{
  "schema": "phishdestroy.text-export.v1",
  "object_type": "Published page text and corresponding PDF digest",
  "id": "es/index.html",
  "language": "es",
  "title": "El dossier «Steam»: normas, itinerarios y rendición de cuentas",
  "source_url": "https://phishdestroy.io/steam_dossier/es/index",
  "source_html_sha256": "fabf0106a2f329fa6578a345dd7a96f09d526aaaae1fbf30426f9a913c3e4bc5",
  "exported_at": "2026-09-30T21:22:24.683Z",
  "scope": "Print reading edition. Research prose is retained; raster images and identified visual catalogues are replaced by source links. See editorial_scope for exact omissions. Support archive exports retain the core discussion and link the full gallery.",
  "editorial_scope": {
    "policy": "Research prose, conclusions, methodological limits and analytical tables retained without paragraph truncation. Named catalogues and visual galleries are linked; raster images are not embedded.",
    "linked_sections": [
      {
        "id": "exhibit-gallery-section",
        "source": "https://phishdestroy.io/steam_dossier/es/index#exhibit-gallery-section"
      }
    ],
    "raster_images_replaced": 2
  },
  "license": {
    "identifier": "CC0-1.0",
    "url": "https://creativecommons.org/publicdomain/zero/1.0/",
    "rights_statement_url": "https://phishdestroy.io/steam_dossier/steam_tos_assets/license-rights.json",
    "rights_statement_sha256": "80d67354f8e5efd65b03696be950fb0f95c188d0089b1604281d0a4daff3f4cb",
    "application": "Authored research materials; third-party materials retain their own rights."
  },
  "pdf": {
    "filename": "index.pdf",
    "url": "https://phishdestroy.io/steam_dossier/exports/pages/es/index.pdf?v=print-20260930-links-v6",
    "sha256": "8c14bf0d83a74fa537a6b7d5e6251b930ffe086487c24f0d578cef020b817971",
    "bytes": 964239,
    "pages": 111
  },
  "integrity": {
    "signed_object": "index.content.json",
    "scope": "The exact UTF-8 bytes of this JSON file. It contains the published text and identifies the corresponding PDF by SHA-256. It is distinct from the separately signed rights statement.",
    "signature_file": "index.content.json.asc",
    "digest_file": "index.content.json.sha256",
    "format": "ASCII-armored detached OpenPGP",
    "signing_key_fingerprint": "129FC7F39C40C69D2EF3C329BFCF9E8DD295EE01",
    "public_key": "https://phishdestroy.io/.well-known/pgp-key.txt",
    "verify": [
      "gpg --import pgp-key.txt",
      "gpg --verify index.content.json.asc index.content.json",
      "sha256sum -c index.content.json.sha256"
    ]
  },
  "content": {
    "text": "Sección 1 — Resumen del caso\nLa norma. El récord. Las preguntas sin respuesta.\nContexto y límites de la fuente\n\nSeis conclusiones, cada una de ellas vinculada a un documento público con fecha. Las secciones detalladas siguen el mismo orden: expediente técnico (Parte A), normativa y expediente de cumplimiento (Parte B), marcos jurídicos (Parte C) y, a continuación, los anexos con las pruebas documentales principales.\n\nSeis conclusiones. Cada una de ellas relaciona una norma escrita con un registro fechado y una hipótesis que puede contrastarse con las pruebas.\n\n1. Hosts de autenticación de dominios independientes: 44 rutas · 26 pares divididos\n\nLos registros de personas en situación de desempleo 44 plataformas que se autentifican a través de un dominio independiente registrable. Hay otras cinco rutas pendientes de verificación que esperan una fecha de RDAP; si se incluyeran, el total ascendería a 47. Quedan excluidas de la cifra de 44 y de la tabla de antigüedad. — 27 con un archivo de pruebas publicado por ruta y 17 añadidos a partir de una recopilación manual, que se enumeran por separado. En 26 pares de filtros divididos El dominio principal es BLOQUEADO en el filtro de enlaces Steam, mientras que el proxy que utiliza sus datos de inicio de sesión no lo está. No se trata de dominios temporales: csgogem.com está bloqueado, mientras que api.csgem.com, el servidor con el nombre de usuario Steam, está registrado desde marzo de 2014 — 12 años y 6 meses. Valve recibe ese nombre de host en cada solicitud de OpenID y se lo muestra al usuario en su propia página de inicio de sesión. En la sección 3 se incluyen la tabla completa, las edades por ruta y el origen.\n\nSigue la ruta →\n2. 2016: se dio nombre al mecanismo y se fijó el plazo\n\nEl 13 de julio de 2016, Valve describió públicamente cómo los sitios de apuestas utilizaban Steam OpenID y cuentas de trading automatizadas, y las notificaciones de su abogado, de fecha 20 de julio de 2016, fijaron un plazo de diez días. Desde entonces no se ha publicado ningún registro de medidas coercitivas por operador. Diez años después de que se fijara dicho plazo, el mismo mecanismo mencionado se sigue utilizando en servidores de autenticación de dominios independientes que no devolvieron ningún bloqueo de Link Filter en 2026-09-21.\n\nLee la carta abierta dirigida al WSGC →\n3. Correlación de dispositivos, en papel con membrete del bufete\n\nEn la correspondencia que aquí se reproduce, el abogado de Valve describió una correlación a nivel de dispositivo que vincula un dispositivo con varias cuentas, una función que el servicio de asistencia de Steam había indicado previamente a los usuarios que no era técnicamente posible. La cuestión que queda pendiente es qué registros a nivel de dispositivo conserva Valve y en qué se basa para denegar el acceso a los titulares de las cuentas.\n\nLee el memorándum →\n4. Dos respuestas respecto al acceso. Una denegó el acceso a los datos y la otra los filtró.\n\nOctubre de 2025: El abogado de Valve respondió a una solicitud en virtud del artículo 15 con un anexo de 830 páginas en el que las partes censuradas se han tachado sobre el texto en lugar de eliminarlas — 902,270 caracteres volver a mostrar los datos con una herramienta de extracción estándar, incluidos los identificadores de terceros que esas barras tenían por objeto ocultar. El apartado 4 del artículo 15 es la razón por la que existen esas barras. Septiembre de 2026: El ticket HT-2YBP-F7JP-D4VB se cerró al cabo de tres días con un enlace a la página de autoservicio «Datos de la cuenta»: sin datos y sin indicar el fundamento jurídico. El plazo de un mes previsto en el artículo 12, apartado 3, aún no había vencido en el momento de la publicación; la objeción se refiere al fondo del asunto.\n\nLee la revisión del texto →Leer el registro del ticket →\n5. El mercado por encima del techo de Steam\n\nSteam limita la cotización en bolsa a unos $1,800. En cinco mercados, según una instantánea de fecha pasada (23 de septiembre de 2026), 248 categorías de artículos CS2 dos o más de ellos, de forma independiente, fijen un precio superior a ese límite máximo, y los 248 están ausentes de Steam; un «Dragon Lore» nuevo de fábrica cuesta a partir de $10,941 en 389 copias que figuran en las cinco listas (la cifra correspondiente únicamente a CSFloat de la sección 13, procedente de la instantánea del 20 de septiembre, es de $10,623.95 en 62 ofertas). Vender a esos precios requiere una plataforma externa, mientras que la transferencia de artículos sigue realizándose a Steam.\n\nSigue el precio y realiza la transferencia →\n6. La norma es explícita; el registro de auditoría no lo es.\n\nEl Acuerdo de suscripción reserva Steam para uso personal y no comercial, prohíbe la explotación comercial salvo en los casos expresamente permitidos, prohíbe el uso de scripts y bots, y permite la cancelación de la cuenta. Valve aplicó esa cláusula a los operadores de juegos de azar en 2016. Por otra parte, según la cuenta de ingeniería de CSFloat, Valve cerró IEconItems_730/GetPlayerItems En 2017, se eliminó el acceso público a los identificadores originales de los elementos (no se ha encontrado ningún registro de cambios Valve).\n\nColoca la regla junto a la red →\n2016 / Reclamación por escrito 10 días\nPlazo establecido en las notificaciones enviadas por el abogado en julio de 2016 a los sitios web de apuestas. Carta abierta a la WSGC: Sección 2.\n2017 / Registro público de auditoría Acceso con identificación cerrado\nCSFloat registra la pérdida de los ID originales de los elementos.\nCorrespondencia con los abogados Correlación de dispositivos\nUn dispositivo vinculado a decenas de cuentas robadas.