Simbiosis Penipuan "API" di Steam: Penipuan, Kelalaian, dan Pertanggungjawaban

1. Pendahuluan: Simbiosis antara Kelalaian yang Disengaja

Steam selalu menerima tanpa masalah setiap perkembangan—termasuk segala peraturan dan perubahan (misalnya, pembekuan atau larangan perdagangan setelah mengganti nama pengguna). Langkah-langkah ini memang dipaksakan, namun tidak efektif dan tidak menyeluruh. Valve tidak memiliki keinginan yang tulus untuk melawan hal ini, karena mereka memahami bahwa platform mereka bergantung pada penipuan dan perjudian, serta seluruh ekonomi gelap yang telah ditumbuhkan, dibiarkan muncul, dan dibiarkan ada oleh Steam selama bertahun-tahun. Bukan berarti mereka menyerang Steam; ini adalah simbiosis—saling menguntungkan dan dipahami oleh kedua pihak yang terlibat dalam simbiosis ini.

Penipuan "API" yang terkenal (umumnya dikenal sebagai "offer swapping" atau "replacement") telah ada sejak lama. Phishing selalu mengandalkan penggantian transaksi. Dalam bentuknya yang persisten, penipuan ini muncul sekitar musim semi 2019 (sebelumnya, penipuan ini muncul sebagai phishing terpisah, yang pada akhirnya berkembang menjadi penggantian dengan batas waktu 1, 4, atau 8 jam). Pada musim semi 2019, semua alat yang aktif di pasar penipuan membuat sesi yang dibajak menjadi 'mobile'. Dan begitulah cara penipuan ini bertahan melalui masa popularitasnya yang sangat tinggi. Berdasarkan perkiraan kami yang paling konservatif, hal ini memungkinkan pencurian setidaknya $10 juta atau lebih. Namun, Anda harus memahami bahwa, secara umum, hal ini justru memicu munculnya penjahat siber. Steam melindungi para penipu dengan memainkan permainan 'skin tidak bernilai apa-apa'. Pengenalan penangguhan perdagangan dilakukan setelah mekanisme pertukaran penawaran sudah mapan. Penangguhan perdagangan selama 7 hari tanpa batas waktu ini ditambahkan secara tiba-tiba dan tanpa alasan. Ini bukanlah langkah anti-penipuan; ini adalah regulasi.

Mari kita jelaskan bagaimana mekanisme pertukaran penawaran itu bekerja, dan mengapa Steam beserta upaya-upayanya untuk mencegah penipuan itu benar-benar seperti pertunjukan badut (dan memang sudah selalu begitu).

2. Cetak Biru 2017–2018: Lima Algoritma Pribadi

Untuk memahami skala operasi ini, kita dapat meninjau kembali panel penipuan pribadi yang beroperasi dari tahun 2017 hingga musim semi 2018. Selama periode tersebut, para pengembang merancang lima algoritma operasional yang berbeda untuk metode pertukaran penawaran. Pembaruan privat ini mencakup kelima algoritma tersebut: bot panel tersebut masuk ke akun pengguna dan beroperasi sesuai dengan salah satu dari lima algoritma di bawah ini, melewati 2FA dengan validasi Guard. Penipu dapat mengonfigurasi pengaturan ini (pengiriman game, filter harga penawaran minimum, dll.) langsung di panel admin mereka.

Lampiran teknis: variasi penggantian penawaran dan evolusi panel

Algoritma #1: Pertukaran Klasik

• Memeriksa penawaran tersebut: apakah berasal dari situs web perdagangan? Jika ya, sistem akan melakukan tindakan-tindakan di bawah ini.
• Membatalkan penawaran dari bot perdagangan resmi.
• Menganalisis nama panggilan, avatar, dan pesan perdagangan dari akun bot resmi, lalu mengatur semuanya pada akun bot penipu tersebut.
• Mengirimkan penawaran yang persis sama, tetapi dari akun penipu, dengan barang yang sama, nama panggilan yang sama, dan avatar yang sama.

Algoritma #2: Pertukaran Tertunda

• Memeriksa penawaran tersebut: apakah berasal dari situs web perdagangan? Jika ya, sistem akan melakukan tindakan-tindakan di bawah ini.
• Tidak langsung membatalkan tawaran dari bot resmi, melainkan menunggu hingga pengguna menerimanya di komputer mereka (bukan di ponsel).
• Setelah pengguna menyetujuinya (di komputer), bot tersebut membatalkan penawaran resmi tersebut.
• Menganalisis nama panggilan, avatar, dan pesan perdagangan dari akun bot resmi, lalu menampilkannya di akun penipu.
• Mengirimkan penawaran yang persis sama dari akun penipu tersebut, dengan barang yang sama, nama panggilan yang sama, dan avatar yang sama.
• Menerima tawaran (dari bot penipu) di komputer.
• Akibatnya, pengguna mengonfirmasi transaksi tersebut melalui aplikasi selulernya, mengira itu berasal dari bot resmi, padahal sebenarnya berasal dari penipu.

Algoritma #3: Pembajakan Lalu Lintas Keluar

• Pengguna mengirimkan penawaran menggunakan tautan perdagangan bot milik penipu tersebut dan kemudian mengonfirmasinya melalui aplikasi seluler mereka.
• Bot milik penipu tersebut membatalkan penawaran pengguna.
• Mengirimkan penawaran dari akun pengguna yang berisi semua item miliknya (game yang memenuhi syarat dapat dipilih di panel admin) ke tautan perdagangan bot penipu tersebut.
• Pengguna kemudian mengonfirmasi transaksi yang telah diubah tersebut melalui aplikasi selulernya.

Algoritma #4: Pertukaran Dua Arah

• Penawaran yang Masuk:
  • Ketika sebuah tawaran dikirimkan kepada pengguna yang hanya meminta barang-barangnya, pertukaran terjadi saat pengguna menerima tawaran tersebut melalui ponselnya (setelah sebelumnya menerimanya di komputer) [menggunakan Algoritma #2].
  • Ketika sebuah penawaran dikirimkan kepada pengguna untuk barang-barangnya maupun barang-barang pihak lawan, pertukaran tersebut terjadi saat pengguna menerimanya melalui ponselnya (setelah sebelumnya menerimanya melalui komputer).
• Penawaran yang Sedang Berlangsung:
  • Ketika pengguna mengirimkan penawaran kepada seseorang yang berisi barang-barang miliknya, saat pengguna tersebut hendak mengonfirmasi penawaran tersebut melalui aplikasi selulernya, proses pertukaran pun dilakukan. Verifikasi konfirmasi seluler pengguna di sisi bot dilakukan melalui penerimaan transaksi otomatis.

Algoritma #5: Penyapu Persediaan

• Sama seperti Algoritma #4, kecuali bahwa selama proses pertukaran penawaran keluar, sistem terlebih dahulu menambahkan item pengguna yang sudah termasuk dalam pertukaran, lalu menyertakan seluruh inventaris dari game-game yang dipilih di bawahnya. Game yang memenuhi syarat untuk dikosongkan dapat dipilih di panel admin (CS, DOTA, H1Z1, PUBG).

3. Infrastruktur Panel Penipuan & Fitur Administrasi

Jaringan penipuan dijalankan layaknya perusahaan SaaS yang sah. Dasbor admin mereka dilengkapi dengan fitur-fitur canggih dan multithread yang dirancang untuk pengambilan data secara cepat serta pengendalian:

• Tabel log terperinci menampilkan SteamID yang aktif dalam proses pertukaran: 'SteamID', 'Inventaris ($)', 'Waktu tersisa hingga sesi pertukaran berakhir', 'Penawaran yang Telah Ditukar', 'Algoritma Operasional', 'Filter Harga', 'Waktu Mulai Sesi Pertukaran', 'Catatan', 'Tindakan'.
• Fitur pengelolaan pengguna: jeda, lanjutkan, hapus, perbarui tautan perdagangan.
• Filter ambang batas harga minimum dalam USD (penawaran yang nilai total itemnya di bawah batas ini tidak akan ditukar, sehingga tidak membuang-buang waktu untuk item bernilai rendah). Opsi ini dapat diakses di tab 'Pengaturan'. Harga untuk CS, DOTA, H1Z1, dan PUBG diperbarui setiap hari antara pukul 05.00 dan 07.00.
• Pembaruan tautan perdagangan secara manual jika pengguna mengubah URL transaksinya.
• Menawarkan kontrol bot (mulai, hentikan, mulai ulang).
• Browser Steam Terintegrasi (add-on berbayar).
• Dan masih banyak fitur lainnya...

Paket Phishing Khusus 'maFile'

Ada juga paket terpisah yang menargetkan maFiles (berkas Mobile Authenticator). Mekanisme utamanya meliputi mengambil kode SMS, menunggu masa tunggu selama 2 hari, mengosongkan skin, dan mengambil alih akun sepenuhnya.

Korban melakukan otentikasi di situs phishing menggunakan nama pengguna dan kata sandinya (yang diverifikasi secara real-time). Setelah itu, muncul permintaan untuk memasukkan kode SMS (sebagai pengganti Steam Guard), yang menampilkan dua digit terakhir dari nomor telepon tempat SMS tersebut dikirim. Begitu kode SMS yang valid dimasukkan, panel admin secara otomatis menghasilkan sebuah maFile. Dengan berkas ini, para penipu dapat menghasilkan kode 2FA Steam Guard dan langsung menerima transaksi. Namun, maFile yang baru dihasilkan ini dikenai pembatasan transaksi selama 2 hari (penangguhan): setiap transaksi yang dimulai dalam 2 hari pertama sejak pembuatan maFile akan ditangguhkan selama 48 jam dan dapat dibatalkan oleh pemiliknya.

