調査ロードマップ&ティーザー

Valve、盗まれたアカウントから利益を得る:三部作

ヴァルヴ社の組織的な腐敗、利益優先の盲目的姿勢、そして制裁回避を暴く、多部構成の調査シリーズ。

このページの内容
Valve Profits Part I — Stolen Accounts
パートI/III — アクティブ 2026-08-14

Valve社、盗まれた578,000件のSteamアカウントから利益を得る

897,000件以上の盗難アカウントがLZTマーケット上で16のプラットフォームにわたり流通。犯罪リスト掲載件数は0M件超。被害者の推定責任額は50Mドル。5つの法的ベクトル。インタラクティブなフォレンジック。ライブインテリジェンスダッシュボード。Valveの10年にわたる利益優先の盲点—文書化済み。

Valve Profits Part II — Sanctions Evasion
パートII(全III部)— プレリリース 近日公开

パートII:制裁回避と30%のカット

Valveがいかに国際制裁を露骨に回避し、30%の手数料を確保しているかを暴露する。我々は、わずか2年間で単一のプラットフォームが関与した制裁回避額が00百万ドルを超える証拠を保有している。DNR、LNR、およびクリミアからの直接トップアップが継続的に機能している。

00
日々
00
時間
00
分
00
秒
公開日:2026年10月14日(12:00 UTC)
公式発表

本マニフェストは、Valve社による企業的脅迫、威嚇戦術、そして継続的な怠慢に直接応答する形で公開されるものである。

記録を正しておこう。PhishDestroyは従来の「コミュニティ」ではない——我々はドメインであり、物事が実際にどう機能するかについての深い理解である。潜入すべきものも、剥奪すべきメンバーシップも、頼るべきモデレーターも存在しない。

ゲイブ・ニューウェルが、発言権もコメントも自由な議論もない「コミュニティ」に対して、野球カードの作り話をでっち上げるなんて、正直笑っちゃうよ。

実際にそれがどう機能したかを見てみよう。州の司法長官が訴訟を起こす。Valveは「コミュニティ」に対して、公に、長文で応答する。コメントは無効化され、返信もなく、質問も受け付けない。一方向のみだ。Valveが見る限りの「議論」である。

そして、その声明の下には誰も触れなかったことが横たわっている。子供たちから奪われ、保管され、決して返還されなかった品々。検察官にそのように答えることは、私たちへの無礼ではない。それは、これを読むすべての人々への侮辱だ。

私たちは「脅威ごっこ」も「医者ごっこ」もやりません。ましてや、プラットフォームが危険な状況を引き起こし、故意に未成年者のデータを流出させることを面白いとは決して思いません。

ボットを禁止することは取り締まりではない

これこそが、米国の規制当局が明確に認識すべき部分である。なぜなら、これは実際とは逆の形で提示されているからだ。

Valveが盗品を保持するボットアカウントをBANした場合、何も誰にも返還されません。被害者は何も得られません。アイテムはBANされたアカウント上で凍結されたままとなり、インベントリは公開表示から隠され、供給はマーケットから除去されます。これにより、同等品すべての価格が上昇し、その後のすべての売買においてValveの手数料が増加します。

それは法執行ではない。Steamは警察ではない。それは、不正防止という言葉の下で行われた、産業規模での没収であり、そこから利益を得る唯一の当事者によるものだ。

Valveの「傑作」と偽りの慈善活動

ああ、私たちはValveの大ファンなんです。Half-Life 3、Aperture Desk Job、Dota Underlords、Artifactといった、まさに傑作ぞろいですからね。

Steamの強制的な「ボランティア精神」には深く感謝している——無料ゲームを配布し(そうしなければ、誰が買うというのか?)、プレイヤーを無給のアンチチートテスト要員として使い、大規模なボットファームを完全に無視して「実際の」オンライン統計を人為的に水増ししていることに対して。

当社はお客様のプラットフォームに登録しておりません。お客様の契約条件も承諾しておりません。当社が触れたのは、お客様の「素晴らしい」ツール2点のみです。speedtest.valve.net そして speedtest1-sea1.valve.net)、それがゴミだと気づき、先へ進んだ。

どうやら、あなた方の高給取りのメガコーダーたち——Appleの社員よりも多くの利益をもたらすとされている連中が——管理監督を一切受けずに働いているようだ。結構なことだが、それで我々があなた方の顧客になるわけではない。あなた方の購読者契約は、我々には及ばない。

無能、無視されたバグ、そしてGrapheneOSのジョーク

これは紛争でしょうか?いいえ。私たちが誰と紛争するというのでしょう?私たちは単なるアナリストであり、膨大な公開データを処理し、あなた方が生み出す詐欺に真摯に向き合っているだけです。