\nRegistro de rutas Bloqueado, pero sigo iniciando sesión\nLa norma: La declaración de Valve de 2016 prohíbe gestionar un negocio de apuestas en Steam OpenID. El historial: El filtro de enlaces contiene 26 dominios principales, mientras que el servidor que aloja el inicio de sesión Steam de cada uno de ellos lleva funcionando… el de csgogem.com lleva 12 años y 6 meses en funcionamiento.\nSección 2 — Carta abierta\nCarta abierta a la Comisión de Juegos de Azar del Estado de Washington\n\nDiez días se convirtieron en diez años. La Comisión no ha recibido una respuesta con un registro operador por operador a la pregunta que formuló en 2016 a Valve; en esta carta se le solicita que reabra el expediente.\n\nCOMUNICADO PÚBLICO · COMISIÓN DE JUEGOS DE AZAR DEL ESTADO DE WASHINGTON\n\nDiez días se convirtieron en diez años.Vuelve a abrir el expediente.\n\nA la Comisión de Juegos de Azar del Estado de Washington:\n\nEn 2016, el director David Trujillo pidió a Valve que explicara qué medidas había tomado para impedir el uso de skins Steam con fines de juego. El entonces presidente, Chris Stearns, y la Comisión se enfrentaron a un sector basado en artículos emitidos por Valve y transferencias de Steam. Desde entonces, ambos han dejado sus cargos en la Comisión. La pregunta que plantearon a Valve sigue sin respuesta.\n\nEl consejero general de Valve, Karl Quackenbush, concedió a los operadores de juegos de azar un plazo de diez días para poner fin al uso comercial de las cuentas de Steam. En su respuesta de octubre a su Comisión, Valve negó haber facilitado el juego, afirmó que había enviado cartas de cese y desistimiento a más de cuarenta sitios web y señaló que había desactivado las cuentas asociadas. Asimismo, defendió el mantenimiento de Steam Trading y OpenID, ya que dichos servicios beneficiaban a los clientes y a los desarrolladores de juegos. Eso fue una demostración de control. Merece ser puesta a prueba, no ser aceptada sin más.\n\nWhat this means — OpenID and openid.realm\n\nOpenID is the sign-in standard behind the “Sign in with Steam” button: the site does not receive the password, Steam confirms the identity to it. openid.realm is the field carrying the address of the site asking for the sign-in, and openid.return_to the address Steam is to send the user back to. Steam receives both on every request and prints the realm on its own login page — which is why this dossier can name the host each platform authenticates through.\n\nSection 3 — the observed routes →\n\nEn nuestra evaluación, la respuesta de Valve no demostró que las medidas coercitivas elegidas se ajustaran a la magnitud de la red que describía. Una carta amenazante dirigida a un operador no es lo mismo que un bloqueo permanente de las cuentas Steam, la infraestructura comercial y las rutas de autenticación que hacen funcionar el negocio. Según las estimaciones publicadas, Solo CS:GO Lounge superó los $1 mil millones en volumen de apuestas durante 2016; se trata de una estimación externa de las apuestas, no de los ingresos Valve, y la actividad original de apuestas con «skin» del sitio web se cerró posteriormente. La magnitud del fenómeno hizo imprescindible una aplicación de la ley verificable.\n\nHoy, el propio Valve Contrato de suscripción archivado 2026-09-21 ↗ restringe la explotación comercial, salvo en los casos en que se permita expresamente, y prohíbe por separado determinadas formas de automatización. Nuestra registro de rutas con fecha registros que indican los hosts de respuesta de OpenID para servicios externos; openid.realm y openid.return_to son campos que se envían a Steam, no secretos que se le ocultan. Nuestros Comprobaciones del filtro de enlaces muestra casos en los que se emitió una advertencia sobre una dirección principal, pero no sobre un servidor de inicio de sesión asociado. Un resultado del filtro por sí solo no puede demostrar que Valve permitiera un inicio de sesión o que un bot concreto eludiera el bloqueo de una cuenta. Esto demuestra que una advertencia en la página de inicio no puede considerarse una respuesta exhaustiva en materia de acceso.\n\nTampoco la existencia de funciones útiles y lícitas de comercio Steam y de OpenID permite determinar si los operadores prohibidos quedaron realmente excluidos. Las propias normas de Valve admiten excepciones expresas. Si Valve se basa en esa distinción, la Comisión debería pedirle que identifique la autorización, los controles de cuentas y los criterios de aplicación aplicables a las empresas comerciales de «skins», así como los usos específicos no relacionados con el juego a los que invocó en 2016. La mera posibilidad de un uso lícito no es respuesta a un uso prohibido documentado.\n\nSolicitamos a la Comisión que revise su expediente de 2016 y pida un informe por operador: qué cuentas Steam y bots de negociación se desactivaron tras los avisos de diez días; si se supervisaron las cuentas relacionadas o los servidores de retorno; qué operadores recuperaron posteriormente el acceso; qué exenciones se concedieron; y qué registros respaldan la declaración de Valve ante la Comisión. Publique todo lo que la ley permita al público examinar. Compare esos registros con las rutas actuales y con las intervenciones posteriores de Valve, incluidas OPSkins en 2018 archivado 2026-03-07 ↗.\n\nLa notificación fijaba un plazo de diez días en julio de 2016; diez años son tiempo suficiente para determinar si se llevó a cabo. La Comisión debería contrastar el informe de 2016 de Valve con las infraestructuras que aún se pueden observar en la actualidad.\n\nLa investigación del Dossier Steam · Comunicado público, 20 de septiembre de 2026\n\nComunicación de la Comisión de 2016 ↗ archivado 2026-05-20 ↗ · Respuesta de Valve de 2016 (copia del documento) ↗ · Declaración de OpenID de Valve de 2016 ↗ archivado 2026-09-21 ↗ · Acuerdo actual Steam ↗ archivado 2026-09-21 ↗ · Cronología del intercambio de 2016: Sección 11 →\n\nParte A — Ficha técnica · Sección 3\nEl sitio está bloqueado. La ruta de inicio de sesión no lo está.\n\n26 dominios principales bloqueados. El proxy de autenticación que hay detrás de cada uno de ellos y el tiempo que lleva activo. Estos servidores de autenticación independientes no son direcciones secundarias accidentales: cada uno de ellos es un proxy de autenticación para Steam, situándose entre la plataforma y el punto final OpenID de Valve y gestionando el inicio de sesión que el dominio bloqueado ya no puede realizar de forma abierta. Valve colocó la «puerta principal» en el Link Filter. El inicio de sesión siguió realizándose a través del proxy: csgogem.com está bloqueado, y api.csgem.com está registrado desde marzo de 2014 — doce años y medio. Cada uno de esos días, ese servidor enviaba su propio nombre de host al punto final de OpenID de Valve, y Steam se lo mostraba directamente al usuario en la página de inicio de sesión. Valve es el tronco por el que discurren todas estas rutas; no tiene que buscarlas. Eso es lo que mide esta sección: no si existe una advertencia, sino cuántos años permanece abierta la ruta situada tras la advertencia. En el registro figuran 44 rutas de dominio independiente, 27 de ellas con un archivo de pruebas publicado para cada ruta —véase la tabla siguiente—. Analiza un ejemplo y, a continuación, evalúalas todas.\n\nFigura 3.1 — Las dos rutas, representadas gráficamente.\n\nUna plataforma, un usuario, dos solicitudes que salen del mismo navegador. El filtro de enlaces de Valve se aplica a ambas. Bloquea la que contiene un enlace y deja pasar la que contiene los datos de inicio de sesión. Todo lo que se mide en esta sección es el tiempo que permanece abierta la ruta inferior.\n\nThe player\none browser, one session\nrollbit.com\nthe platform's main domain\nrbsnin.com\nseparate authentication host\nLINK FILTER\n✕ BLOCKED\nLINK FILTER\n✓ CLEAN\nsteamcommunity.com\nOpenID endpoint · signs in\nno route\nEnlace publicado el Steam — suspendidoSolicitud de inicio de sesión — pasesCheques guardados de los días 19 y 21 de septiembre de 2026\n\nAmbas solicitudes son visibles para Valve, y solo se procesa una de ellas. El filtro de enlaces es una lista Valve, que comprueba un servicio Valve. La solicitud OpenID envía el nombre del propio servidor de autenticación al punto final de Valve, que lo muestra directamente en la página de inicio de sesión. El nombre de host aparece en la solicitud en cualquier caso; lo que varía es si se realiza alguna acción con él.\n\nUna plataforma. Dos rutas diferentes.ROLLBIT / OBSERVACIONES GUARDADAS\nPaso 5 / 5\n\nLa solicitud llega a Steam. La ruta observada llegó al formulario de inicio de sesión de Steam. Los autores no completaron el inicio de sesión. El bloqueo del enlace del dominio principal no impidió esta ruta observada hacia el formulario.