Наша многосерийная журналистская расследовательская серия, раскрывающая системную коррупцию Valve, корыстную слепоту и обход санкций.
Расследовательская дорожная карта и тизер
Valve наживается на украденных аккаунтах: Трилогия
На этой странице
Часть I из III — Активная 2026-08-14
Valve получает прибыль от 578 000 украденных аккаунтов Steam
897 000+ украденных аккаунтов в живом доступе на LZT Market на 16 платформах. 0 млн+ в криминальных объявлениях. 50 млн — предполагаемая ответственность перед жертвами. Пять правовых векторов. Интерактивная криминалистика. Живая панель разведданных. Десятилетие прибыльной слепоты Valve — задокументировано.
40 минут чтения
Прочитайте Часть I 
Официальное объявление
Этот манифест публикуется в качестве прямого ответа на корпоративные угрозы, тактику запугивания и систематическую халатность со стороны Valve.
Давайте расставим все точки над i. PhishDestroy — это не традиционное «сообщество»: мы — домен и глубокое понимание того, как всё устроено на самом деле. Здесь нечего внедрять, нечего отзывать в плане членства, и нет модератора, на которого можно положиться.
Когда Гейб Ньюэлл рассказывает сказки про бейсбольные карточки «сообществу», у которого нет ни голоса, ни комментариев, ни открытых обсуждений, это, честно говоря, просто смешно.
Посмотрите, как это на самом деле сработало. Генеральный прокурор штата подаёт иск. Valve отвечает — публично и развёрнуто — своему «сообществу». Комментарии отключены. Ответов нет. Вопросы не принимаются. Только односторонняя связь. Обсуждение, каким его видит Valve.
И под этим заявлением скрывается то, чего никто не коснулся: вещи, изъятые у детей, удержанные и так и не возвращённые. Отвечать так прокурору — это не неуважение к нам. Это презрение ко всем, кто это читает.
Мы не играем в «игры с угрозами», не играем в доктора и, разумеется, не находим забавным, когда платформа провоцирует опасные ситуации и сознательно раскрывает данные несовершеннолетних.
Запрет бота — это не полицейская деятельность
Именно эту часть американским регуляторам необходимо увидеть ясно, поскольку она подаётся как противоположность тому, чем является на самом деле.
Когда Valve банит бот-аккаунт, на котором хранятся украденные предметы, ничего никому не возвращается. Жертва не получает ничего. Предметы остаются замороженными на забаненном аккаунте, инвентарь скрыт от публичного просмотра, а предложение исчезает с рынка — что повышает цену на все аналогичные предметы и увеличивает комиссию Valve с каждой последующей продажи.
Это не правоохранительная деятельность. Steam — не полиция. Это конфискация в промышленных масштабах, осуществляемая под предлогом борьбы с мошенничеством, единственной стороной, которая извлекает из этого выгоду.
«Шедевры» Valve и фальшивая филантропия
О, мы огромные фанаты Valve. Абсолютные шедевры, такие как Half-Life 3, Aperture Desk Job, Dota Underlords и Artifact.
Мы глубоко ценим принудительное «волонтёрство» со стороны Steam — раздачу бесплатных игр (потому что иначе кто бы их покупал?), использование игроков для неоплачиваемого тестирования античита и полное игнорирование огромных ферм ботов лишь для того, чтобы искусственно раздувать вашу «реальную» статистику онлайна.
Мы не зарегистрированы на вашей платформе. Мы не принимали ваши соглашения. Мы лишь коснулись двух ваших «гениальных» инструментов (скоростьтест.valve.net и speedtest1-sea1.valve.net), поняли, что они никуда не годятся, и двинулись дальше.
Похоже, ваши высокооплачиваемые мега-кодеры — которые, как утверждается, приносят больше прибыли, чем сотрудники Apple — работают вообще без контроля со стороны руководства. Отличная работа, но это не делает нас вашими клиентами. Ваше Соглашение с абонентом до нас не относится.
