Onze meerdelige onderzoeksreeks die de systematische corruptie, winstgerichte blindheid en sanctieomzeiling van Valve blootlegt.
Onderzoeksroadmap en teaser
Valve profiteert van gestolen accounts: De trilogie
Op deze pagina
Deel I van III — Actief 14-08-2026
Valve profiteert van 578.000 gestolen Steam-accounts
Meer dan 897.000 gestolen accounts zijn actief op de LZT Market, verspreid over 16 platforms. 0M+ aan criminele advertenties. Geschatte slachtofferschade van 50M. Vijf juridische invalshoeken. Interactieve forensische analyse. Live-intelligentiedashboard. Het decennium aan winstgevende blindheid van Valve — gedocumenteerd.
Leestijd: 40 minuten
Lees deel I 
Officiële aankondiging
Dit manifest wordt direct gepubliceerd als reactie op de corporate dreigementen, intimidatietactieken en aanhoudende nalatigheid van Valve.
Laten we de feiten op een rij zetten. PhishDestroy is geen traditionele 'gemeenschap' — wij zijn een domein en een diep inzicht in hoe dingen daadwerkelijk functioneren. Er is niets om te infiltreren, geen lidmaatschap om te intrekken en geen moderator om op te steunen.
Toen Gabe Newell sprookjes vertelde over honkbalkaarten tegen een 'gemeenschap' die geen stem, geen commentaar en geen open discussie heeft, is dat eerlijk gezegd belachelijk.
Bekijk hoe dat in de praktijk werkte. Een staatsadvocaat-generaal (Attorney General) reikt een klacht in. Valve reageert – publiekelijk en uitvoerig – op zijn "gemeenschap". Geen reacties mogelijk. Geen antwoorden. Geen vragen worden beantwoord. Enkelrichting. Een discussie, zoals Valve die ziet.
En onder die verklaring ligt het punt dat niemand heeft aangesneden: spullen die van kinderen zijn afgenomen, zijn vastgehouden en nooit zijn teruggegeven. Een aanklager zo te beantwoorden is geen onrespect voor ons. Het is verachting voor iedereen die dit leest.
Wij spelen geen 'dreigingspellen', wij spelen geen dokter en wij vinden het zeker niet grappig wanneer een platform gevaarlijke situaties opstookt en bewust de gegevens van minderjarigen lekt.
Het verbieden van een bot is geen politieachtig handelen
Dit is het deel dat Amerikaanse toezichthouders duidelijk moeten zien, omdat het wordt gepresenteerd als het tegenovergestelde van wat het in werkelijkheid is.
Wanneer Valve een bot-account met gestolen items blokkeert, wordt er niets aan iemand teruggegeven. Het slachtoffer krijgt niets. De items blijven bevroren op het geblokkeerde account, de inventaris wordt verborgen voor het publiek en het aanbod wordt van de markt gehaald — wat de prijs van alle vergelijkbare items verhoogt en de commissie van Valve op elke daaropvolgende verkoop vergroot.
Dat is geen handhaving van de wet. Steam is geen politie. Het is inbeslagname op industriële schaal, uitgevoerd onder het mom van fraudebestrijding, door de enige partij die hier profijt van heeft.
Valves „Meesterwerken” en nep-filantropie
Oh, wij zijn enorme fans van Valve. Absolute meesterwerken zoals Half-Life 3, Aperture Desk Job, Dota Underlords en Artifact.
Wij waarderen het gedwongen "vrijwilligerswerk" van Steam oprecht — het uitdelen van gratis spellen (want anders zou er immers niemand ze kopen), het inzetten van spelers voor onbetaald anti-cheat-testen en het volledig negeren van enorme botfarms, puur om de "echte" online-statistieken kunstmatig op te blazen.
Wij zijn niet geregistreerd op uw platform. Wij hebben uw overeenkomsten niet aanvaard. Wij hebben slechts uw twee "brilliante" tools aangeraakt (speedtest.valve.net en speedtest1-sea1.valve.net), besefte dat het nutteloos was en ging verder.