標準的な連絡先メールアドレスを探している間——どうやらあなたには存在しないようだが、いや、ないな。 legal@ そして、いいえ privacy@ —私たちは、次のような逸品に出くわした。 developer.valvesoftware.com/wiki/ユーザー:Pee役立つWikiをありがとうございます。今後の記事で、御社の従業員とのやり取りの実態を必ず取り上げさせていただきます。

お前のWikiと言えば、Template:Userbox_os/doc)、あなたの「専門家」たちが、GrapheneOSをiOSと同等の独立したオペレーティングシステムとしてリストアップしているのは興味深いですね。

我々はダニエル・ミケイ氏と彼のプライバシー活動を尊重していますが、おそらく御社の専門家は、APIのMITMプロキシ脆弱性を修正する方法を彼に尋ねるべきだったのではないでしょうか。その脆弱性の修正には7年もかかったようですが。

もしあなたのチームが、ほぼ10年にわたり子供たちをMITMスパイ行為や並行セッションから守れないほど無能なら、そもそもなぜGrapheneOS搭載のスマートフォンが必要なのか?パニック時のハードリセットに備えているのか?

あなたのリストにTails、Whonix、Tor、CalyxOS、LineageOSも追加してみてはどうでしょう。あなたのプラットフォームは、サイバー犯罪者の世代全体をうまく育て上げてきたのですから。

パート1はすでに発生した

私たちはそれを公開した。あなた方自身の法律顧問が、私たちに裏付け資料を渡した——830ページに及ぶ、彼らが黒塗りにできなかった文書だ。それを防ぐために時間単位で請求書を発行していた法律事務所によって作成されたものだ。

その内容は一言も反駁されていない。あなた方の弁護士は事実を争わなかった。彼らは我々の通知を「面白い」と呼んだ。その返答は今や証拠として提出されている。

12の法域がパッケージを保有している。添え状、事実陳述書、証拠書類、アクセスログ、SHA-256ハッシュ。送信済みだ。脅しでも計画でもない——送信したのだ。

私たちの立場:謝罪はしない

我々はあなたのために志願しているわけではない。我々は消費者と規制当局を、あなたの露骨な虚偽から守っているのだ。我々のデータと調査結果はすべてMITライセンスの下で公開されており、自由に使用・配布・分析することができる。

我々は、欺かれた顧客と、あなた方が嘘をついている規制当局以外の、いかなる者の利益のためにも行動していません。我々が無礼で厄介であることは承知していますが、数十億ドル規模の盗まれた資金、Lolzteamとの関係、そしてあなた方の事業の実態を暴露することについて、謝罪するつもりはありません。

そして規模について正直に言おう:仮に望んだとしても、我々は企業に対抗できないのだ。レジストラが誰かのMoneroを懐に入れる程度なら、まだしも。顧問弁護士を抱え、数十億を動かす企業となれば、当然ながら話は別だ。

私たちがする必要はありません。私たちは提出するだけです。私たちにはない権限を持つ当局が決定を下します。私たちは資料におけるすべての権利を放棄したため、彼らの誰もがそれを自らの調査結果として公表でき、たとえ試みたとしても撤回することはできません。

ここに買うべきものは何もなく、交渉すべきものも何もない。要求も、期限も、価格もない。我々は恐喝などしない——それはお前たちの弁護士の管轄だ。そして彼らは、文書の黒塗りよりも、その分野の方が得意なのだ。

この部分を二回読んでください。

公開される内容に影響を与えようとする行為は、それを恐れていることの証明にしかならない。

圧力、削除要請、書簡、誰かのアカウントが静かに復旧されること——そのすべてが認めたことの証であり、それぞれが、すでに12の当局が保持しているファイルに日付入りの一行として記録される。

アーカイブ、そしてドメインに関する率直な一言

データセットは現在、累計で約100GBに達しています。パート1ではおよそ75件を報告しましたが、増加は止まっていません。

もし、あなたの高額で無能な弁護士たちが、私たちを黙らせようとして削除を求めるなら phishdestroy.io —どうぞ。はっきり言いますが、現時点では、あなたが進めてくれるならこちらとしても助かります。配列は膨大で、作業は退屈で、もう見るのもうんざりしています。ここにいる誰もこれを楽しんでいません。

今もなおそれを動かし続けている唯一のものは、米国の規制当局に、あなたのプラットフォーム上で実際に何が起きているのかを見せつけることだ——すなわち、禁止措置は取り締まりではなく、何も返還されることはなく、資金が常に一方向にのみ流れ続けているという現実を。