Некомпетентность, проигнорированные баги и шутка про GrapheneOS
Это конфликт? Нет. Кто мы такие, чтобы конфликтовать с кем-либо? Мы просто аналитики, которые обрабатывают огромные массивы публичных данных и которым действительно небезразличны те схемы мошенничества, что вы порождаете.
В то время как я искал стандартные контактные электронные письма — которых у вас, судя по всему, нет, нет legal@ и никаких privacy@ — мы наткнулись на такие жемчужины, как developer.valvesoftware.com/wiki/User:PeeСпасибо за полезную вики. Мы обязательно продемонстрируем реальность взаимодействия с вашими сотрудниками в наших предстоящих статьях.
Говоря о вашей вики (Шаблон:Юзербокс_ос/док), поразительно, что ваши «профессионалы» указывают GrapheneOS как отдельную операционную систему наравне с iOS.
Мы уважаем Дэниела Микая и его работу в области конфиденциальности, но, возможно, вашим экспертам стоило бы спросить у него, как исправить уязвимость вашего MITM-прокси в API — ту самую, на патч которой у вас ушло 7 лет.
Если ваша команда настолько некомпетентна, что почти десятилетие не могла защитить детей от шпионажа типа MITM и параллельных сессий, зачем им вообще телефон на GrapheneOS? Готовитесь к паническому ПОЛНОМУ СБРОСУ?
Возможно, стоит добавить в ваш список также Tails, Whonix, Tor, CalyxOS и LineageOS, поскольку ваша платформа успешно воспитала целое поколение киберпреступников.
Часть 1 уже произошла
Мы опубликовали это. Ваши собственные юристы передали нам подтверждение — 830 страниц, которые они не смогли зачернить, подготовленные фирмой, выставляющей счета за каждый час, чтобы именно этого не допустить.
Ни одна строка из этого не была опровергнута. Ваши юристы не оспорили факты. Они назвали наше уведомление «развлекательным». Этот ответ теперь является вещественным доказательством.
Двенадцать юрисдикций получили пакеты. Сопроводительные письма, изложение фактов, приложения, журналы доступа, SHA-256 хэши. Отправлены. Не угрожали, не планировали — отправлены.
Наша позиция: Никаких извинений
Мы не работаем на вас добровольно. Мы защищаем потребителей и регуляторов от вашей вопиющей лжи. Все наши данные и результаты исследований публикуются под лицензией MIT — свободны для использования, распространения и анализа.
Мы действуем не в чьих-то интересах, кроме ваших обманутых клиентов и регуляторов, которым вы лжёте. Мы знаем, что мы грубы и неудобны, но не извиняемся за раскрытие миллиардов похищенных средств, связей с Lolzteam и реальности вашей деятельности.
И будем честны насчёт масштаба: мы не смогли бы противостоять корпорации, даже если бы захотели. Регистратор, прикарманивающий чей-то Monero, — возможно. Компания, оперирующая миллиардами с юридической фирмой на постоянном контракте, — очевидно, нет.
Не обязательно. Мы подаём документы. Решения принимают органы, у которых есть полномочия, которых у нас нет. Мы отказались от всех прав на материал, так что любой из них может опубликовать его как собственные выводы, и мы не смогли бы его отозвать, даже если бы попытались.
Здесь нечего покупать и не о чем договариваться. Никаких требований, сроков или цены. Мы не занимаемся шантажом — это вотчина ваших юристов, и в этом они преуспевают больше, чем в редактировании документов.
Прочтите эту часть дважды:
ЛЮБЫЕ ТВОИ ДЕЙСТВИЯ, НАПРАВЛЕННЫЕ НА ВЛИЯНИЕ НА ТО, ЧТО ПУБЛИКУЕТСЯ, ЛИШЬ ДОКАЗЫВАЮТ, ЧТО ТЫ ЭТОГО БОИШЬСЯ.