\n\n01 COMPROBACIÓN DEL FILTRO DE ENLACES\nDESTINOrollbit.comEl dominio principal de la plataforma\nFILTRO DE CONEXIÓN DE VAPORComprueba el enlaceUn sistema independiente de aviso de destino\nRESULTADO GUARDADOEnlace bloqueado19 y 21 de septiembre de 2026\n02 LA RUTA DE INICIO DE SESIÓN OBSERVADA\nEN EL ANDÉNIniciar sesión con SteamLa plataforma inicia una solicitud de OpenID\nHOST DE AUTENTIFICACIÓN INDEPENDIENTErbsnin.comNo hay ningún bloque «Filtro de enlaces» en la comprobación guardada\nSTEAMSe ha mostrado el formulario de inicio de sesiónEl servidor solicitado aparece en el aviso de Steam\nComprueba las notas originales de la captura, la fecha de registro y los datos del protocolo.\nCómo se aplica la norma Valve\nDominio principal: bloqueado\nUsuario\n→\nrollbit.com\n(dominio principal)\n↓\nFILTRO DE STEAM LINK — BLOQUEADO\n«¡Enlace bloqueado!» — marcado como potencialmente malicioso\nrollbit.com devolvió un bloqueo del filtro de enlaces en 2026-09-19 y 2026-09-21 (comprobación sin autenticación; se guardaron el HTML sin procesar y el SHA-256). Un registro visible y auditable.\nQué ocurre realmente: la autenticación\nServidor de autenticación: no bloqueado\nUsuario\n→\nrollbit.com\n«Iniciar sesión con Steam»\n↓\nRedirigir a través de un servidor de autenticación independiente:\nrbsnin.comFiltro de enlaces: LIMPIO\nregistrado 2026-09-18T09:34:52Z (Verisign RDAP)\n↓\nSteam Aviso en la página de inicio de sesión (2026-09-20):\n\"Note that rbsnin.com is not affiliated with Steam or Valve\"\nSteam muestra este aviso procedente del openid.realm de la solicitud que ha recibido.\n↓\nSteam Formulario de inicio de sesión servido desde un servidor independiente\nLos autores no completaron el proceso de inicio de sesión; se observó el proceso hasta el formulario «Steam».\nValve recibe el nombre de host «return_to / realm» en cada una de esas solicitudes. rbsnin.com no devolvió ningún bloqueo del filtro de enlaces en 2026-09-21.\nA petición\nComo proveedor de OpenID, Steam recibe el nombre de host de autenticación con cada solicitud de autenticación: este llega a los propios servidores de Valve en el openid.return_to y openid.realm parámetros.\nEnviado por la página web\nEl servidor de autenticación no se detecta mediante el escaneo; la plataforma lo envía a Steam en cada solicitud. Según OpenID 2.0, apartado 9.1 return_to Es opcional desde el punto de vista técnico, pero sin él Steam no puede proporcionar el resultado del inicio de sesión, por lo que, para que el inicio de sesión con Steam funcione, es prácticamente obligatorio. Steam incluso muestra el nombre de host al usuario («<host> no está vinculado a Steam ni a Valve\").\n14 años\nes la antigüedad del servidor de autenticación más antiguo que aún mantiene Steam inicios de sesión en la comprobación 2026-09-21 (dota2.net, registrado hace 2011-10-29); el más reciente tiene tres días de antigüedad (rbsnin.com). No interpretes la cifra «0 hosts de autenticación bloqueados» como el resultado. Un host de autenticación bloqueado inutilizaría por completo la función «Iniciar sesión con Steam» de la plataforma, por lo que un registro creado a partir de inicios de sesión válidos solo puede contener hosts que nunca hayan sido bloqueados. La cifra que tiene importancia no es el recuento de bloqueos, sino el número de años que el dominio principal permaneció en el filtro de enlaces mientras que el inicio de sesión asociado a él siguió funcionando.\nServidores de autenticación de dominios independientes: fecha de registro frente al dominio principal (30 rutas: las 25 resueltas en la auditoría del navegador 2026-09-21, más 5 añadidas en 2026-09-22)\nPlataforma\tFiltro de enlaces: principal\tServidor de autenticación\tFiltro de enlaces: host de autenticación\tSe ha registrado el servidor de autenticación\tFuente de la observación\tExpediente de pruebas\nRollbit\nrollbit.com · reg. 2014-11-08\n\tBLOQUEADO\n2026-09-19, 2026-09-21 · Wayback 2026-09-21\n\trbsnin.com\tLIMPIO\n2026-09-21 · HTML sin formato (no hay copia de Wayback)\n\t2026-09-18\n09:34:52Z, Verisign RDAP\n\tSteam Aviso en la página de inicio de sesión, 2026-09-20\trollbit.com.json\nSkin.Club\nskin.club · reg. 2017-09-04\n\tBLOQUEADO\n2026-09-19, 2026-09-21 · Wayback 2026-09-21\n\tsc-auth.net\tLIMPIO\n2026-09-21 · Wayback 2026-09-21\n\t2019-04-02\nRDAP\n\tSteam Aviso de la página de inicio de sesión\tskin.club.json\nHowl.GG\nhowl.gg · reg. 2017-03-16\n\tBLOQUEADO\n2026-09-18, 19 de septiembre, 21 de septiembre · Wayback 2026-09-21\n\thowl.uno\tLIMPIAR\n2026-09-21 · Wayback 2026-09-21\n\t2026-08-11\nRDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\thowl.gg.json\nDuelbits\nduelbits.com · reg. 2020-02-03\n\tBLOQUEADO\n2026-09-21 · Wayback 2026-09-21\n\tswitchflips.com\tLIMPIO\n2026-09-21 · Wayback 2026-09-21\n\t2020-04-21\nRDAP\n\tURL de OpenID facilitada\tduelbits.com.json\nCSGOFast\ncsgofast.com · reg. 2015-03-27\n\tBLOQUEADO\n2026-09-19, 2026-09-21 · Wayback 2026-09-21\n\tsteam-login.authtofast.com\tLIMPIO\nauthtofast.com, 2026-09-21 · Wayback 2026-09-21\n\t2026-06-30\nauthtofast.com, RDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\tcsgofast.com.json\nFarmskins\nfarmskins.com · reg. 2016-03-23\n\tBLOQUEADO\n2026-09-19, 2026-09-21 · HTML sin formato\n\tsteam.kobal.cc\tLIMPIO\n2026-09-19, 2026-09-21 · HTML sin formato\n\t2017-01-07\nkobal.cc, RDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\tfarmskins.com.json\nCobaltLab\ncobaltlab.tech\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\tcobaltauth.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2025-01-07\nRDAP\n\tURL de OpenID facilitada\tcobaltlab.tech.json\nCSGO.NET\ncsgo.net · reg. 2012-07-22\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\tcn2.easylot.net\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2016-09-03\neasylot.net, RDAP\n\tCaptura en directo del navegador\tcsgo.net.json\nGGDrop\nggdrop.com\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\tggauth.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2023-05-03\nRDAP\n\tURL de OpenID facilitada\tggdrop.com.json\nRustChance\nrustchance.com\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\thgfuihd.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2019-01-27\nRDAP\n\tURL de OpenID facilitada\trustchance.com.json\nSkin.Fans\nskin.fans\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\tauth.skinfans.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2018-07-16\nskinfans.com, RDAP\n\tURL de OpenID facilitada\tskin.fans.json\nSkinport\nskinport.com · reg. 2018-09-05\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\tskinport.app\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2020-06-20\nRDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\tskinport.com.json\nSkins.Cash\nskins.cash\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\tskinscash.live\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2019-12-05\nRDAP\n\tURL de OpenID facilitada\tskins.cash.json\nTF2Hunt\ntf2hunt.com · reg. 2018-01-13\n\tBLOQUEADO\n2026-09-21 · HTML sin formato\n\trstspcl.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2020-08-08\nRDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\ttf2hunt.com.json\nCSGOGem\ncsgogem.com · reg. 2016-10-16\n\tBLOQUEADO\n2026-09-22 · HTML sin formato\n\tapi.csgem.com\ncsgem.com — dominio independiente que se puede registrar\n\tLIMPIO\n2026-09-22 · HTML sin formato\n\t2014-03-08\ncsgem.com, RDAP — el más antiguo del registro\n\tRecopilación manual + Captura mediante el filtro de enlaces\tlinkfilter-2026-09-22.json\nGamdom\ngamdom.com · reg. 2016-07-29\n\tBLOQUEADO\n2026-09-22 · HTML sin formato\n\tlogin.gambldom.com\ngambldom.com — solo una letra diferente de la marca\n\tLIMPIO\n2026-09-22 · HTML sin formato\n\t2017-09-24\ngambldom.com, RDAP\n\tRecopilación manual + Captura mediante el filtro de enlaces\tlinkfilter-2026-09-22.json\n12CS\n12cs.fail · reg. 2026-03-24\n\tBLOQUEADO\n2026-09-22 · HTML sin formato\n\tfail.games\tLIMPIO\n2026-09-22 · HTML sin formato\n\t2021-08-24\nfail.games, RDAP\n\tRecopilación manual + Captura mediante el filtro de enlaces\tlinkfilter-2026-09-22.json\nCSGOEmpire\ncsgoempire.com · reg. 2015-06-10\n\tLIMPIO\n2026-09-19, 2026-09-21 · Wayback 2026-09-21\n\tcsgoempirelogin4.com\nuno de los diez dominios numerados login1–10\n\tLIMPIO\n2026-09-21 · Wayback 2026-09-21\n\t2020-07-20\n05:49:17Z, Verisign RDAP\n\tCaptura en directo del navegador\tcsgoempire.com.json\nCS.MONEY\ncs.money\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tauth.dota.trade\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2016-07-15\ndota.trade, RDAP\n\tSteam Aviso en la página de inicio de sesión\tcs.money.json\nCSFloat\ncsfloat.com · reg. 2021-07-11\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tcsgofloat.com\nantiguo dominio de marca del operador; dominio registrable independiente, no constituye un indicador de evasión\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2015-09-29\nRDAP\n\tCaptura en directo del navegador\tcsfloat.com.json\nG4Skins\ng4skins.com\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tauth.g4s.to\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2021-05-30\ng4s.to, RDAP\n\tURL de OpenID facilitada\tg4skins.com.json\nJuice.GG\njuice.gg\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tletmeinjuice.