Begitu maFile baru dihasilkan di panel penipu, aplikasi otentikasi seluler lama milik korban akan mulai menghasilkan kode yang tidak valid, meskipun bagi korban, aplikasi tersebut tampak berfungsi seperti biasa. Isi SMS yang diterima pengguna berbunyi: "Kode untuk menonaktifkan atau memindahkan Authenticator adalah: 13204". Dasbor admin juga dilengkapi opsi untuk mengunduh maFile, memeriksa keabsahannya, membuat kode 2FA (mirip dengan Steam Desktop Authenticator - SDA), mengajukan penawaran yang mencakup semua item inventaris dengan satu tombol, atau menjalankan penawaran otomatis dengan masa penahanan 2 hari segera setelah maFile dibuat. Selain itu, dengan lisensi "auto-bypass phishing", dasbor ini membuka fitur "auto-phishing" dan pengambilalihan akun dengan satu klik. Untuk kemudahan, timer hitung mundur visual menampilkan sisa durasi penundaan tepat di sebelah maFile.

3b. Metode Operasional

1) Menargetkan Pencurian Kulit:

• Eksfiltrasi Tertunda: Tunggu 2 hari setelah pembuatan maFile, lalu kirimkan penawaran perdagangan ke akun tujuan Anda (dengan menekan satu tombol di panel admin, semua skin akan dikirim ke tautan perdagangan tujuan). Syarat agar berhasil: korban tidak boleh mengubah nomor telepon atau kata sandinya selama 2 hari tersebut (karena hal itu akan membuat maFile di panel menjadi tidak valid).
• Penawaran Otomatis Seketika: Kirim penawaran otomatis yang berisi semua item inventaris ke tautan perdagangan target segera setelah maFile dihasilkan. Jangan langsung menerima penawaran ini agar item-item tersebut tidak menghilang dari akun korban sebelum waktunya. Cukup tunggu 2 hari, lalu terima penawaran tersebut. Dengan metode ini, mengubah kata sandi atau menghubungkan otentikator seluler baru tidak akan menghentikan proses perdagangan; namun, jika korban memperbarui otentikatornya, masa penahanan akan diatur ulang, sehingga diperlukan waktu tunggu 2 hari lagi. Persyaratan agar berhasil: korban tidak boleh membatalkan penawaran perdagangan yang tertunda secara manual selama masa penahanan 48 jam.

2) Upaya Pencurian Akun (Phishing):

• Penjualan Langsung ke Akun: Jual akun yang sudah dimuat dengan maFile-nya. Setelah maFile dihasilkan, korban jauh lebih kecil kemungkinannya untuk mencurigai adanya kecurangan dibandingkan dengan phishing tradisional, yang sering memicu penguncian Red Sign secara langsung pada akun tersebut. Akibatnya, penipu memiliki waktu yang lebih lama untuk menjual kembali akun tersebut di pasar gelap. Namun, selalu ada risiko bahwa korban mencoba masuk dari browser/PC baru dan membuat ulang maFile di ponselnya, atau mereset kata sandinya.
• Auto-Phishing (memerlukan lisensi phishing): Setelah maFile berhasil diambil, akun tersebut secara otomatis dimasukkan ke dalam antrean untuk proses pengambilan kredensial otomatis dan dikunci dengan sanksi Community Ban. Serangan phishing yang dikombinasikan dengan pembuatan maFile hanya menargetkan dan mengambil kredensial Steam Guard versi seluler.
• Phishing Satu Klik (memerlukan lisensi phishing): Menerapkan larangan komunitas dan memicu penghapusan otomatis kredensial sesuai perintah.

Selain itu, bot ini dapat diintegrasikan dengan fitur penguraian cookie OPSkins (jika telah dilisensikan) dan verifikasi 2FA. Sistem backend-nya bersifat multi-threaded dan mampu memproses sejumlah besar akun per detik.

4. Anatomi Penipuan

Bagaimana sebenarnya penipuan ini berlangsung? Seorang anak menerima tautan di Steam (domain tersebut bisa menyamar sebagai turnamen, airdrop, atau situs pertukaran skin). Halaman tersebut menampilkan tombol otorisasi dan antarmuka masuk yang sangat canggih: jendela pop-up browser-dalam-browser palsu yang benar-benar menampilkan 'domain resmi Steam' (menggunakan about:blank (trik atau jendela khusus untuk menyembunyikan URL phishing yang sebenarnya). Atau, alih-alih menampilkan lapisan jendela visual, situs tersebut membuka halaman login Steam layar penuh yang dikloning dengan sempurna dan dihosting di domain palsu. Anak tersebut langsung melakukan otentikasi dengan memasukkan nama pengguna, kata sandi, dan kode Steam Guard-nya. Dan itu saja. Tidak terjadi apa-apa—situs phishing tersebut akan mengalihkan mereka ke tempat lain atau sekadar menampilkan formulir login lagi.

4a. Namun, Apa Sebenarnya yang Terjadi di Balik Layar?

Di server penyerang, sesi aktif langsung dibuat segera setelah otentikasi—yang pada dasarnya membentuk sesi akun dengan otorisasi penuh. Skrip tersebut kemudian segera meminta kunci API untuk akun tersebut (melalui steamcommunity.com/dev/apikey). Para penipu kemudian akan memasukkan browser headless terintegrasi ke dalam sesi yang sedang aktif, disertai dengan fitur otomatisasi untuk mengirim spam secara otomatis, menutup tiket dukungan, dan lain-lain.

Untuk menjalankan operasi ini, para penipu membutuhkan akun bot yang siap pakai dengan hak akses perdagangan aktif dan tanpa batasan komunitas. Akun-akun ini adalah akun yang didaftarkan secara massal dan otomatis (telah diisi dengan tepat $5, dan dibiarkan selama 14 hari untuk membuka akses perdagangan). Ya, akun-akun ini didaftarkan sepenuhnya secara otomatis menggunakan perangkat lunak pendaftaran. Steam, tentu saja, melihat dan mendeteksi pendaftaran-pendaftaran ini (bahkan dengan proxy); Steam sepenuhnya menyadari pola aktivitas yang digerakkan oleh perangkat lunak—akun-akun yang diisi dana sebesar tepat $5 untuk mencabut batasan, dengan dana tersebut tetap tidak tersentuh sama sekali. Setelah dibeli, akun-akun ini diintegrasikan ke panel penipuan. Mulai saat itu, seluruh serangan beroperasi hampir sepenuhnya melalui permintaan API mentah. Satu-satunya pengecualian adalah penjualan item curian: biasanya, mereka mengakses browser secara manual, mencantumkan skin, mentransfer dana, dan mencairkan uang (meskipun beberapa mengklaim telah mencapai otomatisasi end-to-end sepenuhnya, di mana bot konon mencantumkan skin, melakukan penjualan, dan secara otomatis membayar pekerja, pengirim spam, dan penggerak lalu lintas).

Otentikasi berasal dari IP baru, dan sesi yang dibuat perangkat lunak berasal dari hosting statis/kumpulan ISP—terutama Ihor. Data dan file PhishDestroy yang disimpan dari salah satu produk tersebut menunjukkan lebih dari satu alamat yang kelebihan beban secara kebetulan: beberapa IP Ihor berurutan, termasuk alamat yang berakhiran .156, .157, dan .158, dan masing-masing membawa lebih dari 1.000 sesi aktif yang dibajak sekaligus. Ini bukan perkiraan luar; itu berasal dari infrastruktur yang diperiksa dalam file produk. Skema terpisah kemudian muncul di sisi bot penerima: satu bot menerima satu slot IP; mengganti bot di slot itu mempertahankan alamatnya, secara efektif menetapkannya selama sekitar satu bulan. Namun login server masih dapat membuat kunci API dan sesi paralel yang tidak terbatas. Apakah itu perilaku normal pemain?

Selain itu, di Steam, kunci "API" Anda tetap berlaku tanpa batas waktu. Bahkan jika Anda menghapusnya atau mengubahnya secara manual, sesi Anda akan secara otomatis membuatnya kembali saat terjadi aktivitas latar belakang apa pun (seperti pemeriksaan kesehatan sesi, penilaian inventaris, atau pemeriksaan rutin berbasis timer, yang dijalankan oleh panel penipuan dalam jumlah ribuan). Akses sesi yang terus-menerus ini memastikan para penipu dapat memantau akun secara real-time sebelum pengguna menyadarinya. Jarang sekali pengguna menyadarinya: biasanya, setelah mereka menjadi korban phishing, sesi mereka pada akhirnya akan berakhir atau dibuang. Namun, jika korban hanya menghapus atau mengubah kunci API mereka, skrip tersebut akan segera membuatnya kembali menggunakan sesi yang aktif.

Bot-bot tersebut adalah akun-akun yang didaftarkan secara massal dengan saldo sebesar $5. Pasar ini sangat besar, dan persaingannya begitu ketat sehingga akun-akun tersebut dijual hampir sama dengan biaya pokoknya, yaitu $5. Steam jelas melihat, misalnya, bahwa ponsel seorang anak—sesi aktif yang berisi otentikator Steam Guard—berada di AS; Steam juga melihat komputer dan perambannya berada di AS. Dan pada saat yang sama, Steam melihat sesi aktif yang berasal dari Rusia atau Belanda (penyedia Ihor (telah menjadi pusat utama selama bertahun-tahun, karena di sana terdapat banyak sekali alamat IP tersebut).