Давление, блокировки, письма, тихо восстановленный чей-то аккаунт — каждое из этих действий является признанием, и каждое становится датированной строкой в досье, которое уже находится у двенадцати ведомств.
Архив, и честное слово о домене
Набор данных сейчас составляет около 100 ГБ, накопительно. Мы сообщили примерно о 75 в Части 1. Он не перестал расти.
Если ваши дорогостоящие, некомпетентные юристы хотят заставить нас замолчать, удаляя фишдестрой.ио — давайте прямо. Скажем без обиняков: на данный момент вы окажете нам услугу. Массивы огромны, работа утомительна, и нам уже тошно на это смотреть. Никому здесь это не доставляет удовольствия.
Единственное, что всё ещё движет этим, — это желание заставить американских регуляторов увидеть, что на самом деле происходит на вашей платформе: что бан — это не полицейский контроль, что ничего никогда не возвращается, и что деньги продолжают двигаться строго в одном направлении.
В отличие от вас, мы не будем раскрывать личные данные детей — мы не чудовища, которые наблюдают, как детей из одной страны сдают властям другой просто ради забавы. Любая попытка закрыть наш сайт будет расценена как прямая атака на независимых исследователей.
И поймите, что происходит по умолчанию, потому что это не угроза, это просто то, что случается. Если мы остановимся, все обработанные данные уходят в IPFS, и каждый регулятор, имеющий направление, получает полный необработанный набор. От нас не требуется никакого решения. От нас вообще ничего не требуется.
Удаление домена убирает URL-адрес. Оно не удаляет файлы и не отменяет отправку пакетов.
Спустя десять месяцев эти люди так и не узнали, что что-то произошло, — ни от вас, ни от ваших юристов, ни от кого-либо ещё.
Дорожная карта: Часть II — 14 октября
Приготовьтесь ко второй части нашего расследования:
- Мы будем напрямую связываться с разработчиками игр, чтобы разоблачить, как Valve вопиюще обходит международные санкции ради получения своей доли в 30%.
- У нас есть доказательства более чем 100 миллионов в обходе санкций, которому способствовала одна платформа всего за два года.
- Мы передадим эти данные разработчикам игр, которые отказываются спонсировать терроризм, а также платёжным агрегаторам, чтобы они наконец смогли обуздать жадность Valve.
У нас нет перед вами никаких обязательств. У нас есть только правда.
— PhishDestroy
Прочитайте первую часть расследования:
Часть I: Моя собака против элитных юристов по GDPR
ЛИЦЕНЗИЯ · ПРАВА · ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ
PHISHDESTROY
ЛИЦЕНЗИЯ · ПРАВА · ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ
Расследование: Valve Corporation / Steam · публичная — без срока действия, без права отзыва
MIT PUBLIC DOMAIN OFAC-RESTRICTED
РАЗДЕЛ I — ЛИЦЕНЗИЯ
PhishDestroy отказывается от всех прав на этот материал. Ноль. Всё. Готово. Вы можете воспроизводить его, продавать, подписывать своим именем, татуировать на своем боссе, что угодно. Без указания авторства, без необходимости писать нам, без ожидания благодарственной открытки.
ОДНО РЕАЛЬНОЕ ПРАВИЛО
Если вы пользователь из России или любой страны, находящейся под санкциями OFAC — этот материал НЕ для вас. Без лазеек. Наслаждайтесь вашими санкциями. И если вы сменили регион Steam на Turkey, сидя в Москве — поздравляем с вашим творческим географическим подходом. Вы все еще русский. Санкции по-прежнему действуют. В этом и есть весь смысл.