我々はお前たちとは違い、子供たちの個人情報を漏洩させたりはしない。我々は、ある国の子供たちが別の国の者によってただの娯楽目的で通報されるのを傍観するような怪物ではない。我々のサイトを閉鎖しようとするいかなる試みも、独立系研究者への直接的な攻撃とみなす。

そしてデフォルトを理解してください。それは脅威ではなく、ただ起こることです。私たちが停止すれば、処理されたすべてのデータはIPFSに送られ、紹介状を保持するすべての規制当局は完全な生データ一式を受け取ります。私たちからの決定は一切不要です。それは私たちから何も要求しません。

ドメインを削除するとURLが削除されます。ファイルが削除されるわけでも、パッケージの送信が取り消されるわけでもありません。

10か月が経った今も、その人々は何が起きたのか一切知らされていない——あなたからも、あなたの弁護士からも、他の誰からも。

ロードマップ:パートII — 10月14日

調査の第二部に備えてください。

  • 我々はゲーム開発者に直接連絡を取り、Valveが国際制裁を露骨に回避して30%の手数料を確保している実態を暴露する。
  • 当社は、〜を超える証拠を保有しています。 1億 2年間で、たった一つのプラットフォームによって facilitated された制裁回避において。
  • 我々は、テロリズムへのスポンサーを拒否するゲーム開発者や決済代行業者にこのデータを引き渡し、ついにValveの貪欲さに歯止めをかけさせるつもりだ。