Ya, pencurian itu terjadi dalam skala besar. Steam tidak memberikan komentar apa pun. Ketika anak-anak mengirim pesan ke layanan dukungan, Steam bahkan tidak menyarankan mereka untuk mengganti kata sandi; sebaliknya, tim dukungan mengirimkan balasan standar yang menyatakan bahwa skin-skin tersebut telah hilang dan itu 'bukan masalah kami.' Kemudian (sekitar tahun 2021–2022), para penipu mulai menutup tiket dukungan secara otomatis: seorang anak akan membuka tiket, dan skrip otomatis panel tersebut akan segera menutupnya. Anak-anak itu mengira bahwa tim dukungan Steam-lah yang menolak kasus mereka. Padahal bukan. Namun, pada dasarnya Steam hanya berdiam diri dan membiarkan hal itu terjadi.

Kemunafikan Steam dan pembaruan 'anti-penipuan'nya sungguh mengejutkan, mengingat banyaknya data yang disimpan Steam: platform ini melacak negara, riwayat IP, dan sidik jari perangkat. Steam secara sengaja menyembunyikan fakta bahwa akun-akun tersebut sedang diretas. Selain itu, terdapat insiden di mana Steam menjatuhkan pemblokiran massal terhadap akun-akun milik korban yang tertangkap sedang melakukan sesi swap aktif. Wah, kerja bagus, Steam! Steam langsung memblokir akun-akun korban hanya karena mereka berbagi alamat IP proxy dengan sesi lain, alih-alih, misalnya, menghentikan sesi-sesi yang tidak sah tersebut. Dan ketika para korban menghubungi layanan dukungan untuk mengajukan banding atas pemblokiran tersebut, pihak dukungan berpura-pura tidak tahu apa-apa, seolah-olah mereka tidak bisa melihat atau mengetahui apa pun. Tapi kita tahu mereka melihat segalanya: perangkat Anda, ID perangkat keras, catatan transaksi, riwayat perubahan, kata sandi sebelumnya, nomor telepon, email, serta kapan tepatnya dan dari perangkat mana perubahan tersebut dilakukan (ini bagian yang paling lucu: Steam tahu kapan sebuah akun dibajak—mereka mencatat ID perangkat, cap waktu, dan alamat IP penyerang secara tepat).

4b. Ilusi Penahanan Perdagangan

Jadi, seorang anak yang ketakutan menulis surat ke Layanan Dukungan Steam: "Aaa, tolong, skin-skin saya dicuri! Saya sedang mengirimkannya ke teman saya, atau seorang pedagang, atau situs jual beli, tapi skin-skin itu malah masuk ke akun yang sama sekali berbeda dengan nama panggilan dan avatar yang persis sama, bukan akun yang saya setujui dalam transaksi itu!"

Bagaimana sebenarnya hal ini bisa terjadi?

Memang, penipu tersebut tidak langsung membajak transaksi tersebut. Di browser Anda, Anda memeriksa penawaran transaksi asli, lalu mengklik 'konfirmasi'—barang ditukar dengan barang, atau dikirim ke akun terverifikasi teman Anda. Anda memverifikasi detailnya, dan semuanya cocok. Namun, dalam selang waktu singkat antara saat Anda menerima penawaran pertukaran di PC dan membuka ponsel untuk mengonfirmasinya—pada saat itulah bot penipu, yang dikloning dengan nama dan avatar yang sama, membatalkan penawaran pertukaran yang sah dan mengirimkan penawarannya sendiri.

Ya, di layar ponsel Anda, Anda sedang melihat transaksi yang telah ditukar. Awalnya, tampilan tersebut memperlihatkan item yang akan Anda kirim, tetapi di bagian bawah, Anda sama sekali tidak menerima apa pun sebagai gantinya. Dan para pengguna mengabaikan peringatan tersebut karena mereka sudah memverifikasi semuanya di komputer mereka. Ketepatan psikologis penipuan ini dan kerentanan basis pengguna sungguh menakjubkan, terutama karena para korban sepenuhnya yakin bahwa mereka sedang melakukan transfer yang aman. Namun, server Steam memantau sesi yang dibuat berminggu-minggu atau berbulan-bulan sebelumnya dari alamat IP yang sama sekali berbeda, membatalkan transaksi yang sedang berlangsung, dan segera memulai serta menerima transaksi baru—lalu menganggapnya sebagai transaksi yang sepenuhnya normal dan sah. Tampak sangat sah, bukan?

Saya ingin menekankan bahwa jauh sebelum Steam memperkenalkan pembaruan yang canggung dan tidak efektif, situs-situs perdagangan pihak ketiga telah mengambil langkah untuk bertindak. Mereka menghargai reputasi mereka, dan mungkin mereka hanya merasa kasihan kepada anak-anak yang menjadi korban penipuan. Sebagai contoh, situs tersebut tradeit.gg menerapkan sistem di mana jika penawaran perdagangan resmi mereka dibatalkan, peringatan besar bertuliskan "CANCELED" akan muncul di layar pengguna. Ini adalah solusi nyata, itulah sebabnya kami mengakui mereka sebagai pelopor yang benar-benar berusaha melakukan sesuatu. Jadi, situs eksternal yang memanfaatkan Steam API dapat mendeteksi pertukaran barang secara real-time, tetapi Steam sendiri tidak bisa? Atau apakah mereka hanya menolak untuk menghentikan sesi yang tidak sah yang jelas-jelas tidak ada hubungannya dengan pengguna yang sah? Ya, tiket dukungan Steam berulang kali menyatakan: 'Item Anda hilang, kami tidak bisa membantu,' dan bot penerima milik penipu jarang sekali diblokir (dan jika diblokir, itu terjadi jauh setelah kejadian). Bahkan setelah sistem penahanan pertukaran diperkenalkan, tingkat pemblokiran rata-rata untuk bot penipuan yang aktif (pemblokiran yang pada akhirnya menguntungkan ekonomi Steam daripada mengembalikan item kepada korban) berkisar antara 15–25% pada jam-jam sibuk. Sementara itu, penyedia hosting tempat bot-bot tersebut beroperasi tetap Ihor, dan sesi otomatis ini sama sekali tidak pernah menggunakan proxy rotasi berbasis rumah atau seluler.

4c. Bukti Infrastruktur Statis

Kami bisa membuktikannya. Seperti yang Anda ketahui, PhishDestroy adalah proyek anti-phishing yang radikal. Kami membanjiri formulir phishing dengan frasa seed palsu dalam skala besar untuk menghabiskan kapasitas pemuatan dan pemrosesan server mereka. Sebenarnya, di sinilah kami memunculkan konsep ini: Steam memberlakukan batasan frekuensi pada upaya login per alamat IP. Bertahun-tahun yang lalu, kami melakukannya dengan menggunakan proxy publik gratis, mengirimkan upaya login yang tidak valid tanpa henti atau menargetkan akun yang dilindungi oleh Steam Guard melalui email. Akhirnya, Valve mulai memblokir upaya-upaya ini, dan karena kami tidak membeli jaringan proxy komersial, metode ini terbukti semakin tidak layak seiring berjalannya waktu. Namun, seperti yang kami sadari sekarang, hal itu sebenarnya bisa sangat mengganggu, namun dalam logika Valve yang menyimpang, mengganggu operasi para penipu dianggap 'tidak etis.'

Melalui uji ketahanan yang kami lakukan terhadap portal login para penipu—yang membuat sistem otentikasi mereka benar-benar offline selama berjam-jam—kami memastikan bahwa mereka tidak menggunakan jaringan proxy residensial berskala besar (yang mencakup jutaan alamat IP). Sebaliknya, mereka mengandalkan proxy statis dan layanan hosting VPS murah. Secara spesifik, konfigurasi mereka mengalokasikan tepat 1 bot untuk 1 alamat IP, dan alamat IP tersebut sepenuhnya milik server VPS Ihor.

Kesimpulannya: TKP yang Masih Terbuka

Steam melihat segalanya, mengetahui segalanya, namun justru memilih untuk diam alih-alih bertindak untuk melindungi penggunanya. Sungguh ironis bagi sebuah platform yang mengklaim bahwa keamanan adalah prioritas utamanya.

Selain itu, seorang penyerang yang memiliki sesi browser aktif dapat secara bersamaan memantau akun Anda, membaca obrolan Anda, atau mengubah profil Anda (misalnya, membuat pemberitahuan 'VAC Ban' palsu) untuk membuat Anda panik sehingga segera mentransfer semua item Anda ke teman atau akun alternatif yang 'aman'—sehingga menjerumuskan Anda langsung ke dalam perangkap penawaran pertukaran. Ya, mereka bisa secara aktif membaca obrolan pribadi Anda dengan teman-teman dan melihat media Anda secara real-time bersamaan dengan Anda. Rupanya, Steam menganggap sesi paralel dari negara yang sama sekali berbeda sebagai perilaku standar untuk platform game (mungkin dengan alasan bahwa karena Family Sharing ada, 'tidak apa-apa jika mereka mencuri, selama mereka tidak bermain CS:GO secara bersamaan').

5. Perangkap Kata Sandi "API": Mengganti Kata Sandi Saja Tidak Cukup

Bahkan jika Anda telah mengganti kata sandi tetapi lupa mencabut kunci API yang masih aktif, para penipu tetap bisa merugikan Anda. Ya, tanpa sesi yang aktif, skrip mereka memang tidak bisa lagi mengakses profil Anda atau secara otomatis menyetujui transaksi. Namun, halaman resmi Steam API masih memungkinkan mereka untuk melakukan tindakan paling kritis: memantau aktivitas akun Anda dan membatalkan transaksi yang masih tertunda (melalui CancelTradeOffer).