РАЗДЕЛ II — ЧТО ЭТО ТАКОЕ И ЗАЧЕМ ОНО СУЩЕСТВУЕТ
Мы опубликуем о Valve больше, чем средний сотрудник Valve знает о самом себе. Steam, по сути, создал нас. Он воспитывал нас на своих мошенниках, тикетах поддержки, экосистеме обхода банов — и вот мы здесь. Никакой злобы. Скорее поэтично. Мы ждали более 4 лет, пока они исправят проблему спуфинга, прежде чем мы могли написать об этом публично. Это конфликт? Нет. Можно ли его разрешить? Да. Но мы не будем подписывать NDA и не будем участвовать в bug bounty за копейки.
РАЗДЕЛ III — ОТКРЫТОЕ ПИСЬМО VALVE
Привет, Valve. Если вы думаете о том, чтобы заблокировать наш домен — просто напишите нам на почту. Не платите снова Dr. Patrick. Пожалуйста. Это позорно для всех участников.
Будем ли мы «наносить ущерб» Valve напрямую? Скорее всего, не так, чтобы они почувствовали это финансово. Мы не бредим. Но мы сделаем это честно, открыто, без погони за популярностью. У нас есть 5 лет архивов. Регуляторы получат оригиналы. Исследователи и журналисты получат версии с правками. PhishDestroy — это сообщество, а не личность.
СДЕЛКА (открытое предложение, юристы не нужны)
Если вы хотите убрать домен: пусть ваши специалисты по IT-праву рассчитают цену. 50% пойдет в SEAL Foundation. Мы закрываем домен. Без драмы. Без суда. Готово. Другим способом вы этого не добьетесь. Это не угроза. Это просто архитектура ситуации.
РАЗДЕЛ IV — ДЕНЬГИ, БАНЫ, ВЕСЬ ЦИРК
Вот в чем дело с тем, как Steam банит игорные сайты и мошенников: это не правоприменение. Это захват выручки. Valve забирает деньги себе, отмывает руки, а потом выходит на сцену и рассказывает всем трогательную историю. Тем временем Valve в 2017 году убил возможность правильно отслеживать скины. Мы докажем это: Скины более анонимны, чем Monero. Перуанский картель, по слухам, использовал скины Dota 2 для перемещения денег. Steam функционально является машиной для обхода санкций стоимостью около 7 млрд долларов в «торговых картах».
РАЗДЕЛ V — ДЕЛО О ВРЕДОНОСНОМ ПО
Мы НЕ раскрываем уязвимость в игре публично. Мы НЕ сообщаем о ней в Steam. Не потому, что не можем — а потому, что их bug bounty стоит примерно три копейки, и мы не работаем за три копейки. Наши коллеги по безопасности уже сообщили об этом в поддержку Steam. Это НЕ тривиальный вариант для CSGO. Это ближе к: RCE при подключении к серверу. То есть — вы подключаетесь к серверу, ничего не нажимаете. Само подключение является поверхностью атаки. Угроза активна.
ЗАЯВЛЕНИЕ ОБ ИСПОЛЬЗОВАНИИ И ПРАВАХ
Проект PhishDestroy & Коалиция по кибербезопасности
1. НЕТ УСЛОВИЙ К ИСПОЛЬЗОВАНИЮ
Весь материал, созданный Коалицией в этом обращении — заявления о фактах, анализ, доказательства, инструменты и выводы — публикуется БЕЗ ЗАПРЕТА НА ИСПОЛЬЗОВАНИЕ ЛЮБЫХ ПРАВ. Любой может воспроизводить, адаптировать, редактировать, переписывать, переводить, цитировать, включать в официальные документы, представлять как свою работу или передавать кому угодно — без запроса и без уведомления Коалиции.
2. ПОЧЕМУ ЭТО ВАЖНО ПРАКТИЧЕСКИ
Здесь нет ничего, с чем можно было бы запутаться. Коалиция ничего не просит, ей ничего не должны, она ничего не удерживает и не имеет никаких ожиданий. Орган, использующий этот материал, не действует от имени Коалиции. Он использует публичную информацию, которая просто была собрана кем-то другим.