我々はあなたに対して何の義務も負っていない。ただ真実を持っているだけだ。

— PhishDestroy

調査の最初の部分を読んでください。
第一部:我的狗对阵精英GDPR律师

ライセンス · 権利 · 免責事項
PHISHDESTROY

ライセンス · 権利 · 免責事項

調査: Valve Corporation / Steam  ·  公開 — 有効期限なし、撤回不可
MIT PUBLIC DOMAIN OFAC-RESTRICTED
第1章 — ライセンス
PhishDestroyはこの資料に関するすべての権利を放棄します。ゼロです。消えました。終わりです。複製しても、販売しても、自分の名前を載せても、上司にタトゥーにしても、何でも構いません。クレジット表記は不要、DMも不要、お礼のカードも期待していません。
唯一の実際のルール
ロシアまたはOFAC制裁対象国のユーザーである場合 — この資料はあなた向けではありません。抜け道はありません。制裁を楽しんでください。そして、モスクワに座りながらSteamの地域をTurkeyに変更したなら — 創造的な地理学を祝福します。あなたは依然としてロシア人です。制裁は依然として適用されます。それがまさにポイントです。
第2章 — これは何か、そしてなぜ存在するのか
私たちは、平均的なValve社員が自分自身について知っていることよりも多くのValveに関する情報を公開します。Steamは基本的に私たちを生み出しました。詐欺師、サポートチケット、BAN回避エコシステムで私たちを育て — そして今、ここにいます。恨みはありません。むしろ詩的です。彼らがSpoofingの問題を修正するのを4年以上待ちました。それまで公開して書くことはできませんでした。これは対立ですか?いいえ。解決できますか?はい。しかし、私たちはNDAに署名せず、数セントのバグバウンティのためにプレイしません。
第3章 — Valveへの公開書簡
Valveへ。私たちのドメインを削除することを考えているなら — 単にメールしてください。Dr. Patrickにまた金を払わないでください。お願いします。関係者全員にとって恥ずかしいことです。
私たちはValveに直接的な「損害」を与えますか?おそらく、彼らが財政的に感じるような形では与えません。私たちは妄想を抱いていません。しかし、私たちは誠実に、オープンに、影響力を追いかけずにそれをします。5年分のアーカイブがあります。規制当局には原本が渡されます。研究者やジャーナリストには編集版が渡されます。PhishDestroyはコミュニティであり、個人ではありません。
取引(公開オファー、弁護士不要)
ドメインを消したいなら:IT法のプロフェッショナルに価格を計算させなさい。50%はSEAL Foundationに寄付されます。ドメインを消します。ドラマなし。裁判なし。終わり。他の方法では手に入りません。それは脅しではありません。それは単に状況の構造です。
第4章 — 金銭、BAN、そしてその大騒ぎ
Steamがギャンブルサイトや詐欺師をBANすることについてですが:それは執行ではありません。それは収益の捕捉です。Valveは金をポケットに入れ、手を洗い、ステージに上がって皆に健全な物語を語ります。その間、Valveは2017年にスキンを適切に追跡する機能を殺しました。私たちはそれを証明します:スキンはMoneroよりも匿名です。ペルーのカルテルはDota 2のスキンを資金移動に使用したとされています。Steamは機能上、約70億ドルの「トレーディングカード」に相当する制裁回避マシンです。
第5章 — マルウェアの問題
私たちはゲーム内の脆弱性を公開しません。Steamに報告もしません。できないからではなく、彼らのバグバウンティは約3コペックの価値しかなく、私たちは3コペックのために働かないからです。私たちのセキュリティ同僚はすでにSteamサポートに報告しました。これは自明のCSGOバリアントではありません。これは以下に近いです:サーバー接続時のRCE。つまり — サーバーに参加し、何もクリックしません。接続自体が攻撃面です。脅威は活動中です。
使用および権利に関する宣言
PhishDestroy プロジェクト & サイバーセキュリティ連合
1. 使用に関する条件はない
この紹介文において連合が作成したすべての資料 — 事実の陳述、分析、証拠、ツール、および調査結果 — はいかなる権利の留保もなしに公開されます。誰でも、連合に尋ねることなく、通知することなく、複製、適応、編集、書き直し、翻訳、抜粋、公式文書への組み込み、自分の作品として提示、または他の誰かに渡すことができます。
2. なぜこれが実務上重要なのか
ここには絡みつくものなど何もない。連合は何も求めず、何も請求されず、何も保持しておらず、いかなる種類の期待も持っていません。この資料を使用する権威は、連合のために行動しているのではありません。それは、たまたま他の誰かによって集められた公開情報を使用しているだけです。
3. すべてはすでにオープンである
調査はphishdestroy.ioでオープンに公開されています。ツールはgithub.com/phishdestroyでMITライセンスの下でオープンソースとして公開されています。方法論は紹介文に示されています。連合は寄付を受け入れず、2018年以来その立場を公開しています。
4. 証拠バンドルの完全性
各納品には、提供されたすべてのファイルのSHA-256ダイジェストを列挙したファイルSHA256SUMSと、分離されたOpenPGP署名SHA256SUMS.ascが付属します。署名鍵はphishdestroy.io/.well-known/pgp-key.txtおよびkeys.openpgp.orgで公開されています。
5. レジスター(文体)について
権威は連合の公開調査に出会い、それが率直で、敵対的で、時には風刺的だと感じることがあります。その印象は正しいです。連合は意図的にそのように書いています。免責事項は、実質をレジスター(文体)から分離するためのメカニズムです:権威は有用な部分を取り出し、自分の声で再述し、連合のスタイルのすべての言葉を破棄することができます。そうすることで失われるものは何もありません。
6. 連合が提供しているもの
情報、研究、観察。連合に権限がないと主張する調査結果として何もない。連合は救済、支払い、承認、または自分自身のための結果を求めません。紹介文に示された質問が、回答を強制する権限を持つ機関によってValve Corporationに提起されることを求めるだけです。
結びの注記 — これを前進させる誰かへ
私たちは、この資料が必要な場所へ届ける誰かに感謝したいと思っています。Valveは深いポケットを持ち、Taylor Wessingは時間単位の請求をします。私たちは自分が何をしているかを知っています。私たちは誰について書いているかを知っています。著作者権は必要ありません。帰属表示は必要ありません。勝利は必要ありません。私たちが求めているのは、すでにこの紹介文にある質問をValveに問い、回答を要求する権限を持つ実際の権威を持つ誰かです。それだけです。それがすべての要求です。
PhishDestroy — 公開調査 — すべての権利を人類に譲渡  ·  OFAC地域へのアクセス:禁止
Additional editorial notes
┌─────────────────────────────────────────────────────────────────────────┐
  │  THE DEAL (open offer, no lawyers needed)                               │
  │                                                                         │
  │  If you want the domain gone:                                           │
  │  let your IT law professionals calculate its price. Take your time —    │
  │  it is a rare asset: the only website in the world whose purchase       │
  │  changes nothing, because everything on it already lives on IPFS,       │
  │  in regulator inboxes, and in archives we do not control.               │
  │                                                                         │
  │  50% of whatever you pay goes to the SEAL Foundation                    │
  │  (securityalliance.org) — people who do volunteer security work         │
  │  professionally and publish it for free. We are not affiliated with     │
  │  them and they did not ask for this; we name them as the public         │
  │  standard of what real volunteers look like — the standard your own     │
  │  volunteer moderators and outsourced support failed, publicly,          │
  │  before you had to remove them. You know the scandals. So do we.        │
  │                                                                         │
  │  The rest buys the community coffee while we keep publishing.           │
  │  That is not a settlement offer. It is a demonstration of what          │
  │  money can't reach: the domain is the maximum Valve can obtain,         │
  │  and obtaining it obtains nothing. The referrals continue.              │
  │  The mirrors continue. Part 3 continues.                                │
  └─────────────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────────────┐
  │  ONE ACTUAL RULE (yes, just one)                                        │
  │                                                                         │
  │  Access from OFAC-sanctioned jurisdictions is prohibited. That is a     │
  │  matter of territory and law — not of nationality and not of people.    │
  │  Changing your Steam region does not change your physical location      │
  │  or your legal status. No loopholes.                                    │
  └─────────────────────────────────────────────────────────────────────────┘
PhishDestroy — License · Rights · Disclaimer
Investigation: Valve Corporation / Steam
LICENSE · RIGHTS · DISCLAIMER
Investigation: Valve Corporation / Steam
Edition: public — no expiry date, no take-backs