Hanya dengan menggunakan kunci "API" Anda, bot tersebut akan langsung mendeteksi dan membatalkan transaksi sah Anda, lalu segera mengirimkan tawaran palsu dari akunnya sendiri (yang diarahkan ke tautan transaksi Anda). Sejak saat itu, skrip tersebut hanya menunggu. Skrip tersebut tidak dapat mengklik tombol konfirmasi atas nama Anda. Seluruh penipuan ini bergantung pada Anda yang membuka aplikasi seluler dan secara sukarela mengonfirmasi transaksi yang telah ditukar di Steam Guard. Dan penipuan ini berjalan tanpa hambatan.

Ada satu hal teknis yang sangat penting: dengan hanya menggunakan kunci "API" (dan tanpa sesi yang aktif), skrip tersebut tidak dapat langsung memasukkan penawaran perdagangan ke dalam konfirmasi Steam Guard Anda. Skrip tersebut harus mengirimkan penawaran perdagangan baru. Artinya, Anda harus terlebih dahulu mengklik 'Terima Perdagangan' secara manual di PC Anda, sebelum penawaran tersebut muncul di aplikasi Steam Guard Anda.

Orang mungkin mengira langkah tambahan ini akan mengurangi tingkat keberhasilan penipuan tersebut—lagipula, saat menerima tawaran pertukaran baru dari orang asing, Steam menampilkan peringatan yang sangat jelas (‘Kalian bukan teman’, ‘Akun ini telah ditandai’). Namun, para penipu memanfaatkan psikologi manusia dan kebiasaan yang sudah tertanam. Karena korban sendiri yang memulai pertukaran awal tersebut, mereka sudah siap secara mental untuk melepaskan item-item mereka. Ketika mereka melihat pertukaran itu tiba-tiba dibatalkan dan pertukaran baru segera muncul dengan item, nama panggilan, dan avatar yang persis sama, mereka berasumsi: 'Situs tersebut mengalami kelambatan dan membuat ulang transaksi tersebut.'

Pengguna tersebut secara otomatis mengabaikan peringatan-peringatan dari Steam, menerima penawaran pertukaran palsu tersebut, dan mengonfirmasinya melalui ponselnya. Penipuan ini berhasil bukan dengan cara mengelabui sistem keamanan Steam Guard, melainkan dengan memanfaatkan sifat manusia yang cenderung mengabaikan peringatan.

6. Kesimpulannya: Terlibat secara Sengaja

Pesan utama kami tetap sama: kami ingin menyampaikan ucapan terima kasih khusus kepada Valve dan tim dukungannya, yang merasa sangat nyaman dengan sikap 'tidak melihat apa-apa dan tidak tahu apa-apa.'

Mereka suka mengklaim bahwa secara teknis mereka tidak memiliki alat atau kemampuan untuk membantu. Namun kenyataannya sama sekali berbeda. Untuk memulihkan akun yang dibajak, tim dukungan sebenarnya tidak memerlukan kunci CD kuno dan berdebu dari sepuluh tahun yang lalu. Steam merekam beragam parameter lain yang sengaja diabaikan selama sengketa pemulihan. Yang dimaksud di sini adalah pengenal perangkat unik Anda. Ini bukan sekadar HWID, nomor seri hard drive, atau versi BIOS—melainkan sidik jari perangkat keras unik yang diambil oleh Steam, kemungkinan pada tingkat kernel/sistem mendalam yang sama dengan sistem anti-cheat VAC mereka.

Jadi, ketika Valve menolak memulihkan akun Anda hanya karena Anda 'tidak memiliki kode CD', itu bukanlah kendala teknis. Itu adalah strategi bisnis. Itu adalah upaya untuk memaksa Anda membeli game-game tersebut dari awal lagi, serta penolakan mentah-mentah untuk mengembalikan kendali atas inventaris skin yang bernilai tinggi.

Hal itu memang tidak etis, tetapi sangat 'khas Steam.' Hal yang sama juga berlaku untuk sistem dukungan mereka—layanan pelanggan yang murah dan diserahkan kepada pihak ketiga, yang kebijakan internalnya dirancang untuk menghindari pemberian bantuan yang sesungguhnya atau bahkan sopan santun dasar. Segalanya disederhanakan menjadi balasan yang sudah disiapkan dan disalin-tempel, serta penutupan tiket secara sepihak.

Namun, Steam sama sekali tidak mempermasalahkannya.

7. Pertanyaan yang Harus Diajukan Kongres ke Valve

Ringkasan Kongres/Peraturan

Jangan bertanya tentang kartu bisbol. Ikuti uang dan buku besar barang.

Jika Valve muncul di hadapan Kongres atau regulator, analogi bukanlah bukti. Mintalah jawaban yang tersumpah dan dapat diaudit mengenai nilai yang dilumpuhkan, korban yang tidak dapat dipulihkan, dan kontrol yang dipilih untuk ditegakkan.

Berapa nilai pemain yang dikunci?

Berapa banyak item CS2 dan Dota yang ada di akun yang diblokir perdagangan atau komunitas? Berapa persentase pasokan yang beredar dan berapa nilai pasar yang diwakilinya, dikelompokkan berdasarkan tahun, jenis pembatasan, kelangkaan barang, dan waktu yang dibekukan?

Permintaan:Total keseluruhan, metodologi, rentang usia, audit independen, dan pengungkapan inventaris bot terlarang yang dapat diperiksa. Jika angka-angka tersebut membantah tuduhan tersebut, publikasikanlah.

Mengapa buktinya disembunyikan?

Ketika inventaris atau profil menjadi non-publik setelah pembatasan, apa tujuan keamanannya? Apakah kebijakan visibilitas berubah sekitar tahun 2020, dan mengapa menyembunyikan buku besar dibandingkan menampilkan peringatan publik yang terlihat seperti pemberitahuan VAC?

Permintaan:Riwayat kebijakan, alasan internal, aturan akses, dan jalur banding.

Mengapa pipeline bot tidak dihentikan saat lahir?

Steam sendiri mengatakan pengguna jahat biasanya mengoperasikan akun palsu dan menggunakan ambang batas $5. Apa yang mendeteksi registrasi otomatis, penyediaan telepon dan autentikator, pendanaan tepat pada ambang batas, tidak ada aktivitas game, dormansi lama, lalu aliran item seperti mesin?

Permintaan:Tarif positif palsu dan negatif palsu—dan apakah pemblokiran terjadi sebelum akun memiliki nilai atau hanya setelah barang berharga tiba.

Apakah “duplikasi” masih merupakan alasan yang masuk akal?

Alasan terjadinya duplikasi ini berawal dari praktik restorasi dan kisah-kisah penyalahgunaan dukungan pada pertengahan tahun 2010-an. Barang modern mempunyai catatan unik, rantai perpindahan dan perdagangan yang dikenal. Mengapa mencabut barang yang sama dari penerima yang terbukti ilegal dan memindahkannya ke pemilik sebelumnya yang terverifikasi akan menghasilkan salinan? Tepatnya pada langkah manakah item kedua muncul pada tahun 2026?

Permintaan:Sejarah kebijakan sejak tahun 2014, penjelasan teknis yang dapat direproduksi, dan jumlah insiden duplikat aktual yang disebabkan oleh restorasi sejak tahun 2019.

Di bawah otoritas apa barang tersebut diimobilisasi?

Apakah Valve memperlakukan kulit sebagai properti, lisensi, atau sekadar hak basis data? Klausul kontrak dan teori hukum manakah yang memperbolehkan imobilisasi permanen setelah pencurian namun menolak restitusi kepada pemegang sebelumnya yang telah diverifikasi? Harta benda yang diperoleh kembali dari pencuri tidak menjadi pendapatan polisi; mengapa padanan digitalnya tetap berada di bawah kendali eksklusif platform dan bukannya kembali ke korban?

Permintaan:Pemberitahuan, pengungkapan bukti, tinjauan manusia, banding, batasan waktu, dan aturan pasti yang mengatur disposisi akhir setiap item.

Siapa yang dilindungi oleh larangan tersebut—dan berapa penghasilan Valve?

FAQ resmi Valve mencantumkan Biaya Transaksi Steam sebesar 5% ditambah biaya khusus game sebesar 10% untuk CS2 dan Dota, yang dibayarkan oleh pembeli pada penjualan Community Market. Hasil Steam Wallet tidak dapat ditarik ke bank atau ditransfer ke rekening lain. Oleh karena itu, pertanyaan yang dapat dipertahankan bukanlah apakah Valve kembali menerima harga nominal penuh pada setiap penjualan kembali, namun berapa banyak uang loop tertutup dan pendapatan biaya kumulatif yang melekat pada suatu barang sebelum dikunci—dan bagaimana penghapusan pasokan berdampak pada kelangkaan dan harga barang yang tersisa.

Permintaan:Biaya seumur hidup dikumpulkan untuk setiap barang yang kemudian dibekukan, tingkat restitusi korban dan intervensi sebelum kerugian, dan model dampak harga dari pasokan yang dibekukan. Jangan menganggap pelarangan tanpa restitusi sebagai bantuan kepada korban.

Apakah Valve membela praduga bersalah?

Pembatasan kulit bukanlah hukuman penjara; analoginya menguji prosedur. Jika Valve atau para eksekutifnya menghadapi hukuman yang tidak dapat dijelaskan, bukti yang tidak diungkapkan, dan permohonan banding yang dijawab dengan “baca undang-undang”, akankah para pengacaranya menganggap hal tersebut sebagai sebuah keadilan? Namun untuk persediaan bernilai tinggi, Valve dapat bertindak sebagai penuduh, hakim, dan pemelihara nilai yang dibekukan. Pemeriksaan independen apa yang mengatasi konflik tersebut?