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2024-04-15\nRDAP\n\tURL de OpenID facilitada\tjuice.gg.json\nMarket.CSGO\nmarket.csgo.com\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tdota2.net\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2011-10-29\nRDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\tmarket.csgo.com.json\nRust.TM\nrust.tm\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tdota2.net\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2011-10-29\nRDAP\n\tURL de OpenID facilitada\trust.tm.json\nCSGOLounge\ncsgolounge.com · reg. 2013-08-14\n\tLIMPIO\n2026-09-22 · HTML sin formato\n\tdota2.net\ntercer front-end en este servidor de autenticación\n\tLIMPIO\n2026-09-22 · HTML sin formato\n\t2011-10-29\ndota2.net, RDAP\n\tRecopilación manual + Captura mediante el filtro de enlaces\tlinkfilter-2026-09-22.json\nDota2Lounge\ndota2lounge.com · reg. 2012-08-10\n\tLIMPIO\n2026-09-22 · HTML sin formato\n\tdota2.net\ncuarto front-end en este servidor de autenticación\n\tLIMPIO\n2026-09-22 · HTML sin formato\n\t2011-10-29\ndota2.net, RDAP\n\tRecopilación manual + Captura mediante el filtro de enlaces\tlinkfilter-2026-09-22.json\nSkinBaron\nskinbaron.de\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tskinbaron.com\nmisma marca, dominio de nivel superior diferente\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2015-12-22\nRDAP\n\tURL de OpenID facilitada\tskinbaron.de.json\nTF2Royal\ntf2royal.com · reg. 2022-08-17\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\ttf2auth.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2021-07-27\nRDAP\n\tCaptura en directo del navegador + URL de OpenID facilitada\ttf2royal.com.json\nTradeit\ntradeit.gg\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tconnect-tradeit.com\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2022-02-23\nRDAP\n\tURL de OpenID facilitada\ttradeit.gg.json\nActualizador\nupgrader.pro\n\tLIMPIO\n2026-09-21 · HTML sin formato\n\tupgauth.space\tLIMPIO\n2026-09-21 · HTML sin formato\n\t2026-08-14\nRDAP\n\tURL de OpenID facilitada\tupgrader.pro.json\nFuente: steamcommunity.com/linkfilter, GET sin autenticación, 2026-09-21, 53 hosts, intervalo de 3 s; steam_tos_assets/linkfilter-recheck-2026-09-21.json; código HTML sin formato en steam_tos_assets/linkfilter-raw/. Fechas de inscripción: RDAP, steam_tos_assets/domain-registration.json. · Comprobación previa de 2026-09-19 en linkfilter-all-results.json · registros de rutas en auth-route-audit.json · Instantáneas de Wayback Machine de las páginas de Link Filter, 2026-09-21, que figuran en wayback-snapshots.json (No existe ninguna instantánea de rbsnin.com; el archivo sin procesar local es el único registro).\n\nFechas de inscripción: RDAP (steam_tos_assets/domain-registry/). La «URL de OpenID facilitada» establece los parámetros de la solicitud, no un inicio de sesión completado. Los autores no completaron ningún inicio de sesión en ninguna plataforma. Un dominio independiente no es, por sí solo, prueba de evasión. Tampoco es «0 hosts de autenticación bloqueados» un hallazgo independiente: bloquear uno interrumpiría el inicio de sesión Steam de esa plataforma, por lo que un registro elaborado a partir de inicios de sesión válidos no puede contener un host de autenticación bloqueado. La observación que tiene peso es la asociación y su duración: un dominio principal en el filtro de enlaces junto a un dominio de inicio de sesión que lleva años en funcionamiento. Esta tabla contiene 30 filas: 25 de las 27 rutas con un archivo de pruebas por ruta, más cinco añadidas en 2026-09-22 cuya división en el filtro de enlaces se recoge en linkfilter-2026-09-22.json aunque el dominio en sí se recopiló manualmente — así lo indican sus filas en la columna «fuente». Las dos rutas de los archivos de evidencia que no se muestran son skinsnipe.com (host de autenticación pricing.tradeupspy.com, registrado 2020-03-11) y csgobig.com (host de autenticación letmeinbig.com, registrado 2023-01-20); ambos devolvieron «BLOQUEADO» (main) / «LÍPIDO» (auth host) en la comprobación de 2026-09-22, registrado con SHA-256 en linkfilter-2026-09-22c.json, pero el código HTML sin formato de ese lote no se incluye en el conjunto publicado, por lo que aquí se mencionan por su nombre en lugar de asignárseles una fila, como se puede comprobar en todas las demás líneas de esta tabla. Las 12 rutas restantes del registro, recopiladas manualmente, se identifican como tales en master_registry.json debajo de realm_src: user.\n\nAuditoría empírica primaria · Intervalo de fechas plurianual\nLa trampa del panorama general: el filtro de enlaces es una farsa de cumplimiento normativo, no un escudo\n\nEn los navegadores de ordenador, los usuarios están protegidos por defensas externas: Google Safe Browsing y Microsoft SmartScreen interceptan los intentos de phishing conocidos y muestran avisos rojos a pantalla completa. En el modo «Big Picture» de Steam, en la superposición del juego (Shift+Tab) y en el Deck Steam (SteamOS), esas defensas no existen. El navegador integrado no admite ninguna extensión, desactiva los motores externos de «Navegación segura» y deja al usuario con una única barrera de protección: la de Valve. linkfilter intersticial.\n\nDesliza para comparar los cuatro resultados →\n\n92.5%\n2025-2026: phishing de última generación aprobado sin problemas (37/40)\n77.5%\nPhishing de la era CS2 (2023-2024) aprobado sin objeciones (31/40)\n70.0%\nCaso de phishing heredado de 2021-2022 aprobado sin problemas (28/40)\n7 / 7\nlíneas principales de juego bloqueadas (control positivo)\nAuditoría longitudinal plurianual: 120 dominios de phishing «puros» Steam sometidos a pruebas en tiempo real (24 de septiembre de 2026)\n\nPara comprobar si el filtro de Valve simplemente tarda en detectar nuevas amenazas o si, por el contrario, es incapaz de detectarlas, hemos realizado una auditoría de 120 dominios de phishing confirmados específicos de Steam en tres cohortes históricas, en comparación con steamcommunity.com/linkfilter:\n\nPromoción 1: 2021-2022 (Oferta de intercambio clásica y objetos que se obtienen al completar misiones) — 70.0% Superado sin fallos (28/40). Incluso entre cuatro y cinco años después de haber sido catalogados por los organismos de control comunitarios, siete de cada diez servidores de phishing heredados siguen activos sin ningún tipo de bloqueo.\nPromoción 2: 2023-2024 (CS2 Beta: expectación y apelaciones de soporte falsas) — 77.5% Aprobado sin fallos (31/40). Campañas que se hacen pasar por lanzamientos de Counter-Strike 2 y peticiones falsas de la comunidad (p. ej., cs2-steam.com, appealsteamcommunity.help) pasan directamente.\nCohorte 3: 2025-2026 (Implementaciones en el borde sin servidor y clones de favicons) — 92.5% Aprobado sin fallos (37/40). Kits modernos de phishing que se implementan en EdgeOne, Vercel y Cloudflare Pages (p. ej., steamgifter.online, steam-dp4lt5b8fnez.edgeone.dev) pasan prácticamente sin obstáculos.\n\nTelemetría y exención de responsabilidad, no protección. ¿Por qué existe el filtro de enlaces si deja pasar 70% a 92.5% de un caso claro de phishing Steam? Sirve como exención de responsabilidad para la empresa y como sensor de telemetría de clics salientes. Al presentar un mensaje cortés «Estás saliendo de Steam» Aviso con un botón verde «Continuar» en el que se puede hacer clic; Valve atribuye la responsabilidad legal a la víctima en virtud del Steam Acuerdo de suscripción (*«el usuario ha navegado voluntariamente fuera de Steam»*). Valve recopila los datos de telemetría del clic, pero no impide el robo.