Het lijkt erop dat uw hoogbetaalde megacoders — die volgens de verhalen meer winst genereren dan Apple-medewerkers — opereren zonder enige managementtoezicht. Goed gedaan, maar dat maakt ons niet tot uw klanten. Uw Abonnementsovereenkomst is niet van toepassing op ons.
Incompetentie, genegeerde bugs en de GrapheneOS-grap
Is dit een conflict? Nee. Wie zijn wij om met iemand in conflict te raken? Wij zijn simpelweg analisten die enorme hoeveelheden openbare gegevens verwerken en daadwerkelijk om de oplichtingen die u in stand houdt geven.
Terwijl ik op zoek was naar standaard contact-e-mailadressen — die je blijkbaar niet hebt, nee legal@ en nee privacy@ — we kwamen schatten tegen zoals developer.valvesoftware.com/wiki/User:Pee. Bedankt voor de nuttige wiki. Wij tonen in onze aankomende artikelen ongetwijfeld de werkelijkheid van de interacties met uw medewerkers.
Gezien je wiki (Sjabloon:Userbox_os/doc), het is fascinerend dat uw „professionals” GrapheneOS als een apart besturingssysteem op gelijke voet met iOS noemen.
Wij respecteren Daniel Micay en zijn privacywerk, maar misschien hadden uw experts hem moeten vragen hoe u de MITM-proxykwetsbaarheid in uw API kunt verhelpen — de kwetsbaarheid die zeven jaar in beslag nam om te patchen.
Als je team zo onbekwaam is dat ze bijna een decennium lang niet in staat waren om kinderen te beschermen tegen MITM-spionage en parallelle sessies, waarom hebben ze dan überhaupt een GrapheneOS-telefoon nodig? Voorbereiding op een PANIEK-RESET?
Voeg eventueel ook Tails, Whonix, Tor, CalyxOS en LineageOS toe aan je lijst, aangezien je platform succesvol een hele generatie cybercriminelen heeft opgeleid.
Deel 1: Reeds gebeurd
Wij hebben het gepubliceerd. Uw eigen advocaat heeft ons de bevestiging overhandigd — 830 pagina's die ze niet konden censureren, opgesteld door een kantoor dat per uur factureert om precies dat te voorkomen.
Geen enkele regel ervan is weerlegd. Uw advocaten hebben de feiten niet betwist. Zij noemden onze kennisgeving “amuserend”. Dat antwoord is nu een bewijsstuk.
Twaalf jurisdicties hebben de dossiers ontvangen. Brieven, feitenverklaringen, bewijsstukken, toegangslogs, SHA-256-hashes. Verzonden. Niet gedreigd, niet gepland — verzonden.
Onze standpunt: Geen excuses
Wij doen geen vrijwilligerswerk voor u. Wij beschermen consumenten en toezichthouders tegen uw flagrante leugens. Al onze gegevens en bevindingen worden vrijgegeven onder de MIT-licentie — vrij te gebruiken, te verspreiden en te analyseren.
Wij handelen niet in het belang van iemand anders dan uw misleide klanten en de toezichthouders tegen wie u liegt. Wij weten dat wij grof en ongemakkelijk zijn, maar wij verontschuldigen ons niet voor het blootleggen van miljarden aan gestolen geld, de banden met Lolzteam en de werkelijkheid van uw operaties.
En laten we eerlijk zijn over de schaal: wij zouden een corporatie niet kunnen tegengaan, zelfs als we dat wilden. Een registrar die iemands Monero in de wacht slaat, misschien wel. Een bedrijf dat miljarden verplaatst met een advocatenkantoor in dienst — dat is uiteraard onmogelijk.
Dat hoeven we niet. Wij dienen het in. Autoriteiten met bevoegdheden die wij niet hebben, nemen de beslissingen. Wij hebben alle rechten in het materiaal opgegeven, dus elk van hen kan het publiceren als hun eigen bevindingen, en wij zouden het niet kunnen intrekken, zelfs als we het zouden proberen.
Er is hier niets te kopen en niets te onderhandelen. Geen eisen, geen deadline, geen prijs. Wij chantageerden niet — dat is het domein van jullie advocaten, en zij zijn daarin beter dan in het redigeren van documenten.