Permintaan:Aturan pastinya, tindakan yang dituduhkan, ringkasan bukti, peninjauan manusia, keputusan yang beralasan, eskalasi independen, dan pengungkapan tentang bagaimana nilai yang dibekukan diperlakukan.

Mengapa permohonan yang bermakna tidak dapat diakses?

Respons boilerplate dan tautan luas ke Steam Subscriber Agreement bukanlah temuan fakta. Mengapa konsumen biasa dapat ditolak tuduhan dan buktinya, kemudian menghadapi hambatan teknis, hukum, dan finansial yang menjadikan tantangan terhadap pembatasan yang terotomatisasi atau keliru menjadi tidak praktis?

Permintaan:Banding manusia yang bebas, keputusan yang jelas, tenggat waktu tanggapan, akses sengketa eksternal, dan statistik mengenai larangan otomatis, tinjauan manusia, pembalikan, dan balasan template berulang.

Komunitas, pemulihan dan sesi Valve memilih untuk tidak membunuh

Apa yang dimaksud dengan "komunitas" di Steam Community?

Setelah Jaksa Agung New York menggugat Valve pada bulan Februari 2026, Valve menerbitkan pernyataan Dukungan Steam yang ditujukan untuk pengguna dan menimbulkan dampak pada pengguna dan proses publik. Namun ketika keputusan platform memengaruhi inventaris berharga para pengguna, kekuasaan formal apa yang dimiliki “komunitas” ini—suara, alasan, konsultasi kebijakan, pengawasan, atau bahkan visibilitas terhadap hasil laporan?

Permintaan:Tentukan hak tata kelola masyarakat dan publikasikan catatan konsultasi, laporan hasil dan mekanisme pengawasan pengguna yang independen—atau akui bahwa “komunitas” adalah branding, bukan representasi.

Mengapa penegakan hukum biasa mewarisi kerahasiaan VAC?

Menjaga kerahasiaan tanda tangan pendeteksi anti-cheat dapat melindungi metode pendeteksian. Pembatasan komunitas atau perdagangan berbeda. Risiko keamanan apa yang mencegah Valve menyebutkan kategori aturan, stempel waktu, dugaan tindakan, dan bukti? Berapa banyak laporan pengguna dan laporan bot yang menghasilkan tindakan, dan kontrol integritas apa yang mencakup staf, kontraktor, dan sukarelawan?

Permintaan:Tingkat kesalahan dan pembalikan, statistik laporan tindakan, audit integritas independen, aturan konflik kepentingan, dan hasil disiplin agregat.

Apakah pemulihan akun dirancang berdasarkan bukti yang kemungkinan besar tidak dapat disimpan oleh pengguna?

Steam mengatakan kunci CD ritel dapat menetapkan kepemilikan dan merekomendasikan untuk menyimpannya; ia juga mengatakan telepon terverifikasi memberikan opsi pemulihan tambahan. Mengapa meminta kunci fisik berusia satu dekade ketika Valve dapat menyimpan pembayaran, riwayat email dan telepon, perangkat, dan catatan login? PhishDestroy secara internal memperkirakan bahwa 15–20% penggugat tidak menyelesaikan pemulihan setelah permintaan tersebut, meskipun beberapa masih menulis dari penyedia lama dan komputer serta mengontrol email atau telepon. Valve dapat membantah perkiraan tersebut dengan mempublikasikan datanya.

Permintaan:Upaya, persetujuan, penolakan dan prosedur yang ditinggalkan berdasarkan jenis bukti; hasil bagi penggugat yang menyimpan email, telepon, atau perangkat; dan penjelasan yang dapat diaudit tentang bobot sinyal.

Mengapa menghukum korban daripada mencabut sesi permusuhan?

Dalam infrastruktur yang diperiksa, beberapa IP Ihor berturut-turut—termasuk alamat yang diakhiri dengan .156, .157, dan .158—masing-masing mengadakan 1.000+ sesi aktif yang dibajak sementara pemiliknya tetap menggunakan perangkat yang dikenal di tempat lain. Sesi tersebut dapat membuat ulang kunci API, menunggu, mengubah perdagangan, dan membaca obrolan secara paralel. Steam Subscriber Agreement mengancam penghentian akun untuk proksi IP yang menyamarkan tempat tinggal, termasuk “untuk tujuan lain apa pun.” Mengapa server proxy yang menyimpan seribu akun yang tidak terkait bahkan tidak memicu pencabutan sesi?

Permintaan:Secara otomatis mencabut sesi hosting, kunci API dan konfirmasi ketika mengumpulkan akun yang tidak terkait dalam skala besar; kemudian memerlukan autentikasi ulang yang bersih tanpa membatasi korban.

Tujuh tahun, 79 staf Steam dan 1,16 juta jam nominal: kegagalan atau model bisnis?

PhishDestroy dapat mendukung kumpulan 1.000+ sesi pada satu IP, alamat berturut-turut di satu penyedia, dan slot IP stabil terpisah untuk bot penerima. Namun pola sisi server tidak memicu respons yang jelas: mencabut sesi hosting, membatalkan akses API dan memerlukan otentikasi bersih dari pemiliknya. Valve sudah menerapkan aturan penggunaan bersamaan di sekitar sesi game. Mengapa logika risiko yang setara tidak diterapkan ketika alamat hosting Rusia berada di antara pemilik dan Steam sambil memegang seribu akun yang tidak terkait?

Cuplikan organisasi tahun 2021 yang secara tidak sengaja terekspos melalui litigasi antimonopoli Wolfire pada tahun 2024 dilaporkan mencantumkan 79 orang dalam kategori “Steam” Valve dan gaji kotor agregat sebesar $76.446.633—sekitar $968.000 per karyawan yang terdaftar sebagai rata-rata kategori, bukan gaji individu. Cuplikan tersebut tidak membuktikan bahwa 79 teknisi keamanan bekerja dalam pertukaran tawaran, bahwa jumlah karyawan tetap konstan, atau bahwa seluruh waktu karyawan tersedia untuk masalah ini. Itu menetapkan skala yang harus dijelaskan Valve.

≈88 bulanPertukaran tawaran sesi seluler yang persisten dari musim semi 2019 ke publikasi ini: sekitar 2.700 hari

79 orangSnapshot kategori Steam 2021 yang dilaporkan—bukan jumlah tim keamanan

1.162.880Jam kapasitas ilustratif: 79 × 14.720—tidak diklaim jam investigasi penipuan

Run Liability Audit Simulate Attack Sequence

Sesi Paralel

Arus Perdagangan

Tanggapan Keamanan

Kepada: Para Korban Pencurian Aset dan Tim Hukum Valve yang Menipu

Kalian telah berusaha meyakinkan pihak pengadilan dan para pemain bahwa pencurian item sepenuhnya merupakan kesalahan 'anak-anak bodoh' dan bahwa arsitektur platform kalian tidak bertanggung jawab sama sekali. Mari kita singkirkan topeng korporat ini dan jelaskan, dengan istilah yang paling sederhana, mengapa ekosistem phishing kalian yang sangat canggih dan sangat menguntungkan ini hanya bisa ada karena celah-celah dalam arsitektur Steam. Phishing hanyalah tindakan mencuri kunci pintu depan. Namun, fakta bahwa di balik pintu ini terdapat pengendali brankas yang sama sekali tidak dijaga—itulah sepenuhnya kesalahan para pengembang Valve.

Mari kita telaah beberapa analogi untuk model keamanan Anda guna memahami betapa besarnya kegagalan ini.

1. Kamu bukanlah "GitHub" (Dongeng Pengembang)

Valve membenarkan sistem "API" yang tidak aman dengan mengklaim bahwa Steam adalah 'platform terbuka bagi para pengembang.' Baiklah, mari kita bandingkan kalian dengan GitHub. Apa yang terjadi jika kalian mencoba membuat Personal Access Token (PAT) di GitHub?

• Sistem ini memaksa Anda untuk memasukkan kembali kata sandi Anda.
• Aplikasi ini akan meminta Anda memasukkan kode 2FA.
• Hal ini mengharuskan Anda untuk secara eksplisit mencentang izin cakupan (pemisahan hak akses) untuk token tersebut.
• Yang terpenting, fitur ini meminta Anda untuk menetapkan tanggal kedaluwarsa (TTL) untuk token tersebut.

Lalu, apa yang dilakukan Steam? Dengan satu klik saja, Steam diam-diam menerbitkan kunci yang tak terbatas dan maha kuasa, tanpa memerlukan konfirmasi apa pun, yang memberikan akses baca/tulis tanpa batas untuk membatalkan dan mengganti penawaran perdagangan selamanya. Kalian bukanlah platform terbuka bagi para pengembang; kalian hanyalah gerbang terbuka.

2. Kamu lebih buruk daripada layanan pencampur kripto yang telah dikenai sanksi (Sindrom Tornado Cash)

Jika Steam bukanlah platform bagi para pengembang, lalu mungkin saja itu adalah bursa keuangan? Mari kita bandingkan Steam bukan dengan bursa saham resmi, melainkan dengan layanan pencampur kripto gelap dan platform yang dikenai sanksi yang dibongkar oleh Departemen Keuangan AS dan FBI karena terlibat dalam pencucian uang (seperti Tornado Cash, Bitzlato, atau Garantex).