\n\nLa prueba del hash del favicon: cero captación de fuentes de amenazas. Las plataformas independientes de inteligencia sobre amenazas (urlscan.io, Shodan, Censys) identifican kits de phishing activos Steam mediante una simple búsqueda del hash del favicon oficial de Steam (page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com). Esta comprobación automática básica detecta grupos activos de phishing en cuestión de segundos. Valve no se sincroniza con fuentes externas, no realiza búsquedas de amenazas basadas en hash y solo interviene manualmente cuando así lo exigen las autoridades reguladoras (la orden sobre juegos de azar de la WSGC de 2016) o para proteger sus cadenas de dominio registradas como marcas comerciales.\n\nElementos de prueba de auditoría primarios: Auditoría longitudinal de 120 dominios a lo largo de varios años: auditoría-longitudinal-de-phishing-por-vapor.json · 100 muestras específicas de phishing Steam: linkfilter-steam-phishing-100.json · Auditoría general de la alimentación (n = 250): linkfilter-coverage-2026-09-22.json.\n\nCSGOEmpire — registro por lotes de diez dominios de autenticación numerados\n\nEl 2020-07-20 diez dominios numerados, csgoempirelogin1.com a través de csgoempirelogin10.com, quedaron registrados. Se conservan las marcas de tiempo RDAP de Verisign para los diez: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — nueve dominios en 22 segundos — y login10 a las 05:56:03Z, siete minutos después. El intervalo entre ambos registros concuerda con una única operación masiva realizada por un registrador.\n\nEl patrón concuerda con los hosts de reserva preconfigurados; solo login4 Se ha observado en una solicitud de OpenID en tiempo real. Tanto csgoempire.com como csgoempirelogin4.com devolvieron el resultado «CLEAN» en el filtro de enlaces en 2026-09-21; CSGOEmpire no figuraba entre los sitios mencionados en las noticias de prensa sobre los avisos de julio de 2016.\n\n# DNS: los 10 están activos (septiembre de 2026)\nVale csgoempirelogin1.com 172.67.129.43\nVale csgoempirelogin2.com 172.67.175.168\nVale csgoempirelogin3.com 188.114.96.3\nVale csgoempirelogin4.com 188.114.96.11 ← en el tráfico de OpenID\nVale csgoempirelogin5.com 172.67.160.194\nVale csgoempirelogin6–10.com Direcciones IP de Cloudflare\nNXDOMAIN: csgoempirelogin11.com\nLos 10 están registrados 2020-07-20; los 10 tienen marca de tiempo RDAP (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)\nConclusión para las autoridades reguladoras\nSi se bloquea el dominio principal y no se bloquea el host de autenticación, la ruta de inicio de sesión queda abierta, y así permanece durante años.\n\nEl bloque «Link Filter» del dominio principal es un registro público y verificable. El servidor de autenticación transporta el tráfico de «Iniciar sesión con Steam» y aparece en los propios parámetros de solicitud OpenID de Valve. En las comprobaciones realizadas en 2026-09-21 y 2026-09-22, en 26 pares divididos por el filtro, el dominio principal devolvió un bloqueo del filtro de enlaces, mientras que el proxy que transportaba su inicio de sesión no devolvió ninguno. El registro anterior mide la otra mitad de eso: estos hosts no son dominios desechables de corta duración. Varios llevaban registrados más de una década en la fecha de la comprobación, y cada uno de esos días es un día en el que Valve recibió el nombre de host en sus propios parámetros de solicitud. Valve no ha publicado ningún registro de medidas coercitivas por operador, por lo que no se puede determinar a partir de los datos públicos si se aplicó alguna otra medida a estos hosts.\n\n12 años y 6 meses\ncsgogem.com está bloqueado en el filtro de enlaces.\nSu servidor de inicio de sesión api.csgem.com ha sido\nestá registrado desde 2014-03-08 y no lo está.\nResumen en lenguaje sencillo — Para organismos reguladores y tribunales (ampliar)\nResumen en lenguaje sencillo — para las autoridades reguladoras\nAntecedentes: qué es Steam y por qué es importante en este contexto\n\nSteam es una plataforma de software gestionada por Valve Corporation (Bellevue, Washington, EE. UU.). Steam actúa como proveedor de identidad digital: los sitios web de apuestas y juegos de azar en Internet utilizan un sistema denominado «Iniciar sesión con Steam», un botón que permite a un sitio web verificar que un visitante dispone de una cuenta Steam real. Esto es similar a «Iniciar sesión con Google» o a la comprobación de un documento de identidad oficial: el sitio web redirige al usuario a los servidores de Steam, Steam confirma su identidad y Steam lo devuelve al sitio web. Valve gestiona el sistema de autenticación. Cada inicio de sesión a través de «Iniciar sesión con Steam» pasa por los propios servidores de Valve.\n\nLo que hizo Valve: el bloqueo de dominios\n\nEn julio de 2016, tras la presión mediática y jurídica en torno a las apuestas con «skins», el abogado de Valve envió notificaciones a aproximadamente 23 sitios web de apuestas identificados (según informes de prensa del 21 de julio de 2016); en octubre de 2016, Valve comunicó a la Comisión de Juego del Estado de Washington que se había puesto en contacto con más de cuarenta sitios web. Algunos dominios de juego aparecen en el Steam Filtro de enlaces — una lista que hace que cualquier enlace a ellos publicado dentro de Steam (en el chat, en una página de perfil, en la tienda) muestre una página de advertencia: «¡Enlace bloqueado!» El filtro de enlaces es la única medida de control cuyo efecto puede observarse desde fuera de Valve.\n\nEjemplo: Un enlace a rollbit.com Al pulsar Steam se muestra la página de advertencia de Link Filter (se han marcado 2026-09-19 y 2026-09-21). En teoría, el sitio web de apuestas está bloqueado.\nQué es un dominio proxy\n\nA El servidor de autenticación de dominio independiente es un proxy de autenticación: una segunda dirección web, en un dominio registrable diferente, que el mismo operador interpone entre sus usuarios y Steam con el único fin de llevar a cabo el paso «Iniciar sesión con Steam». Actúa como proxy para el inicio de sesión. El usuario cree que está iniciando sesión en la plataforma; la solicitud que llega a Valve lleva el nombre de host del servidor proxy, no el de la plataforma. Por lo general, no tiene ninguna conexión visible públicamente con el sitio de apuestas, y es la dirección a la que vuelven los usuarios después de que Steam confirme su identidad.\n\nEjemplo: Rollbit opera bajo rollbit.com, que el filtro de enlaces bloquea. En el caso de la autenticación Steam, el flujo observado en 2026-09-20 utilizaba una dirección diferente: rbsnin.com, registrado como 2026-09-18. Esta dirección devolvió No hay ningún bloque de filtro de enlaces en 2026-09-21. La página web de apuestas siguió funcionando, y su proceso de inicio de sesión Steam se realizó a través del servidor desbloqueado.\nEl punto crítico: el servidor de autenticación se envía a Steam en cada solicitud\n\nValve no necesita realizar un escaneo ni un rastreo para saber qué servidores de autenticación están en uso. Steam es el Proveedor de identidad OpenID para estos sitios web, y cada vez que se hace clic en «Iniciar sesión con Steam», se envía una solicitud GET a los propios servidores de Valve que contiene el nombre de host de autenticación en texto sin cifrar. Según el apartado 9.1 de OpenID 2.0, el return_to El campo es técnicamente opcional, pero sin él Steam no puede proporcionar el resultado del inicio de sesión, por lo que, para que el inicio de sesión Steam funcione, es, en la práctica, obligatorio. El propio Steam muestra el nombre de host en la página de inicio de sesión («<host> no está afiliado a Steam ni a Valve\").\n\n— Formato de la solicitud Steam recibida (host tal y como se observa para Rollbit en 2026-09-20): —\nOBTENER steamcommunity.com/openid/login\n&openid.mode=checkid_setup\n&openid.return_to=https://rbsnin.com/… ← se requiere efectivamente; aparece en el registro de Valve\n&openid.realm=https://rbsnin.com ← información facilitada por la propia web; mostrada en la página de inicio de sesión de Steam\nSi el sitio web utiliza la verificación de servidor a servidor (check_authentication), el registro de Valve también recoge la dirección IP del servidor de la plataforma y la red de alojamiento.\n\nExtraer el nombre de host de esta solicitud es una operación habitual. El registro de aplicación —qué servidores se han visto afectados, cuáles no y con qué criterios— solo existe en la infraestructura de Valve y no se ha publicado.