Lees dit deel twee keer:
ELKGEWEL DAT JE DOET OM TE BEÏNVLOEDEN WAT WORDT GEPUBLICEERD, TOONT ALLEEN AAN DAT JE ER VREES VOOR HEBT.
Druk, takedowns, brieven, een account dat stilletjes aan iemand wordt hersteld — elk van deze handelingen is een toelating en elk wordt een gedateerde regel in een dossier dat al door twaalf autoriteiten wordt bijgehouden.
Het Archief en een eerlijke opmerking over het domein
De dataset is inmiddels circa 100 GB groot, cumulatief. In deel 1 rapporteerden we ongeveer 75 GB. De groei is niet gestopt.
Als uw dure, onbekwame advocaten ons willen laten zwijgen door het verwijderen phishdestroy.io — Ga door. We zeggen het recht uit: op dit moment zou je ons een dienst bewijzen. De arrays zijn enorm, het werk is saai en we zijn het beu om ernaar te kijken. Niemand hier geniet van dit werk.
Het enige dat er nog steeds voor zorgt dat dit doorgaat, is het overtuigen van de Amerikaanse toezichthouders van wat er daadwerkelijk op uw platform gebeurt: dat een verbod geen toezicht is, dat er niets wordt teruggegeven en dat het geld in precies één richting blijft stromen.
In tegenstelling tot jullie zullen wij de privé-identiteiten van kinderen niet lekken — wij zijn geen monsters die ernaar kijken hoe kinderen uit één land door een ander land worden gemeld, puur voor de lol. Elke poging om onze site te sluiten zal worden behandeld als een directe aanval op onafhankelijke onderzoekers.
En begrijp de standaardinstelling, want het is geen bedreiging, het is gewoon wat er gebeurt. Als we stoppen, wordt alles wat is verwerkt naar IPFS gestuurd en krijgt elke toezichthouder die een verwijzing heeft ontvangen de volledige ruwe dataset. Er is geen beslissing van ons vereist. Het vereist helemaal niets van ons.
Het verwijderen van het domein verwijdert een URL. Er worden geen bestanden verwijderd en er worden geen pakketten teruggetrokken.
Tien maanden later zijn die mensen nog steeds niet geïnformeerd over wat er is gebeurd — niet door u, niet door uw advocaten, niet door wie dan ook.
Roadmap: Deel II — 14 oktober
Bereid u voor op het tweede deel van ons onderzoek:
- Wij zullen gameontwikkelaars rechtstreeks benaderen om bloot te leggen hoe Valve opzettelijk internationale sancties omzeilt, uitsluitend om haar aandeel van 30% veilig te stellen.
- Wij hebben bewijs van meer dan 00 miljoen in sanctieomzeiling, gefaciliteerd door één platform in slechts twee jaar.
- Wij zullen deze gegevens overdragen aan spelontwikkelaars die weigeren terrorisme te financieren, evenals aan betaalaggregatoren, zodat zij eindelijk een rem kunnen zetten op de hebzucht van Valve.
Wij hebben geen verplichtingen jegens u. Wij hebben alleen de waarheid.
— PhishDestroy
Lees het eerste deel van het onderzoek:
Deel I: Mijn hond versus elite-GDPR-juristen
LICENTIE · RECHTEN · DISCLAIMER
PHISHDESTROY
LICENTIE · RECHTEN · DISCLAIMER
Onderzoek: Valve Corporation / Steam · publiek — geen vervaldatum, geen terugtrekking
MIT PUBLIC DOMAIN OFAC-RESTRICTED
HOOFDSTUK I — LICENTIE
PhishDestroy geeft elk recht op dit materiaal op. Nul. Weg. Klaar. Je kunt het reproduceren, verkopen, je erop zetten, het op je baas tatoeëren, wat je maar wilt. Geen credit vereist, geen DM nodig, geen bedankkaart verwacht.
ÉÉN ECHTE REGEL
Als je een gebruiker bent uit Rusland of een ander door OFAC gesanctioneerd land — dit materiaal is NIET voor jou. Geen gaten in de wet. Geniet van je sancties. En als je je Steam-regio naar Turkije hebt gezet terwijl je in Moskou zit — gefeliciteerd met je creatieve geografie. Je bent nog steeds Russisch. De sancties gelden nog steeds. Dat is letterlijk het punt.