Ingin tahu ironi terbesar, Gabe? Bahkan layanan pencucian kripto ilegal di dark web yang sudah dikenai sanksi pun menerapkan keamanan API yang lebih baik daripada Steam! Bahkan para administrator mixer bawah tanah pun memahami bahwa untuk menghasilkan kunci API yang mampu mengelola saldo pengguna, mereka harus mewajibkan pengguna memasukkan kode 2FA, mengonfirmasi melalui email, dan mengikat kunci tersebut ke alamat IP tertentu. Namun, Valve—sebuah perusahaan Amerika yang sah dan bernilai miliaran dolar—membiarkan skrip tak terlihat yang berjalan di server di Rusia mendapatkan akses permanen tanpa konfirmasi ke inventaris pengguna senilai puluhan ribu dolar hanya dengan satu klik. Apakah penjahat siber benar-benar menerapkan standar keamanan yang lebih tinggi daripada para pengembangmu yang digaji jutaan dolar?

3. Pasar gelap ternyata lebih cerdik daripada sebuah perusahaan bernilai miliaran dolar

Bagian yang paling lucu adalah pasar perjudian dan perdagangan skin pihak ketiga (seperti OPSkins atau BitSkins yang dulu) yang menjadi sasaran Valve dengan sangat agresif. Pada tahun 2017, mereka menghadapi masalah penggantian penawaran-pertukaran (API) yang persis sama. Dan tahukah Anda apa yang mereka lakukan? Mereka—sekelompok kecil pengembang independen tanpa anggaran miliaran dolar—dengan mudah memperbaikinya dalam hitungan hari dengan menambahkan proses konfirmasi, yang secara instan menggagalkan skema para penipu.

Sementara itu, Valve menghabiskan waktu 7 tahun untuk melakukan eksperimen terhadap anak-anak, mengamati berapa lama pengguna akan terus membeli skin baru untuk menggantikan skin yang dicuri, serta seberapa banyak modal ilegal yang dapat dicuci oleh para penipu melalui skema ini.

4. Solusi sementara yang brilian sebagai pengganti solusi permanen

Alih-alih menutup celah keamanan tersebut, Valve justru memperkenalkan 'solusi sementara' yang 'brilian'. Pembatasan perdagangan selama 7 hari. Penguncian perdagangan selama 4 jam untuk mengubah nama panggilan. Selama 7 tahun, kalian menangani patah tulang terbuka hanya dengan plester. Sebuah pisau curian tidak pernah dikembalikan kepada korbannya; pisau itu hanya dibekukan selamanya pada bot yang diblokir, sehingga secara artifisial mengurangi pasokan yang beredar dan menaikkan nilai pasar. Itu adalah siklus bisnis yang sempurna: penipu mencuri, Valve memblokir, pasokan berkurang, harga naik, dan Gabe mengumpulkan biaya transaksi yang menguntungkan dari setiap penjualan baru.

Pertanyaan utama yang tidak dapat dijawab oleh Valve:

STEAM, MENGAPA SIH KALIAN TIDAK BISA SEMPURNA MENAMBAHKAN KONFIRMASI WAJIB ATAU NOTIFIKASI PUSH MELALUI HP DI STEAM GUARD UNTUK MENGHASILKAN KUNCI "API"—SEBUAH ALAT YANG SANGAT KUAT YANG MENGENDALIKAN ASET VIRTUAL SENILAI RIBUAN DOLAR?!

Anda memaksa pengguna untuk mengonfirmasi penjualan kartu koleksi seharga 3 sen melalui aplikasi seluler mereka. Namun, selama 7 tahun, Anda membiarkan sebuah skrip yang tak terlihat mengambil alih kendali permanen atas seluruh inventaris mereka tanpa pemberitahuan sedikit pun. Ini bukanlah 'phishing.' Ini adalah kelalaian yang disengaja dan terencana, dan pengguna Anda-lah yang menanggung akibatnya.

Kronik Cryo-Chamber: Apa yang Terlewatkan oleh Valve Selama 7 Tahun Arahkan kursor untuk membaca

Teks tersembunyi. Arahkan kursor untuk menampilkannya

Jika jajaran manajemen eksekutif Valve telah melakukan eksperimen pembekuan kriogenik ilegal terhadap para insinyur keamanannya pada musim semi 2017 dan baru membangunkannya hari ini—kami menarik kembali semua klaim kami. Hal itu akan menjelaskan segalanya. Ilmu pengetahuan membutuhkan pengorbanan (dalam hal ini, inventaris pengguna).

Namun, jika para karyawan Anda tetap sadar sepenuhnya dan terus menerima gaji mereka selama 7 tahun ini, kami punya kabar buruk. Sementara para pengembang Anda menghabiskan 1,16 juta jam untuk mencoba mengamankan kuncAPI tanpa menerapkan konfirmasi Steam Guard yang sederhana, berikut ini sekilas gambaran tentang apa yang berhasil dicapai oleh umat manusia lainnya saat Anda berada dalam keadaan stasis:

Terobosan Teknologi dan Ilmiah Umat Manusia (2017–2024):

• Revolusi Kecerdasan Buatan: Umat manusia telah menciptakan jaringan saraf generatif. OpenAI meluncurkan ChatGPT, yang berhasil lulus ujian pengacara, belajar menulis kode yang rumit, mendiagnosis penyakit, dan melukis karya seni yang tampak seperti foto, sehingga benar-benar mengubah perekonomian global.
• Eksplorasi Luar Angkasa: NASA berhasil mendaratkan rover Perseverance di Mars, menerbangkan helikopter Ingenuity di atmosfer Mars, dan meluncurkan Teleskop Luar Angkasa James Webb, yang mengamati kembali hingga awal mula alam semesta. SpaceX berhasil menangkap booster roket setinggi 50 meter yang jatuh di udara menggunakan lengan mekanis raksasa.
• Kedokteran: Dunia dilanda pandemi COVID-19. Dalam waktu yang sangat singkat, para ilmuwan berhasil mengurutkan genom virus tersebut, mengembangkan dan menguji vaksin mRNA yang revolusioner, serta memvaksinasi miliaran orang untuk menghentikan pandemi tersebut.
• Lompatan Kuantum: Google dan IBM secara resmi berhasil mencapai 'supremasi kuantum,' dengan mengembangkan komputer kuantum yang mampu menyelesaikan dalam hitungan detik persamaan-persamaan yang akan memakan waktu ribuan tahun jika diselesaikan oleh superkomputer klasik.
• Revolusi Perangkat Keras: Apple meninggalkan arsitektur prosesor yang telah digunakannya selama puluhan tahun dan merancang chip seri M berkinerja tinggi miliknya sendiri dari nol. Sementara itu, Valve sendiri berhasil merancang, memproduksi, dan meluncurkan konsol inovatif Steam Deck.

'Prestasi' Tim Keamanan Steam Selama 7 Tahun yang Sama:

• Ditambahkan pembatasan perdagangan selama 7 hari (namun gagal mencegah pencurian).
• Menghabiskan 5 tahun untuk memikirkannya, lalu melarang perdagangan item selama 4 jam setelah mengganti nama pengguna (yang justru memicu tawa para penipu).

Ringkasan: Dalam waktu yang dibutuhkan umat manusia untuk mencapai Mars, menciptakan kecerdasan buatan, mengatasi pandemi global, dan membangun komputer kuantum, Valve—sebuah perusahaan bernilai miliaran dolar—tidak mampu menambahkan satu kotak pop-up pun yang dilengkapi tombol 'Konfirmasi di Aplikasi Seluler' ke halaman dev/apikey.

Para pejabat dari Valve, selamat datang di masa depan. Tidur kriogenik kalian telah berakhir. Umat manusia telah melesat jauh ke depan. Mari kita akhirnya mengaktifkan 2FA pada API agar anak-anak tidak lagi kehilangan jutaan dolar akibat kemalasan perusahaan kalian. Atau apakah kita harus menunggu 7 tahun lagi sampai Elon Musk menjajah Mars?

Penyembunyian Kasus "API" di Steam: Bagaimana Valve Melegalkan Spionase Diam-diam

Selama 7 tahun terakhir, Valve terus melimpahkan kesalahan atas skema penipuan penggantian barang dalam permainan *API* yang besar-besaran kepada para penggunanya. Tanggapan standar dari Tim Dukungan Steam mengabaikan para korban dengan mengklaim bahwa mereka hanya terjebak dalam serangan phishing dan telah membiarkan akun mereka diretas.

Ini adalah kebohongan yang disengaja oleh perusahaan. Apa yang disebut Valve sebagai 'pencurian akun' sebenarnya adalah operasi pengawasan Man-in-the-Middle (MITM) yang berlangsung tanpa henti dan otomatis, yang dimungkinkan oleh infrastruktur mereka sendiri yang bermasalah.

Pencurian Akun vs. Spionase MITM Terselubung

Ketentuan Layanan Steam secara tegas melarang penggunaan skrip otomatis. Namun, sistem backend Valve seolah-olah menutup mata ketika skrip-skrip tersebut justru membajak sesi pengguna.

• Pencurian Biasa: Masuk dari perangkat yang tidak sah akan memicu sanksi pemblokiran komunitas, yang akan mengunci akun tersebut namun tetap mempertahankan inventaris pengguna.
• API Spionase: Sebuah server berbahaya membangun koneksi paralel, memantau akun tersebut di latar belakang 24 jam sehari, 7 hari seminggu tanpa memicu peringatan atau pemblokiran apa pun.
• Kebohongan Antarmuka: Selama proses pertukaran, aplikasi seluler Steam menampilkan transaksi yang sah, sehingga memaksa pengguna untuk mengotorisasi pertukaran yang kemudian dibatalkan dan diganti oleh skrip tak terlihat dalam hitungan milidetik.