\n\nLo que esto demuestra\n\n1. El bloque «Link Filter» actúa sobre los enlaces, no sobre los inicios de sesión. Bloquear el dominio principal (por ejemplo, rollbit.com) muestra un aviso a los usuarios que hacen clic en los enlaces que conducen a ella dentro de Steam. Esto no impide que el sitio web siga funcionando, ni que utilice el propio servicio OpenID de Valve a través de una dirección diferente.\n\n2. Los servidores de autenticación sometidos a prueba no estaban bloqueados. La tabla anterior muestra los hosts de autenticación de dominio independiente registrados entre 2011 y septiembre de 2026, varios de ellos años después de los avisos de julio de 2016. En 26 pares, el dominio principal devolvió un bloqueo de Link Filter y el proxy que gestionaba su inicio de sesión no lo hizo (comprobaciones sin autenticar, 2026-09-21 y 2026-09-22; respuestas sin procesar y SHA-256 guardadas). Ese proxy dejaría de funcionar el día en que Valve lo rechazara, por lo que la medida que se tiene en cuenta aquí es el tiempo que ha estado en funcionamiento, y no si figura en la lista. Valve recibe estos nombres de host en sus propias solicitudes de OpenID. A partir de los datos públicos no se puede determinar si se aplicó alguna medida distinta del filtro de enlaces, ya que Valve no ha publicado ningún registro de aplicación por operador.\n\n3. Los sitios web siguieron realizando el proceso de autenticación a través de la infraestructura de Valve. «Iniciar sesión con Steam» es un servicio de Valve; cada autenticación que se realiza a través de él es una solicitud que Valve recibe y procesa. Valve también obtiene ingresos de las claves de caso, y el Mercado Comunitario Steam cobra una comisión combinada de aproximadamente 15% por las transacciones realizadas dentro del Mercado (no por las operaciones externas). La acción «Filtro de enlaces» creó un registro público; no interrumpió la relación de autenticación.\n\n¿Habría funcionado el bloqueo?\n\nPor analogía: cuando el registrador de dominios gratuito Freenom cerró en 2023, las campañas de phishing que dependían de sus dominios se vieron interrumpidas. La continuidad operativa depende de la estabilidad de la infraestructura.\n\nAquí se aplica la misma lógica. Si se rechazara un servidor de autenticación durante el procesamiento de OpenID de Steam, la función «Iniciar sesión con Steam» de la plataforma dejaría de funcionar hasta que se registrara un nuevo servidor, se emitieran los certificados y se propagara el DNS. Durante ese periodo: tiempo de inactividad.\n\nLa rotación no hace que el bloqueo resulte inútil. Esto convierte el bloqueo en un coste operativo. Dado que los nuevos servidores aparecen en los propios registros de solicitudes de Valve la primera vez que se utilizan, una respuesta podría tardar lo mismo que ese primer uso.\n\nEl registro por lotes es, en sí mismo, una señal: Las consultas «login1» a «login10» de CSGOEmpire se registraron el 2020-07-20, nueve de ellas en un plazo de 22 segundos (Verisign RDAP). No es necesario que una respuesta se refiera a cada dominio por separado; una serie secuencial procedente de una misma sesión del registrador puede identificarse como una serie.\n\nLos registros públicos no indican que se haya producido ningún intento de bloquear hosts de autenticación que haya sido frustrado por la rotación.\nMuestra los dominios principales bloqueados mientras el proxy que gestionaba cada inicio de sesión seguía en funcionamiento —26 pares a fecha de 2026-09-22, siendo el servidor de autenticación más antiguo el que llevaba registrado 12 años y 6 meses— y no hay ningún registro publicado de medidas coercitivas por parte de ningún operador.\nPor lo tanto, la pregunta que se plantea el regulador es: ¿qué medidas coercitivas, si las hay, ha aplicado Valve a los servidores de autenticación que recibe en sus propias solicitudes de OpenID?\n¿Qué hizo Valve y por qué no interrumpió la ruta de autenticación?\n\nLa tabla siguiente relaciona cada acción Valve documentada públicamente con el hecho de si afectó o no al punto de entrada de autenticación de OpenID. La conclusión no es que «Valve no hiciera nada», sino que ninguna de las acciones documentadas públicamente afectó al punto por el que pasan los inicios de sesión en las plataformas de juego a través de los servidores de Valve.\n\nFecha\tValve Acción\tAfectados openid.return_to ¿ruta?\nJulio de 2016\tDeclaración pública del 13 de julio de 2016; notificaciones de los abogados a unas 23 entidades concretas (prensa, 21 de julio de 2016); se contactó con más de 40 entidades según la carta de Valve de octubre de 2016 dirigida a WSGC\tNo. Las notificaciones y el filtro de enlaces actúan sobre los operadores y los enlaces; la ruta de solicitud de OpenID no se ha modificado.\n2017\tCierre de IEconItems_730/GetPlayerItems (según la cuenta de ingeniería de CSFloat; no se ha encontrado ningún registro de cambios Valve)\tNo. Se ha visto afectada la visibilidad del historial de los elementos públicos. La autenticación OpenID no se ha modificado.\n2018-03-29\tSe anuncia un bloqueo de intercambios de 7 días en CS:GO (blog.counter-strike.net)\tNo. Se ha ralentizado el movimiento de elementos; la ruta de solicitud de OpenID no se ha modificado.\n2022-05-10\tSe han eliminado los puntos finales de cancelación de intercambios de la API web pública (detectado por un usuario; sin registro de cambios Valve — node-steam-tradeoffer-manager #325)\tNo. Se ha desactivado la herramienta de intercambio de ofertas; la autenticación OpenID no se ha modificado.\n2023-12-04\tLa creación de claves API ahora requiere una confirmación a través del móvil (steamcommunity.com/dev/apikey; sin registro de cambios)\tNo. Se protegió el punto final clave; los servidores de autenticación que se mencionan aquí no se vieron afectados.\n2026-09-19 / 21-09\tSteam Estado del filtro de enlaces según la observación de los autores\tLos 14 dominios principales devolvieron un bloqueo en la nueva comprobación guardada 2026-09-21 —26 pares divididos en el registro por 2026-09-22—, mientras que el proxy que gestionaba cada inicio de sesión siguió funcionando.\nFuentes: Valve comunicado del 13 de julio de 2016 (store.steampowered.com/oldnews/22883, archivado 2026-09-21) · Informe técnico de CSFloat sobre el cierre de 2017 (blog.csfloat.com, archivado 2026-09-21) · Estado del filtro de enlaces: linkfilter-recheck-2026-09-21.json.\nEsta conclusión puede refutarse con un solo caso publicado en el que Valve haya rechazado una solicitud de OpenID porque openid.return_to apuntaba a un servidor de autorización de juegos de azar. No se ha encontrado ninguna instancia de este tipo en los registros públicos.\nLos dos registros de «auth-host» más recientes\nhowl.unoSe registró 2026-08-11 (RDAP), 41 días antes de 2026-09-21; howl.gg devolvió un bloqueo del filtro de enlaces en 2026-09-18, 2026-09-19 y 2026-09-21. No se ha determinado si el bloqueo fue anterior al registro.\nrbsnin.comse registró como 2026-09-18T09:34:52Z (Verisign RDAP) y se observó en el flujo de inicio de sesión de Rollbit Steam en 2026-09-20 a través del aviso de la propia página de inicio de sesión de Steam; rollbit.com devolvió un bloqueo del filtro de enlaces en 2026-09-19 y 2026-09-21, mientras que rbsnin.com no lo hizo.\nCada host de la tabla anterior se envía a los servidores de autenticación de Valve como openid.realm en cada intento de inicio de sesión.\nDatos completos por ruta y resultados del filtro de enlaces: la tabla de la sección 3 anterior; resultados sin procesar en linkfilter-recheck-2026-09-21.json y linkfilter-all-results.json.