3. ВСЕ УЖЕ ОТКРЫТО
Расследования опубликованы открыто на phishdestroy.io. Инструменты опубликованы как open source под лицензией MIT на gitlab.com/phishdestroy. Методология изложена в обращении. Коалиция не принимает пожертвования и опубликовала эту позицию с 2018 года.
4. ЦЕЛОСТНОСТЬ ПАКЕТА ДОКАЗАТЕЛЬСТВ
Каждая поставка сопровождается файлом SHA256SUMS, содержащим дайджест SHA-256 для каждого предоставленного файла, а также отдельной подписью OpenPGP SHA256SUMS.asc. Ключ подписи опубликован на phishdestroy.io/.well-known/pgp-key.txt и на keys.openpgp.org.
5. О СТИЛЕ ИЗЛОЖЕНИЯ
Орган может столкнуться с опубликованными расследованиями Коалиции и найти их резкими, враждебными и иногда сатирическими. Это впечатление верно. Коалиция пишет именно так намеренно. Отказ от претензий — это механизм, с помощью которого содержание можно отделить от стиля: орган может взять то, что полезно, переформулировать своими словами и отбросить каждое слово манеры Коалиции. Ничего не теряется при этом.
6. ЧТО ПРЕДОСТАВЛЯЕТ КОАЛИЦИЯ
Информацию, исследования и наблюдения. Ничто не утверждается как вывод, который Коалиция не имеет полномочий делать. Коалиция не ищет возмещения, оплаты, признания или какого-либо результата для себя. Она просит только, чтобы вопросы, изложенные в обращении, были заданы Valve Corporation органом, имеющим полномочия требовать ответа.
ЗАКЛЮЧИТЕЛЬНОЕ ЗАМЕЧАНИЕ — ТОМУ, КТО ПЕРЕДАЕТ ЭТО ДАЛЬШЕ
Мы хотим поблагодарить того, кто доставит этот материал туда, где он нужен. У Valve глубокие карманы, а Taylor Wessing берет деньги за час. Мы знаем, что делаем. Мы знаем, о ком пишем. Нам не нужно авторство. Нам не нужно упоминание. Нам не нужна победа. Нам нужен кто-то с реальной властью, чтобы задать Valve вопросы, которые уже лежат в этом обращении, с правом требовать ответа. Вот и всё. Вот и вся просьба.
PhishDestroy — публичное расследование — все права переданы человечеству · Доступ из регионов OFAC: запрещен
Additional editorial notes
┌─────────────────────────────────────────────────────────────────────────┐ │ THE DEAL (open offer, no lawyers needed) │ │ │ │ If you want the domain gone: │ │ let your IT law professionals calculate its price. Take your time — │ │ it is a rare asset: the only website in the world whose purchase │ │ changes nothing, because everything on it already lives on IPFS, │ │ in regulator inboxes, and in archives we do not control. │ │ │ │ 50% of whatever you pay goes to the SEAL Foundation │ │ (securityalliance.org) — people who do volunteer security work │ │ professionally and publish it for free. We are not affiliated with │ │ them and they did not ask for this; we name them as the public │ │ standard of what real volunteers look like — the standard your own │ │ volunteer moderators and outsourced support failed, publicly, │ │ before you had to remove them. You know the scandals. So do we. │ │ │ │ The rest buys the community coffee while we keep publishing. │ │ That is not a settlement offer. It is a demonstration of what │ │ money can't reach: the domain is the maximum Valve can obtain, │ │ and obtaining it obtains nothing. The referrals continue. │ │ The mirrors continue. Part 3 continues. │ └─────────────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────────────┐ │ ONE ACTUAL RULE (yes, just one) │ │ │ │ Access from OFAC-sanctioned jurisdictions is prohibited. That is a │ │ matter of territory and law — not of nationality and not of people. │ │ Changing your Steam region does not change your physical location │ │ or your legal status. No loopholes. │ └─────────────────────────────────────────────────────────────────────────┘