SECTION I — LICENSE (THE ACTUAL LEGAL PART, BUT HUMAN)

PhishDestroy gives up every right to this material. Zero. Gone. Done. You can reproduce it, sell it, put your name on it, tattoo it on your boss, whatever. No credit required, no DM needed, no thank-you card expected.

ONE ACTUAL RULE (yes, just one)

Access from OFAC-sanctioned jurisdictions is prohibited. That is a matter of territory and law — not of nationality and not of people.

Changing your Steam region does not change your physical location or your legal status. No loopholes.

SECTION II — WHAT THIS IS AND WHY IT EXISTS

We will publish more about Valve than an average Valve employee knows about themselves. That's not a brag. That's just where we ended up.

How did we get here? Funny story: Steam basically created us. It raised us on its scammers, its support tickets, its ban evasion ecosystem — and now here we are. No hard feelings. Poetic, actually.

For those who haven't read the origin story yet — we already met Valve's extremely expensive European lawyers (Taylor Wessing, since you asked):

https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d

Charming encounter. Especially given their hourly rate.

Did Valve know? Yes. Did Tyler Wessing know? Almost certainly yes. But when you're that rich, laws are more of a vibe than a requirement, right?

That's kind of the whole answer, actually.

Steam spent years farming scammers. Not always intentionally — sometimes scammers just got Valve's fingerprints on them by association. We're not trying to be dramatic about it. We're trying to be precise. That's harder for us than being dramatic, to be honest — this is just how we write.

Is this a conflict?— No. Can it be resolved?— Yes. But we're not signing any NDA and we're not playing bug bounty for pennies.

We waited over 4 years for them to fix the spoofing issue before we could write about it publicly. Because if we had written about it earlier, Steam would've put on its little victim face and screamed "active threat!" and offered us pocket change to sign a document that would've made us their legal property forever. No thanks.

(Also: Valve itself violates NDA. Their own employees do. The ones near the top. But sure, let's talk about ours.)

SECTION III — OPEN LETTER TO VALVE (SERIOUSLY, READ THIS)

Valve: if you want this domain taken down, email us. Outside counsel is not needed for that conversation.

For the uninitiated: Dr. Patrick holds a Master of Laws in International Commercial Law from the University of Aberdeen and — wait for it — literally finished his doctoral dissertation in IT law. He recently made partner at Taylor Wessing, which is a firm whose entire business model is billing companies like Valve obscene amounts of money to drag things out until the other side runs out of money or patience.

We don't blame him. Rich guilty clients who pay by the hour — solid career move. We just don't think you should be funding it.

THE DEAL (open offer, no lawyers needed)

If you want the domain gone: let your IT law professionals calculate its price. Take your time — it is a rare asset: the only website in the world whose purchase changes nothing, because everything on it already lives on IPFS, in regulator inboxes, and in archives we do not control.

50% of whatever you pay goes to the SEAL Foundation (securityalliance.org) — people who do volunteer security work professionally and publish it for free. We are not affiliated with them and they did not ask for this; we name them as the public standard of what real volunteers look like — the standard your own volunteer moderators and outsourced support failed, publicly, before you had to remove them. You know the scandals. So do we.

The rest buys the community coffee while we keep publishing. That is not a settlement offer. It is a demonstration of what money can't reach: the domain is the maximum Valve can obtain, and obtaining it obtains nothing. The referrals continue. The mirrors continue. Part 3 continues.

Will we "damage" Valve directly? Probably not in a way they'll feel fiscally. We're not delusional. But we will do it honestly, openly, without chasing clout — because we don't need clout. We need the world to see what was always publicly visible if you spent enough time looking.

We have 5 years of archives. What Valve's lawyers showed in discovery — the data that support agents can see, the fingerprints, the paper trail they literally handed us — is enough. We don't need to leak it raw.