\nMetodología: cómo se establecieron los recuentos de rutas y filtros de enlace\n1. Resolución de dominios\nLa auditoría 2026-09-21 resolvió 78 de las 189 plataformas solicitadas: 33 se autentican con su propio nombre de host y 20 con su propio subdominio —autenticación directa—, y ninguna de ellas se contabiliza como ruta de dominio independiente. El resto 25. Autenticarse a través de un dominio independiente que se pueda registrar, repartidos entre 24 nombres de host distintos (dota2.net es compartido por market.csgo.com y rust.tm): 10 identificados mediante captura en tiempo real del navegador, 3 a través del aviso de la propia página de inicio de sesión de Steam y 12 mediante una URL de OpenID facilitada. El registro en tiempo real (master_registry.json, 2026-09-22) amplía eso a 44 rutas de dominios independientes: 26 pares con división de filtro (dominio principal BLOQUEADO, host de autenticación LIMPIO), más otras 18 rutas sin división del dominio principal. De las 44, 27. Llevar un expediente de pruebas por cada ruta; los otros 17 se recogieron a mano y están marcados realm_src: user en el registro. Cinco de esos diecisiete —csgogem.com, gamdom.com, 12cs.fail, csgolounge.com y dota2lounge.com— se añadieron el 2026-09-22 con una captura de Link Filter de ambos hosts (HTML sin procesar + SHA-256 en linkfilter-2026-09-22.json), por lo que la división en sí misma queda constatada aunque el dominio se haya recopilado manualmente; aparecen en la tabla anterior junto a las rutas del archivo de pruebas. tfauth.com (tf2easy.com) fue eliminado del registro a las 2026-09-22: al igual que arena.fragnet.net, no hay ningún enlace verificable que lo relacione con su sitio de origen. El recuento se puede volver a calcular a partir de los datos publicados auth-route-audit.json (serie de 2026-09-21) según una única regla: una plataforma solo cuenta cuando su host OpenID Steam observado se encuentra en un dominio registrable distinto al de la propia plataforma.\n2. Steam Estado del filtro de enlaces\nProbado mediante steamcommunity.com/linkfilter/?url=https://[domain], sin autenticar, en 2026-09-19 y 2026-09-21; HTML sin procesar guardado con SHA-256. El estado se registra por separado para el dominio principal y el host de autenticación. Un clasificador distingue el aviso genérico «Estás saliendo de Steam» (CLEAN) de la página «¡Enlace bloqueado! ... marcado como potencialmente malicioso» (BLOCKED); un control de google.com confirma que ambos no se confunden. Se descartó una variante anterior autenticada de esta prueba después de que devolviera «bloqueado» para todos los dominios, incluido ese control; se determinó que se debía a una cookie de sesión no válida en el script de prueba, y no a un resultado real.\n3. Observación del host de autenticación\nCaptura en directo: un navegador Playwright accedió al proceso de inicio de sesión de cada plataforma y el openid.return_to El nombre de host se ha obtenido de la solicitud interceptada. Aviso de la página de inicio de sesión: el nombre de host se ha obtenido de la propia «» de Steam'<host> no está vinculado a Steam ni a Valve\" texto, que Steam se representa a partir de openid.realm (rbsnin.com, sc-auth.net, auth.dota.trade). URL facilitada: una URL de inicio de sesión «a Steam» facilitada a los autores; esta establece los parámetros de la solicitud, no un inicio de sesión completado. No se completó ningún inicio de sesión en ninguna plataforma.\n4. Cobertura: lo que no se ha resuelto y por qué es importante\nDe las 189 plataformas, El 110 no estableció ninguna ruta y uno no era aplicable (189 − 78 − 1). Este expediente no tiene en cuenta ninguno de ellos. El desglose de los 110, según el archivo de auditoría: 22 retos de bot, 14 tiempos de espera agotados, 12 errores HTTP y 10 errores de navegación —el observador no pudo acceder al flujo de inicio de sesión, aunque la mayoría de estos sitios se abren con normalidad en un navegador habitual—; 20 no mostraban ningún control de inicio de sesión Steam en la página de destino; 16 llegaban a un flujo de inicio de sesión que no se podía resolver en un servidor; 11 dominios no se resolvían en el DNS; 5 se detenían en una pantalla de consentimiento. El registro que figura a continuación desglosa esos mismos 110 de forma diferente: los 11 que no se resolvieron en el DNS se enumeran por separado como Eliminado · NXDOMAIN, y la única entrada no aplicable se suma al resto. Se han auditado 189 plataformas y se han eliminado 11 tras recibir un NXDOMAIN definitivo de ambos resolutores, 178 conservados (platform-audit.json, platforms-removed.json). Se eliminaron de los datos de 2026-09-19 137 dominios de autenticación que el libro mayor había adivinado a partir del patrón de nomenclatura —nunca se observaron, por lo que nunca constituyeron una prueba—. Tres de las suposiciones se contradecían con las URL de OpenID facilitadas: buff.163.com, gamerpay.gg y csgoluck.com realizan la autenticación directamente, frente a las suposiciones de buffauthproxy.163.com, gamerpayredirect.io y lucklogin.app. Las eliminaciones figuran en el archivo de auditoría publicado.\nEl 25 es un mínimo, no un máximo. De las 78 plataformas que se resolvieron, 25 utilizaban un dominio independiente y 53 no. De esa proporción no se deduce nada sobre las 110 no resueltas, y en ningún lugar de este informe aparece ninguna proyección basada en ella. Cada una de ellas puede resolverse si una persona abre la página y pulsa «Iniciar sesión con Steam»: el nombre de host de autenticación aparece en la URL de la página Steam que se carga.\nEl objetivo de esta sección: Un observador independiente necesita un navegador y mucha paciencia para identificar 189 plataformas, y ha conseguido identificar 78. Valve requiere una consulta a la base de datos. Todas las plataformas que utilizan «Iniciar sesión con Steam» —tanto las identificadas como las no identificadas— envían openid.realm al punto final de autenticación de Valve en cada inicio de sesión. La laguna que aparece en esta tabla se debe a que los autores se encuentran fuera del sistema. No existe en el caso de Valve.\nLos nombres de host proxy observados se encuentran en auth-route-audit.json. Fechas de registro del dominio según RDAP (Verisign) / IP2WHOIS. Resultados del filtro de enlaces en linkfilter-all-results.json.\nUna analogía para que quede más claro\n\nImagina que las autoridades reguladoras comunican a una empresa de taxis con licencia que ya no puede operar desde su dirección registrada en Main Street. La empresa retira el letrero de Main Street. Se documenta la retirada de dicho letrero. Sin embargo, la misma empresa abre una sede en Side Street —registrada bajo un nombre diferente— y continúa operando desde allí. Las autoridades reguladoras gestionan el sistema central de despacho que utilizan todos los taxis de ambas direcciones. Cada solicitud de viaje indica «recogida en Side Street». Las autoridades reguladoras nunca revocan la licencia de Side Street. La retirada del letrero de «Main Street» fue la única medida coercitiva que se llevó a cabo. La empresa de taxis nunca dejó de prestar servicio.\n\nParte A — Ficha técnica · Apartado 3.1\nDentro de Steam, la lista de Valve es la única lista.\n\nSi se hace clic en un enlace en el cliente Steam, la superposición del juego o el modo Big Picture no se abren en el navegador del usuario. Se muestran en el propio navegador integrado de Steam, donde no están presentes las capas de advertencia que aplicaría un navegador. El filtro de enlaces no es una medida de seguridad más entre otras muchas. Es la única medida de seguridad.\n\nEn un navegador normalTres capas independientes\nNavegación segura de GoogleUn intersticial a página completa para los servidores incluidos en las listas de phishing y malware de Google, que se actualiza continuamente y es independiente del sitio web que se esté visitando.\nLa extensión antivirus para el navegadorLa mayoría de los productos para dispositivos finales de consumo incluyen un complemento para el navegador que comprueba si el destino figura en la lista de reputación del propio proveedor.\nInspección HTTPS en los terminalesCuando el producto realiza una inspección TLS, el contenido de la página se analiza antes de que llegue al usuario.\nEn el cliente Steam, superposición y «Big Picture»Una capa\nNavegación segura de GoogleNo está presente. La comprobación requiere claves API de Google que no se proporcionan en las compilaciones de Chromium integradas; cuando no están presentes, la propia documentación de diseño de Chromium indica que el controlador de Navegación segura simplemente nunca se añade a la cadena de solicitudes.\nLa extensión antivirus para el navegadorNo está presente. El motor de renderizado de Steam no es el navegador del usuario y no carga ninguna extensión del perfil del navegador del usuario, por lo que no se ejecuta ningún complemento en la página.\nInspección HTTPS en los terminalesDepende del producto. El tráfico termina dentro de un proceso Valve firmado con código, en lugar de en un navegador reconocido, y varios productos de punto final excluyen las aplicaciones firmadas de la inspección TLS.