HOOFDSTUK II — WAT DIT IS EN WAAROM HET BESTAAT
We zullen meer over Valve publiceren dan een gemiddelde Valve-medewerker over zichzelf weet. Steam heeft ons in feite gecreëerd. Het heeft ons opgevoed met zijn oplichters, zijn supporttickets, zijn ecosysteem voor het omzeilen van bans — en nu zijn we hier. Geen harde gevoelens. Poëtisch, eigenlijk. We hebben meer dan 4 jaar gewacht tot ze het spoofing-probleem oplosten voordat we er openlijk over konden schrijven. Is dit een conflict? Nee. Kan het worden opgelost? Ja. Maar we tekenen geen NDA en we doen geen bug bounty voor een habbekrats.
HOOFDSTUK III — OPEN BRIEF AAN VALVE
Hoi Valve. Als je overweegt onze domein te verwijderen — stuur ons dan gewoon een e-mail. Betaal Dr. Patrick niet opnieuw. Alstublieft. Het is verward voor iedereen die erbij betrokken is.
Zullen we Valve direct “schaden”? Waarschijnlijk niet op een manier die ze fiscaal zullen voelen. We zijn niet delirium. Maar we zullen het eerlijk doen, openlijk, zonder na roem te jagen. We hebben 5 jaar aan archieven. Toezichthouders krijgen de originele versies. Onderzoekers en journalisten krijgen geredacteerd versies. PhishDestroy is een gemeenschap, geen persoon.
DE DEAL (open aanbod, geen advocaten nodig)
Als je de domein wilt laten verdwijnen: laat je IT-juristen de prijs berekenen. 50% gaat naar de SEAL Foundation. We doden de domein. Geen drama. Geen rechtbank. Klaar. Je krijgt het op geen andere manier. Dat is geen dreiging. Dat is gewoon de architectuur van de situatie.
HOOFDSTUK IV — HET GELD, DE BANS, DE HELE CIRCUS
Het gaat hierom dat Steam gokwebsites en oplichters banneert: het is geen handhaving. Het is inkomstenverzameling. Valve stopt het geld in de zak, wast zijn handen, en gaat dan het podium op om iedereen een wholesome verhaal te vertellen. Ondertussen heeft Valve in 2017 de mogelijkheid om skins correct te tracken gedood. We gaan dat bewijzen: Skins zijn anoniemer dan Monero. Een Peruviaanse maffia heeft volgens geruchten Dota 2 skins gebruikt voor geldverkeer. Steam is functioneel een sanctie-omzeilmachine ter waarde van ~$7B aan “trading cards”.
HOOFDSTUK V — DE MALWARE-ZAK
Wij onthullen de kwetsbaarheid in het spel NIET openlijk. Wij rapporteren het NIET aan Steam. Niet omdat we het niet kunnen — maar omdat hun bug bounty ongeveer drie kopek waard is en we niet voor drie kopek werken. Onze veiligheidscollega's hebben het al aan Steam support gemeld. Dit is NIET de triviale CSGO-variant. Dit komt dichter in de buurt van: RCE bij serververbinding. Dat wil zeggen — je sluit je aan bij een server, je klikt niets aan. De verbinding zelf is het aanvalsoppervlak. De dreiging is actief.
VERKLARING BETREFFEND GEBRUIK EN RECHTEN
PhishDestroy Project & Cybersecurity Coalition
1. ER ZIJN GEEN VOORWAARDEN AAN GEBRUIK
Al het materiaal dat door de Coalitie in deze verwijzing is geproduceerd — de feitenverklaringen, de analyse, de bewijsstukken, de tooling en de bevindingen — wordt vrijgegeven ZONDER VOORBEHOUDE VAN ENIGE RECHTEN. Iedereen mag het reproduceren, aanpassen, bewerken, herschrijven, vertalen, citeren, opnemen in officiële documenten, presenteren als eigen werk, of doorgeven aan wie dan ook — zonder te vragen en zonder de Coalitie te informeren.