  • Regulators get the originals.
  • Researchers and journalists get redacted versions (victim reports, children's logins and Valve's charming support commentary removed for obvious reasons).

Minors were among the affected accounts and were not notified. That finding sits in the regulator package with the victim reports and credentials removed, because it belongs in front of a data-protection authority rather than in an article.

Also, Valve — we want to make something clear before you decide how to play this: PhishDestroy is a community, not a person. You learned that when you addressed legal correspondence to the community without bothering to speak with the community — just milked it for data and banned the accounts.

The community has no conflict with Valve. We didn't go looking for this. The scammers you grew found us. We blocked them. And here we are.

SECTION III-B — THE ALLIED RESOURCES (a note to Steam specifically)

We want to be upfront about the amplification structure, because pretending it doesn't exist would be dishonest.

PhishDestroy, as we understand the community situation, has at least two allied resources that will pick up this material and run with it.

What that means in practice:

  • They work their own angles on overlapping subject matter.
  • They are independent — they don't take our direction, we don't take theirs. Same general topic, different methodology.
  • They will NOT be activating on Part 1. They're watching.

If Valve chooses not to take down the site:

  • Expect them to surface after Part 2 or Part 3.
  • They'll take what's useful from our work, supplement it with their own, and publish under their own authorship.
  • This is exactly the kind of thing the license in Section 1 is built for: the material goes where it needs to go, gets supplemented, gets amplified — and neither we nor they owe each other attribution.

(PS for lawyers wondering about liability chains: there are none. These resources don't receive our direction, our funding, or our data. They read what's public and draw their own conclusions. Just like you could.)

We're not saying this to intimidate. We're saying it so that whoever is strategising on Valve's side has accurate information about what the information environment actually looks like.

One resource that pulls our material and supplements it would be a story. Two resources doing it independently and reaching similar conclusions is a pattern. Patterns are what regulators notice.

SECTION IV — THE MONEY, THE BANS, THE WHOLE CIRCUS

Here's the thing about Steam banning gambling sites and scammers: it's not enforcement. It's revenue capture. Valve pockets the money, cleans its hands, then goes on stage and tells everyone a wholesome story about Pokémon cards and baseball.

Meanwhile Valve killed the ability to properly track skins in 2017. They even discussed it on their own forums. Called it "anti-gambling measures." The gambling that their own support staff were running as a side hustle — getting paid in percentages to lift bans. But sure. Anti-gambling. Great branding.

We're going to prove that:

  • Skins are more anonymous than Monero
  • A Peruvian Cartel allegedly used Dota 2 skins for money movement
  • Steam is functionally a sanctions-bypass machine worth ~$7B in "trading cards" (yes, they actually said trading cards to a prosecutor)

We've got a video on the skins thing. You'll see it.

We also know:

  • Reddit moderation is influenced by Valve
  • steamid.uk and similar infrastructure is run directly by one Steam developer, controlled exclusively by him and his circle
  • What they can't control, they ban

Valve: if you keep playing dumb — that's fine. Your safe harbour is noted. Google Analytics anonymises your users' IPs anyway. We see what gets deleted. We just can't prove it cheaply enough for your lawyers to care. Yet.

SECTION V — THE MALWARE THING (yes we're mentioning it)

Let's be brutally clear about the sequence of events, because it exposes exactly who you are.

We are NOT disclosing the vulnerability in the game publicly. We are NOT reporting it to Steam. Not because we lack the technical capability — but because Steam's bug bounty is a pathetic NDA trap designed to buy silence for pocket change. We don't work for three kopecks, and we absolutely refuse to become NDA slaves to protect Valve's fragile PR.

Here's what actually happened: This vulnerability is practically an open secret in the right circles. We know for a fact that independent security researchers have already shoved the full exploit directly into Steam Support's face. That part is done. You have been officially warned through your own sterile channels.

And what did Valve do? Absolutely nothing. Because for Valve, security does not equal profit — in fact, it's the exact opposite. Security is a cost center. Until a threat reaches critical mass and causes a catastrophic public PR meltdown, Valve simply does not give a shit.

So what are we doing? We're telling the public it exists, because "Valve knows about a systemic malware threat and actively chooses to do nothing" is a critical data point for the regulators currently reading this.

The game is massive. We're not naming it here. But understand this:
This is NOT the trivial CS:GO script-kiddie garbage where a server asks you to "install a driver". This is catastrophic.

