steam. Non parce que nous ne pouvons pas — mais parce que leur bug bounty vaut environ trois kopecks et nous ne travaillons pas pour trois kopecks. Nos collègues en sécurité l'ont déjà signalé au support Steam. Ce n'est PAS la variante CSGO triviale. C'est plus proche de : RCE à la connexion au serveur. Comme dans — vous rejoignez un serveur, vous ne cliquez sur rien. La connexion elle-même est la surface d'attaque. La menace est active.
DÉCLARATION CONCERNANT L'UTILISATION ET LES DROITS
Projet PhishDestroy & Coalition de Cybersécurité
1. IL N'Y A AUCUNE CONDITION D'UTILISATION
Tout le matériel produit par la Coalition dans cette référé — les déclarations de faits, l'analyse, les pièces à conviction, les outils et les conclusions — est publié SANS RÉSERVE D'AUCUN DROIT. N'importe qui peut le reproduire, l'adapter, l'éditer, le réécrire, le traduire, en extraire des extraits, l'incorporer dans des documents officiels, le présenter comme son propre travail, ou le transmettre à quiconque — sans demander et sans notifier la Coalition.
2. POURQUOI ÇA COMPTE PRATIQUEMENT
Il n'y a rien ici avec quoi s'emmêler. La Coalition ne demande rien, ne doit rien, ne retient rien et n'a aucune attente d'aucune sorte. Une autorité utilisant ce matériel n'agit pas au nom de la Coalition. Elle utilise des informations publiques qui se trouvent avoir été assemblées par quelqu'un d'autre.
3. TOUT EST DÉJÀ OUVERT
Les enquêtes sont publiées ouvertement sur phishdestroy.io. Les outils sont publiés en open source sous la licence MIT sur gitlab.com/phishdestroy. La méthodologie est décrite dans la référé. La Coalition n'accepte pas de dons et a publié cette position depuis 2018.
4. INTÉGRITÉ DU LOT DE PREUVES
Chaque livraison est accompagnée d'un fichier SHA256SUMS listant un digest SHA-256 pour chaque fichier fourni, ainsi que d'une signature OpenPGP détachée SHA256SUMS.asc. La clé de signature est publiée sur phishdestroy.io/.well-known/pgp-key.txt et sur keys.openpgp.org.
5. SUR LE TON
L'autorité peut rencontrer les enquêtes publiées de la Coalition et les trouver directes, adversariales et parfois satiriques. Cette impression est correcte. La Coalition écrit ainsi délibérément. La renonciation est le mécanisme par lequel la substance peut être séparée du ton : l'autorité peut prendre ce qui est utile, le reformuler dans sa propre voix, et jeter chaque mot du style de la Coalition. Rien n'est perdu en le faisant.
6. CE QUE LA COALITION FOURNIT
Des informations, des recherches et des observations. Rien n'est affirmé comme une conclusion que la Coalition n'a pas la qualité pour faire. La Coalition ne cherche aucun recours, aucun paiement, aucune reconnaissance et aucun résultat pour elle-même. Elle demande seulement que les questions posées dans la référé soient posées à Valve Corporation par un organisme ayant le pouvoir d'exiger une réponse.
NOTE DE CLÔTURE — À CELUI QUI FAIT AVANCER ÇA
Nous voulons remercier quiconque fera parvenir ce matériel là où il doit aller. Valve a des poches profondes et Taylor Wessing facture à l'heure. Nous savons ce que nous faisons. Nous savons de qui nous écrivons. Nous n'avons pas besoin d'auteur. Nous n'avons pas besoin d'attribution. Nous n'avons pas besoin d'une victoire. Nous avons besoin de quelqu'un ayant une autorité réelle pour poser à Valve les questions qui sont déjà dans cette référé, avec le pouvoir d'exiger une réponse. C'est tout. C'est toute la demande.
PhishDestroy — enquête publique — tous les droits cédés à l'humanité · Accès région OFAC : interdit
Additional editorial notes
┌─────────────────────────────────────────────────────────────────────────┐ │ THE DEAL (open offer, no lawyers needed) │ │ │ │ If you want the domain gone: │ │ let your IT law professionals calculate its price. Take your time — │ │ it is a rare asset: the only website in the world whose purchase │ │ changes nothing, because everything on it already lives on IPFS, │ │ in regulator inboxes, and in archives we do not control. │ │ │ │ 50% of whatever you pay goes to the SEAL Foundation │ │ (securityalliance.org) — people who do volunteer security work │ │ professionally and publish it for free. We are not affiliated with │ │ them and they did not ask for this; we name them as the public │ │ standard of what real volunteers look like — the standard your own │ │ volunteer moderators and outsourced support failed, publicly, │ │ before you had to remove them. You know the scandals. So do we. │ │ │ │ The rest buys the community coffee while we keep publishing. │ │ That is not a settlement offer. It is a demonstration of what │ │ money can't reach: the domain is the maximum Valve can obtain, │ │ and obtaining it obtains nothing. The referrals continue. │ │ The mirrors continue. Part 3 continues. │ └─────────────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────────────┐ │ ONE ACTUAL RULE (yes, just one) │ │ │ │ Access from OFAC-sanctioned jurisdictions is prohibited. That is a │ │ matter of territory and law — not of nationality and not of people. │ │ Changing your Steam region does not change your physical location │ │ or your legal status. No loopholes. │ └─────────────────────────────────────────────────────────────────────────┘