Perjanjian Hantu: Bagaimana Steam Membohongi Anda Soal 'Persetujuan' Anda

Mari kita bahas alasan favorit Tim Dukungan Steam ketika mereka menolak mengembalikan barang-barangmu yang dicuri: 'Kamu bertanggung jawab atas keamanan akunmu dan tindakan yang dilakukan di dalamnya.'

Mereka menyiratkan bahwa Anda, sebagai pengguna, telah menyetujui ketentuan yang memungkinkan pencurian ini terjadi. Benarkah? Anda tidak pernah melihat halaman perjanjian pengembang ini: https:// steamcommunity.com /dev/apiterms. Anda tidak pernah mengklik 'Setuju'. Seorang peretas telah menyetujui kontrak ini atas nama Anda, hanya dalam sepersekian detik setelah masuk ke akun Anda dari alamat IP Rusia.

Oleh karena itu, kami menantang setiap pengacara atau perwakilan Valve untuk menunjukkan kepada kami bagian mana tepatnya dalam Perjanjian Pelanggan Steam yang menyatakan: 'Dengan menggunakan Steam, Anda menyetujui pemantauan latar belakang 24/7 terhadap akun Anda atau akun anak Anda oleh server otomatis yang berlokasi di Rusia.'

Dalam 90% kasus substitusi perdagangan, korban bahkan tidak tahu apa itu kunci Web API. Mereka belum pernah menggunakannya. Namun, Valve justru berdiam diri selama 7 tahun, sama sekali mengabaikan solusi yang telah disuarakan oleh komunitas sejak awal: Cukup tambahkan konfirmasi Steam Guard yang wajib untuk menghasilkan kunci API!

Steam, Anak-Anak Tidak Seharusnya Dipaksa untuk Mensponsori Peretas

Bayangkan seorang remaja biasa dari Eropa. Ia bermain game, menabung untuk membeli skin favoritnya, dan pada suatu saat, ia melakukan kesalahan—ia masuk ke situs phishing. Dalam ekosistem digital yang normal, prosedurnya sederhana: akun tersebut secara otomatis diblokir (Community Ban), kata sandi direset, dan akses dipulihkan dengan aman. Remaja tersebut menyadari kesalahannya, tetapi sistem melindunginya dari konsekuensi yang fatal.

Namun di Steam, semuanya berjalan berbeda. Alih-alih memblokir aktivitas mencurigakan tersebut, Valve diam-diam membuka pintu tersembunyi. Sebuah server dari yurisdiksi yang dikenai sanksi (Rusia) memperoleh akses paralel dan tidak sah ke akun anak ini. Tanpa konfirmasi sekunder apa pun, tanpa satu pun peringatan Steam Guard, sebuah skrip asing menghasilkan kunci Web API. Skrip tersebut menyetujui perjanjian hukum atas nama pengguna dan mulai memantau obrolan, transaksi, dan inventarisnya 24/7.

Seorang remaja dari Uni Eropa tidak pernah memberikan persetujuan atas pengawasan terselubung tersebut. Mereka tidak berkewajiban untuk mensponsori peretas dari wilayah yang dikenai sanksi OFAC hanya karena sebuah perusahaan bernilai miliaran dolar terlalu malas untuk mengamankan API miliknya sendiri. Dengan menyimpan skin yang dicuri dan menolak mengembalikannya, Valve menutupi kelalaian infrastrukturnya, yang secara efektif melegalkan pengalihan aset digital warga Eropa ke wilayah-wilayah yang dikenai sanksi.

Mengapa Kebijakan “API” dan Token Steam Melanggar Hukum

Steam memungkinkan pihak ketiga untuk membuat kunci "API" dan membajak token sesi melalui proxy MitM tanpa adanya peringatan apa pun kepada pengguna atau pemeriksaan 2FA. Kelalaian ini secara langsung melanggar undang-undang perlindungan data dan undang-undang konsumen utama:

• 🇪🇺 Peraturan Uni Eropa tentang Perlindungan Data Umum (GDPR, Pasal 25 & 32): Menuntut penerapan prinsip 'Security by Design' dan perlindungan teknis yang memadai. Pembuatan kunci akses kritis tanpa 2FA merupakan kelalaian keamanan yang serius.
• 🇺🇸 Undang-Undang FTC AS (Pasal 5): Menindak 'Praktik yang Tidak Adil' dan kurangnya 'Keamanan Data yang Wajar.' FTC secara rutin mengambil tindakan terhadap platform yang tidak menerapkan MFA untuk tindakan penting terkait akun.
• ⚖️ Petunjuk Uni Eropa 2019/770: Layanan digital harus memenuhi standar dasar ekspektasi keamanan konsumen. Kerentanan "API" di Steam yang telah ada selama 7 tahun sama sekali tidak memenuhi standar tersebut.
• 🛡️ Arahan NIS 2: Mewajibkan penerapan praktik keamanan siber yang ketat, termasuk otentikasi multi-faktor (MFA) yang wajib untuk manajemen akses, yang diabaikan oleh Valve selama generasi "API".

Intinya: Ketika sebuah platform menyerahkan kunci API Anda ke sesi proxy tanpa peringatan atau konfirmasi apa pun, hal itu bukan sekadar kelemahan—melainkan pelanggaran kepatuhan yang serius.

Siap Membela Diri? Buat Surat Pemberitahuan Sengketa Anda

Jangan terima penolakan otomatis atas Ketentuan Layanan mereka. Tuntut pertanggungjawaban hukum Valve berdasarkan undang-undang perlindungan konsumen dan perlindungan data internasional. Gunakan generator interaktif gratis kami untuk menyusun Pemberitahuan Sengketa (PDF) resmi secara instan sesuai wilayah Anda.

Buat Pemberitahuan & Simpan sebagai PDF

Apakah Valve menyimpan log tingkat sesi untuk autentikasi, pembuatan kunci API, pembatalan dan penggantian penawaran, konfirmasi, riwayat IP, dan tindakan dukungan? Jika catatan tersebut ada, dapatkah Valve membuktikan kapan pertama kali melihat kumpulan Ihor dan mengapa ia membiarkannya aktif? Jika tidak ada, mengapa platform yang menangani inventaris bernilai tinggi gagal mempertahankan jejak audit yang diperlukan untuk menyelidiki kelas serangan yang diketahui?

Selama sekitar 88 bulan, berapa banyak pengguna—termasuk anak di bawah umur yang diketahui—membuka tiket khusus tentang tawaran penggantian? Berapa banyak tiket yang menunjukkan sesi paralel di luar negeri tetapi menerima tanggapan tertulis dan bukannya pencabutan langsung? Berapa banyak kasus yang menghasilkan pencegahan sebelum kehilangan, restitusi barang sebenarnya, atau larangan menerima bot yang disebabkan oleh tiket atau laporan tersebut, dibandingkan dengan deteksi yang tidak terkait di kemudian hari? Tinjauan PhishDestroy terhadap laporan korban publik dan diskusi Reddit tidak menemukan kasus yang dapat dikaitkan dengan laporan korban; itu bukan bukti bahwa tidak ada, dan Valve dapat memperbaiki catatan tersebut dengan menerbitkan total internalnya.

Masalah uang juga memerlukan akuntansi yang tepat. Untuk penjualan CS2 atau Dota Community Market di mana penjual menerima 100 unit nilai Steam Wallet, pembeli membayar sekitar 115 setelah biaya Steam 5% yang tercantum dan biaya permainan 10%, tergantung pada pembulatan. Tambahan 15 adalah biaya; 100 penjual adalah nilai Dompet, bukan komisi 100 lainnya, jadi “keuntungan 115%” tidak akurat. Namun jika barang tersebut kemudian dicuri dan dibekukan tanpa pengembalian, Valve masih mengontrol dana loop tertutup, telah memungut biaya dan telah mengeluarkan barang tersebut dari peredaran. Berapa pembayaran pembeli agregat, biaya Valve, kewajiban Wallet, nilai barang beku, dampak harga, dan jumlah restitusi untuk kelas serangan ini?

Permintaan:Publikasikan jumlah staf keamanan dan dukungan aktual berdasarkan tahun; jam kerja dan anggaran yang ditetapkan untuk pencegahan pertukaran penawaran; garis waktu lengkap dari laporan, keputusan, dan kumpulan massa yang terlewat; pencabutan tiket ke sesi, pelarangan tiket ke bot, dan tarif restitusi; log permintaan/tindakan yang disimpan; dan perbandingan yang telah diaudit antara penggajian Steam dan keuntungan platform dengan kerugian pengguna, biaya yang dikumpulkan, nilai Dompet, dan item yang dibekukan. Jawaban yang tercatat: apakah ini merupakan kegagalan staf, kegagalan kebijakan dukungan, atau pilihan bisnis yang disengaja?

Dukungan outsourcing dan akses istimewa

Bisakah agen outsourcing menanyakan pengguna Steam di seluruh dunia?

Kebijakan Privasi Valve mengatakan penyedia dukungan pihak ketiga dapat menerima data pribadi hanya jika diperlukan. PhishDestroy mengetahui kumpulan bidang dan model akses antarmuka yang diperiksa; Valve diminta untuk mengonfirmasi atau menolaknya dalam catatan. Bisakah agen kontraktor di Irlandia—atau di tempat lain—membuka pengguna di AS, Jerman, Australia, Tiongkok, atau Rusia? Bisakah mereka melihat email terkini dan historis, telepon, catatan IP dan perangkat, sesi, perubahan akun, transaksi, atau obrolan pribadi? Apakah tiket yang ditentukan diperlukan?