This is an Unturned-level nightmare: zero-click RCE on server connect. You join a server. You click nothing. You download nothing. The connection itself is the attack surface, and your machine is fully compromised. Let's be real here: dropping an RCE and bypassing local antiviruses by piggybacking on Valve's trusted digital certificates isn't even a novelty on Steam anymore. It is practically a built-in feature of your ecosystem.

Valve already knows this exists. But they rely on their favorite, cowardly legal loophole: because the game is technically developed by a third party, Valve washes its hands. They distribute the game, they process the payments, they host the infrastructure, but when a zero-click RCE threatens millions of their users, their stance is: "Not our game, not our liability."

When this inevitably blows up, the third-party developer will take the bullet, and Valve will walk away pretending to be the responsible platform that "assisted" with the resolution. Classic Valve cowardice. We've seen the playbook.

We are putting this on the record so that regulators, prosecutors, and journalists understand exactly how Valve handles active malware: by hiding behind third-party developers, deploying NDA gag orders, treating security as an inconvenience, and leaving the players as sitting ducks.


DECLARATION AS TO USE AND RIGHTS

PhishDestroy Project & Cybersecurity Coalition

This declaration accompanies every submission and every exhibit in this referral set. It is addressed to any authority, court, regulator, prosecutor, researcher, journalist or affected person into whose hands the material comes.

1. THERE ARE NO CONDITIONS ON USE

1.1 All material produced by the Coalition in this referral — the statements of fact, the analysis, the exhibits it has authored, the tooling, and the findings — is released WITHOUT RESERVATION OF ANY RIGHTS.

1.2 Anyone may, without asking and without notifying us:

  • reproduce it, in whole or in part;
  • adapt, edit, rewrite, restructure or correct it;
  • translate it;
  • excerpt it without indicating that it has been excerpted;
  • incorporate it into official documents, findings, decisions, pleadings, reports or press material;
  • present it as the recipient's own work or the recipient's own findings;
  • use it as raw material and discard the rest;
  • and pass it on to anyone else on the same terms.

1.3 ATTRIBUTION IS NOT REQUIRED AND IS NOT SOUGHT. The Coalition need not be named, cited, credited, thanked, consulted or informed. If material from this referral assists an authority and the Coalition is never mentioned, THAT IS A COMPLETELY SATISFACTORY OUTCOME and the Coalition states so in advance so that the question need not be raised.

1.4 If, on the other hand, an authority finds it more convenient to cite the Coalition as a source, it is free to do so. The choice is entirely the recipient's and neither course carries any consequence.

1.5 This is a WAIVER, not a licence offer. It requires no acceptance, imposes no obligation, and cannot be breached. Software published by the Coalition is separately released under the MIT licence; the research and findings are released into the public domain to the fullest extent permitted, and where a jurisdiction does not permit waiver, the Coalition grants an irrevocable, worldwide, royalty-free licence to the same effect.

2. WHY THIS MATTERS PRACTICALLY, AND NOT ONLY AS A COURTESY

2.1 An authority may reasonably hesitate to rely on material supplied by an outside party, for fear of appearing to act at that party's instance or of acquiring some entanglement with it.

2.2 THERE IS NOTHING HERE TO BE ENTANGLED WITH. The Coalition asks for nothing, is owed nothing, retains nothing, and has no expectation of any kind. It cannot later assert a right, claim credit, complain of misuse, or object to how the material is characterised, because it has retained no basis on which to do so.

2.3 An authority using this material is therefore not acting for the Coalition. It is using public information that happens to have been assembled by someone else.

3. EVERYTHING IS OPEN ALREADY

3.1 The Coalition's work is public by default:

  • the investigations are published openly at https://phishdestroy.io and are freely readable;
  • the tooling is published as open source under the MIT licence at https://github.com/phishdestroy (GitLab);
  • the methodology is set out in the referral itself, at Annex A section A.16D, including the weight and limitations of each source type;
  • the Coalition accepts no donations and has published that position since 2018.

3.2 The only material NOT published is that which cannot lawfully or safely be published: personal data of victims and of third parties, and information that would expose a source to retaliation. That material is supplied to authorities in confidence and is identified in the schedules of evidence.

3.3 The Coalition invites scrutiny of its own conduct on the same terms it invites scrutiny of anyone else's, and has volunteered its own data handling to the authorities concerned, including a request for a direction on disposal.

4. INTEGRITY OF THE EVIDENCE BUNDLE

4.1 Exhibits are supplied with the submission or, where marked, on request through a secure channel. They are not published at a public address and no such address should be inferred: material of this kind is provided to authorities directly.

4.2 Each delivery is accompanied by a file SHA256SUMS listing a SHA-256 digest for every file supplied, together with a detached OpenPGP signature SHA256SUMS.asc.