2. WAAROM DIT PRAKTISCH BELANGRIJK IS
Er is niet aan vast te klampen. De Coalitie vraagt niets, heeft niets te verdien, behoudt niets en heeft geen verwachting van welke aard dan ook. Een autoriteit die dit materiaal gebruikt, handelt niet namens de Coalitie. Het gebruikt openbare informatie die toevallig door iemand anders is samengesteld.
3. ALLES IS AL OPEN
De onderzoeken worden openlijk gepubliceerd op phishdestroy.io. De tooling wordt gepubliceerd als open source onder de MIT-licentie op gitlab.com/phishdestroy. De methodologie staat in de verwijzing. De Coalitie accepteert geen donaties en heeft die positie sinds 2018 gepubliceerd.
4. INTEGRITEIT VAN HET BEOUWDE BUND
Elke levering wordt vergezeld door een bestand SHA256SUMS met een SHA-256-vertegenwoordiging voor elk geleverd bestand, samen met een losse OpenPGP-handtekening SHA256SUMS.asc. De ondertekeningsleutel is gepubliceerd op phishdestroy.io/.well-known/pgp-key.txt en op keys.openpgp.org.
5. OVER TON
De autoriteit kan de gepubliceerde onderzoeken van de Coalitie tegenkomen en ze als scherp, adversariaal en soms satirisch vinden. Die indruk is correct. De Coalitie schrijft opzettelijk zo. De vrijwaring is het mechanisme waarmee de inhoud kan worden gescheiden van de toon: de autoriteit mag wat nuttig is nemen, het in eigen woorden herformuleren, en elk woord van de toon van de Coalitie verwerpen. Er gaat niets verloren door dit te doen.
6. WAT DE COALITIE BIEDT
Informatie, onderzoek en observatie. Er wordt niets gesteld als een bevinding waarvoor de Coalitie geen bevoegdheid heeft. De Coalitie zoekt geen remedie, geen betaling, geen erkenning en geen resultaat voor zichzelf. Het vraagt alleen dat de vragen die in de verwijzing zijn gesteld, aan Valve Corporation worden gesteld door een orgaan met de macht om een antwoord te eisen.
AFSLUITENDE OPMERKING — AAN WIE DIT VOORTZET
We willen bedanken wie dan ook dit materiaal naar de juiste plek brengt. Valve heeft diepe zakken en Taylor Wessing factureert per uur. We weten wat we doen. We weten over wie we schrijven. We hebben geen auteurschap nodig. We hebben geen attributie nodig. We hebben geen overwinning nodig. We hebben iemand nodig met echte autoriteit om Valve de vragen te stellen die al in deze verwijzing staan, met de macht om een antwoord te eisen. Dat is het. Dat is de hele vraag.
PhishDestroy — openbaar onderzoek — alle rechten overgedragen aan de mensheid · OFAC-regio-toegang: verboden
Additional editorial notes
┌─────────────────────────────────────────────────────────────────────────┐ │ THE DEAL (open offer, no lawyers needed) │ │ │ │ If you want the domain gone: │ │ let your IT law professionals calculate its price. Take your time — │ │ it is a rare asset: the only website in the world whose purchase │ │ changes nothing, because everything on it already lives on IPFS, │ │ in regulator inboxes, and in archives we do not control. │ │ │ │ 50% of whatever you pay goes to the SEAL Foundation │ │ (securityalliance.org) — people who do volunteer security work │ │ professionally and publish it for free. We are not affiliated with │ │ them and they did not ask for this; we name them as the public │ │ standard of what real volunteers look like — the standard your own │ │ volunteer moderators and outsourced support failed, publicly, │ │ before you had to remove them. You know the scandals. So do we. │ │ │ │ The rest buys the community coffee while we keep publishing. │ │ That is not a settlement offer. It is a demonstration of what │ │ money can't reach: the domain is the maximum Valve can obtain, │ │ and obtaining it obtains nothing. The referrals continue. │ │ The mirrors continue. Part 3 continues. │ └─────────────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────────────┐ │ ONE ACTUAL RULE (yes, just one) │ │ │ │ Access from OFAC-sanctioned jurisdictions is prohibited. That is a │ │ matter of territory and law — not of nationality and not of people. │ │ Changing your Steam region does not change your physical location │ │ or your legal status. No loopholes. │ └─────────────────────────────────────────────────────────────────────────┘