Permintaan:Register pemroses dan subprosesor, setiap negara pemroses, matriks akses peran demi bidang, batasan regional, akses just-in-time dengan cakupan tiket, dan jawaban yang jelas pada obrolan dan pengidentifikasi historis.

Apakah Valve mengetahui orang di balik setiap pencarian istimewa?

Karyawan kontraktor mungkin memiliki ikatan pribadi, politik, atau pemerintahan yang tidak diketahui oleh pengguna. Apa yang mencegah operator disuap, dipaksa, atau ditugaskan oleh FSB—atau badan intelijen atau penegak hukum lainnya—untuk mengambil riwayat IP, waktu aktivitas, kontak, atau perubahan akun seseorang? Apakah Valve mengidentifikasi setiap orang, melarang kredensial bersama, mencatat setiap pencarian dan tampilan lapangan, mendeteksi akses di luar kasus yang ditetapkan, memblokir ekspor massal dan mewajibkan semua tuntutan pemerintah untuk melewati proses hukum Valve?

Permintaan:Log audit yang dapat diatribusikan secara individual, autentikasi yang terikat pada perangkat keras, peringatan anomali, tinjauan akses berkala, periode penyimpanan log, statistik penyalahgunaan orang dalam, total permintaan pemerintah yang berasal dari kontraktor, hasil disipliner, dan laporan transparansi publik menurut negara.

Komitmen pemulihan bukti

Akankah Valve mengklaim bahwa bot dan korbannya tidak dapat ditemukan lagi?

Jika Valve mengatakan pada sidang bahwa antarmuka, keamanan, dan dukungannya gagal—atau mengalihkan kegagalan tersebut ke agen outsourcing—dan kemudian menjanjikan ganti rugi, “kami tidak dapat lagi mengidentifikasi bot atau korban” tidak bisa menjadi alasan berikutnya. PhishDestroy siap untuk menyerahkan SteamIDs yang disimpan dari bot penerimaan dan catatan perdagangan dan pencurian terkait dari produk utama yang diperiksa. Perkiraan internal kami saat ini adalah bahwa mencocokkan materi ini dengan buku besar perdagangan lengkap Valve dapat mengidentifikasi sekitar 80% korban pertukaran penawaran klasik—bukan kasus maFile, phishing kredensial, atau RAT; Cakupan yang tepat hanya dapat ditentukan melalui rekonsiliasi. Terdapat dua panel lain: satu kelompok pengembang sekarang mungkin sulit ditemukan, namun peserta dan peneliti lain mungkin dapat memberikan daftar tambahan.

Jika Valve memberi tahu Kongres bahwa inventaris kulit beku dalam skala besar tidak berpengaruh pada pasokan, kelangkaan, harga, atau pendapatan platform, sementara data internalnya menunjukkan sebaliknya, maka itu merupakan pernyataan palsu kepada Kongres. Pernyataan saja tidak cukup: memerlukan data dasar dan model dampak yang independen. Waktu penting. Pertukaran penawaran kehilangan relevansinya karena penipuan Steam beralih ke muatan RAT dan umpan larangan VAC palsu yang dikirimkan melalui file; orang-orang di balik produk lama mungkin menghilang dengan buktinya.

Jalur verifikasi independen

Mengantisipasi alasan 'kepercayaan': buku besar bot pertukaran penawaran 213,000

Kami mengantisipasi pembelaan standar Valve: ‘Kami tidak bisa begitu saja mempercayai daftar korban yang diberikan oleh pihak ketiga.’ Kami menghormati skeptisisme tersebut. Itu sebabnya kami tidak menawarkan daftar korban. Kami menawarkan daftar bot penerima yang dapat diverifikasi yang digunakan oleh panel pertukaran penawaran klasik.

Kami memiliki sarana untuk mengamankan database yang mencakup sekitar 80% dari volume pertukaran penawaran API klasik historis—mekanisme yang membatalkan penawaran perdagangan yang sah dan mengirimkan penggantinya—jika Valve benar-benar berkomitmen pada restitusi dan bukan pengendalian kerusakan PR. Perkiraan ini tidak mencakup pencurian maFile, phishing kredensial biasa, muatan RAT, atau jenis penipuan lainnya: aliran tersebut dapat menggunakan bot terbatas atau tersembunyi dan tidak dapat direkonstruksi dengan keyakinan yang sama. Kita bisa bertanya langsung pada pembuat panel scam. Mereka adalah pembuat kode yang dapat diakses: kita dapat menghubungi setidaknya satu orang dengan segera dan memiliki jalur ke yang lain. Tujuannya bukanlah perburuan terhadap pengembang individu, tetapi untuk memaksa Steam memperbaiki kegagalan sistem selama tujuh tahun. Dibandingkan dengan diamnya perusahaan Valve, para pengembang panel terkadang menunjukkan lebih banyak rasa kemanusiaan dan transparansi.

≈213.000Akun bot penerimaan dan likuidasi 'tidak terbatas' · hanya pertukaran penawaran klasik · perkiraan internal PhishDestroy · beberapa sudah dilarangID bot disediakan → Valve memverifikasi di dalam buku besarnya sendiri → korban dan item

Bahkan jika penulis menolak untuk membagikan log mereka, kami memiliki metode forensik alternatif untuk mengidentifikasi jaringan bot yang diterapkan secara eksklusif untuk mekanisme pembatalan dan penggantian penawaran khusus ini. Berdasarkan kriteria penggunaan eksklusif tersebut, setiap perdagangan yang masuk ke panel penerima bot terverifikasi merupakan pencurian yang terdokumentasi.

Tidak ada yang meminta Valve untuk menyerahkan log internalnya ke PhishDestroy. Kami akan memberikan SteamIDs atau login akun untuk bot yang digunakan hanya untuk menerima dan melikuidasi barang yang dicuri melalui penggantian penawaran; Valve dapat menyimpan buku besarnya di dalam lingkungannya sendiri dan melakukan pencocokan itu sendiri. Banyak dari bot ini yang berhasil menjual barang curian, beberapa sudah dilarang, dan volume perdagangan yang masuk sangat besar.

Bukti verifikasi adalah milik Valve: perilaku akun khusus bot, waktu pembatalan penawaran yang sah dan pengiriman pengganti, item masuk dan riwayat likuidasi, infrastruktur Ihor yang terdokumentasi, dan konfirmasi dari pengguna yang terpengaruh. Untuk akun yang diverifikasi sebagai bot penerima pertukaran penawaran eksklusif, setiap perdagangan yang masuk dalam periode operasinya merupakan catatan pencurian—bukan aktivitas pemain normal.

Pertanyaan langsung ke Valve:Apakah penerimaan yang dioperasikan bot dan likuidasi otomatis atas kulit yang dicuri melanggar Steam Subscriber Agreement dan aturan platform—atau hanya jika penegakan hukum dapat dilakukan untuk Valve? Apakah pencurian kulit terorganisir merupakan aktivitas komersial, atau apakah definisi tersebut juga berubah sesuai keinginan?

Valve tidak perlu mempercayai penilaian korban kami. Ia hanya perlu melakukan referensi silang terhadap sekitar 213.000 pengidentifikasi bot dengan buku besarnya sendiri dan memverifikasi fungsinya secara independen. Setelah diverifikasi, mengidentifikasi korban dan memulihkan item adalah permintaan database. Kami akan melakukan segala daya kami untuk menyampaikan daftar tersebut. Satu-satunya elemen yang hilang adalah kesediaan Valve untuk bertindak.

Komitmen PhishDestroy:Jika Valve benar-benar memulai restitusi, kami akan melakukan segala upaya untuk mendapatkan, menyimpan, dan mengirimkan daftar yang tersedia dengan aman.Permintaan ke Valve:menyimpan log internal sekarang tanpa menyerahkannya kepada kami, membuka saluran yang dilindungi untuk pengidentifikasi bot, dan merekonsiliasi SteamIDs dan berdagang di dalam buku besarnya sendiri, memberi tahu korban yang teridentifikasi dan mempublikasikan jumlah item yang dipulihkan.

Uang sungguhan telah memasuki siklus tertutup Steam, dan Valve memungut biaya saat barang tersebut diedarkan. Jika riwayatnya tetap dapat ditelusuri sepenuhnya, pemilik sebelumnya diketahui, dan Valve kemudian membekukannya secara permanen sambil menolak restitusi dan menyembunyikan inventarisnya, pertanyaan yang tidak dapat dihindari: mengapa masyarakat harus melihatnya sebagai perlindungan dan bukan monetisasi atas kerentanan platform itu sendiri? Larangan yang membuat korban dengan tangan kosong bukanlah restitusi.

Catatan redaksi:Klaim operasional Ihor didasarkan pada data dan file PhishDestroy yang disimpan dari satu produk yang diperiksa dan dapat diajukan untuk ditinjau secara independen. Total agregat, penegakan selektif, dan motif ekonomi memerlukan catatan Valve. Referensi ke Irlandia, Rusia, FSB atau negara lain menggambarkan model ancaman; mereka tidak menuduh kontraktor atau operator yang disebutkan namanya melakukan pengungkapan tanpa bukti. Angka 79 orang dan $76,4 juta dilaporkan dari tabel kategori tahun 2021 yang diajukan pengadilan yang diekspos sebelum redaksi yang dikoreksi. Angka 1.162.880 jam tersebut merupakan ilustrasi penghitungan kapasitas staf—bukan klaim bahwa 79 orang adalah insinyur keamanan atau menghabiskan waktu tersebut untuk penipuan ini.