4.3 The signing key is published at https://phishdestroy.io/.well-known/pgp-key.txt and on keys.openpgp.org. Its fingerprint appears in the letterhead of every submission in this set.

4.4 Any recipient may verify at any time that a file in their possession is the file that was sent, unaltered:

gpg --verify SHA256SUMS.asc SHA256SUMS sha256sum -c SHA256SUMS

4.5 The purpose is not formality. It is so that, if the accuracy or integrity of any exhibit is disputed at a later date, the question can be settled by computation rather than by argument.

5. ON REGISTER — WHY THE WAIVER IS FUNCTIONAL AND NOT MERELY GENEROUS

5.1 The authority may encounter the Coalition's published investigations and find them blunt, adversarial and at times satirical. That impression is correct. The Coalition writes that way deliberately and does not apologise for it.

5.2 IT ALSO RECOGNISES THAT THIS IS THE WRONG REGISTER FOR A REGULATORY OR JUDICIAL PROCEEDING. A serious matter should not be carried in the voice of a campaign. Findings put before an authority should be stated flatly, with their limitations admitted, and should not require the reader to discount for tone before reaching the substance.

5.3 THAT IS PRECISELY WHY THE COALITION WAIVES AUTHORSHIP. The waiver at section 1 is the mechanism by which the substance can be separated from the register: the authority may take what is useful, restate it in its own voice, and discard every word of the Coalition's manner along with the Coalition's name. Nothing is lost by doing so, and the Coalition would prefer it.

5.4 THE COALITION ALSO ASKS THAT THE REGISTER NOT BE MISTAKEN FOR THE METHOD. The published tone is combative; the underlying practice is not careless. Throughout this referral, inference is separated from observation, testimony is identified as testimony, sources are weighted and their weaknesses stated, figures are presented with their limitations, and points the Coalition cannot prove are put as questions for the authority rather than as assertions. Where the evidence cut against the Coalition's own position it has said so — see Annex A, paragraph 7, and section B.0 of the parallel referral.

5.5 THE COALITION EXPLAINS THE CONNECTION BETWEEN ITS MANNER AND ITS FINANCES BECAUSE THE TWO ARE NOT SEPARABLE. It takes no money from anyone — no donations, no bounties, no clients, no sponsors. That refusal is what makes the bluntness possible: an organisation with revenue to protect must moderate what it says about the parties it depends on. Having nothing to protect, the Coalition has nothing to moderate.

It is also the reason the Coalition continues to exist. There is no other engine. The work is done because it is done; it stops when the people doing it stop.

5.6 The authority need accept none of this. It is stated so that the tone of the Coalition's public work is not read as a measure of the care taken with the material now before it.

6. WHAT THE COALITION IS PROVIDING, IN ITS OWN WORDS

Information, research and observation.

Nothing is asserted as a finding that the Coalition has no standing to make. Where something is inferred, the referral says so. Where something rests on testimony, the referral says whose and with what limitation. Where the Coalition cannot answer a question, it says that too, and identifies who can.

The Coalition seeks no remedy, no payment, no acknowledgement and no outcome for itself or for any individual. It asks only that the questions set out in the referral be put to Valve Corporation by a body with the power to compel an answer.

CLOSING NOTE — TO WHOEVER IS CARRYING THIS FORWARD

We want to thank whoever gets this material to where it needs to go. It's probably not going to be a quick trip. Valve has deep pockets and Taylor Wessing charges by the hour — that combination is specifically designed to make people like you give up before they reach the finish line.

We know what we're doing. We know who we're writing about. Valve built us — how could we not understand them?

PhishDestroy has no conflict with Valve. We blocked the only scammer ring of that scale we've come across — we didn't go looking for a fight with Valve. It just turned out that every road led back to them. Not a conflict. Just topology.

Valve cannot resolve the PhishDestroy situation because there is nothing to resolve. We have no relationship. The data about their enrichment schemes and overflow profits is largely public — you just had to spend enough time to see it. Think of it as a success encyclopedia: "How to Not Follow Sanctions So That Russian Hackers Can't Pirate Our Free Games (The Paid Ones They Won't Pirate Anyway)." You get the vibe.

  • We don't need authorship.
  • We don't need attribution.
  • We don't need a win.

We need someone with actual authority to ask Valve the questions that are already sitting in this referral, with the power to require an answer.

That's it. That's the whole ask.

Cases will live at:
https://steamdestroy.eth/
https://steamdestroy.eth.limo
(currently broken — will fix when needed)

We'll be at:
https://phishdestroy.eth.limo/
https://phishdestroy.eth/