\nEl filtro de enlaces SteamLa lista de bloqueados propia de Valve, a la que se recurre cuando un enlace sale del ecosistema Steam. Esta es la única comprobación que se lleva a cabo, y la tabla anterior recoge los resultados que devuelve para los hosts de autenticación descritos en esta sección.\nUna prueba que cualquier lector puede realizar, y si falla, la conclusión deja de ser válida.\n\nAbre una de las URL de prueba de «Navegación segura» publicadas por Google (testsafebrowsing.appspot.com) en Chrome: aparece una página intersticial roja a pantalla completa. Abre la misma URL desde un mensaje de chat Steam, de modo que se muestre en el cliente Steam o en la superposición: no aparece ninguna página intersticial. La única advertencia que Steam puede generar es su propia página de filtro de enlaces, y solo para los hosts que figuran en la lista de Valve.\n\nEl historial de recompensas por errores de ValveEsa sola capa ya se había utilizado antes, en el propio disco de Valve\n\nSi el filtro de enlaces es la única comprobación que se ejecuta en el cliente, sus propios modos de fallo no son una cuestión secundaria. Dos informes en el programa HackerOne de Valve, ambos aceptados, ambos resueltos y ambos divulgados íntegramente desde entonces:\n\n#291750archivado 2025-11-16 ↗Open Redirect · Medium\nDesactivación de la protección del filtro de enlaces\n\nNotificado el 19 de noviembre de 2017, resuelto y divulgado el 9 de mayo de 2018. Prueba de concepto del propio informe: sustitución del punto ideográfico 。 (%E3%80%82) para el punto en un nombre de host — Es posible eludir el bloqueo. El contenido intersticial al que se refiere esta sección no ha aparecido.\n\n#1079561archivado 2026-09-24 ↗Divulgación de información · alta\nEl navegador web Big Picture filtra cookies de inicio de sesión y revela información confidencial (lo que podría dar lugar a la apropiación de cuentas)\n\nNotificada el 15 de enero de 2021, resuelta y divulgada el 21 de septiembre de 2021. La propia clasificación de gravedad de Valve es alta, y el título indica la consecuencia. El registro publicado incluye el título, la clasificación y las fechas; la descripción técnica no figura en el contenido publicado, por lo que no se cita nada más de ella aquí.\n\nEs una interpretación de los autores, no una conclusión de ninguno de los dos informes: Ambos se sitúan a ambos lados de la misma puerta. Uno es la advertencia que no aparece antes de que se abra el destino; el otro es la sesión que abandona el cliente una vez que se abre una página en su interior. La secuencia que sigue a una sesión robada —clave registrada sin solicitud previa, operación real cancelada, duplicado enviado a un clon— es el patrón establecido en Sección 5 a Sección 8. Ambos informes están cerrados; ninguno de ellos se presenta como una vulnerabilidad activa. Lo que demuestran es más limitado, pero suficiente: la única capa que queda tiene un historial documentado de haber sido eludida, según los propios registros de Valve.\n\nFuente: el registro de divulgación de HackerOne correspondiente a cada informe, consultado el 2026-09-22 — número, título, equipo, vulnerabilidad, gravedad, fechas de informe y divulgación, y estado tal y como lo publica HackerOne. Registro de consulta: hackerone-reports.json. Aquí no se indica ninguna cuantía de la recompensa; tampoco aparece ninguna en el expediente consultado.\n\nObservación de campo · PhishDestroyLas detecciones que normalmente ponen fin a una campaña no lograron detener estas\n\nObservamos cómo los servidores de phishing seguían captando tráfico mientras transportaban 20 o más detecciones de proveedores. Si se envía a través de la web o por correo electrónico, una campaña en ese estado se frustra en cuestión de días: tanto el navegador como el antivirus actúan en función de esos veredictos. En Steam, sin embargo, no ocurre así. Los veredictos existían desde el principio. El cliente nunca solicitó nada.\n\nQué significa esto para un menor que tiene instalado un antivirus\n\nNo ignora ninguna advertencia ni desactiva nada. Llega un mensaje en Steam —un cuchillo gratis, un voto para el equipo de un amigo— y la página se abre en Steam. Nunca abre un navegador, por lo que el navegador nunca le protege. Su antivirus está en funcionamiento y puede que ya haya clasificado ese dominio como malicioso; pero nunca se le consulta. Ya existen todas las advertencias que podrían haberlo detenido. Ninguna de ellas le llega. Él cree que nunca se marchó de Steam, y así fue.\n\nLa oferta gratuita no es una invención del estafador: los artículos «gratis Valve» son la forma en que se anuncian las páginas web de skins y de apuestas, y precisamente por eso el mensaje parece tan normal. Quejas: el archivo de ejecución. Datos sobre la edad y los hijos: Artículo 17.\n\nFuentes: Steam muestra el contenido web a través del Chromium Embedded Framework en el steamwebhelper proceso — véase Análisis técnico de DARKNAVY del 27 de junio de 2024 ↗ y el propio de Valve Steam Foro de la versión beta para clientes ↗ archivado 2025-08-04 ↗. No se utiliza ninguna versión de CEF: el Chromium integrado no es Chrome y no incluye ninguno de los servicios de Google de Chrome. Navegación segura sin claves API: Documento de diseño de Chromium ↗ archivado 2026-08-21 ↗, Claves de la API de Chromium ↗ archivado 2026-08-30 ↗ («Muchas de las API de Google que utiliza Chrome son específicas de Google y no están pensadas para su uso en productos derivados»), y el mismo efecto en otras versiones sin clave — Barril de cerveza artesanal n.º 193814 ↗. URL de prueba: testsafebrowsing.appspot.com ↗.\n\nDos relojes distintos\nLa antigüedad del dominio.Fecha de la observación.\n\nLa fecha de creación del registro indica cuándo se registró un dominio. Un registro OpenID con fecha establece el servidor de origen de dicho registro. La primera no puede cubrir los años anteriores a la segunda.\n\nEl registro completo distingue entre un dominio registrable independiente, el subdominio propio de un sitio web y una ruta directa. Cada fila incluye un enlace a su origen y al resultado de DNS.\n\nConsultar el registro de dominios →· Descargar fechas de inscripción ↗· Download observation data ↗\n\nParte A — Ficha técnica · Sección 4\nSe ha cerrado un punto final. El seguimiento público ha perdido una clave.\nContexto y límites de la fuente\n\nSteam introdujo cambios que eliminaron la visibilidad pública de los ID de activos de los artículos y restringieron el acceso al inventario a través de la API. El resultado: se hizo imposible rastrear un artículo concreto mediante su ID de activo original a partir de datos públicos. A continuación se detalla lo que era posible antes, lo que dejó de serlo después y lo que eso supone para una víctima que intenta demostrar adónde ha ido a parar su propiedad. La fecha es 2017, según la cuenta de ingeniería de CSFloat; no se ha localizado ningún registro de cambios de Valve. La secuencia —aproximadamente un año después de la declaración sobre el juego de julio de 2016— es la pregunta de la investigación, no una conclusión. Los registros de los artículos en sí permanecen dentro de los sistemas de Valve; los investigadores externos perdieron el acceso a la cadena de identificadores originales, mientras que los identificadores «float», «seed» y «paint» solo permiten una coincidencia parcial.\n\nSe aplica la regla Valve: Steam El servicio de atención al cliente no recupera los artículos que hayan salido de tu cuenta, y la responsabilidad de demostrar lo que ha ocurrido recae en ti. El historial: En 2017, Valve cerró el punto final que contenía los ID originales de los artículos. Antes de eso, cualquiera podía rastrear un skin robado desde la cuenta de la víctima hasta un bot de un mercado. Desde entonces, nadie ajeno a Valve puede hacerlo. El documento de identidad que se le pide a la víctima es el que fue sustraído. — y sigue existiendo, dentro de Valve.\n\nLa era anterior al apagón\n\nHistóricamente, cada objeto virtual generado en Steam poseía un identificador único a nivel global e inmutable ID del activo. Las bases de datos OSINT de terceros podrían indexar estos identificadores. Si a un usuario le robaran un artículo, los investigadores podrían rastrear el recorrido de ese activo concreto a medida que pasara de la cuenta intermedia del ladrón a las cuentas de almacenamiento de un mercado o un sitio web de apuestas.\n\nANTES: cualquiera podía rastrear un artículo desde la cuenta de la víctima, pasando por cuentas intermedias, hasta llegar a un bot de almacenamiento de un mercado o un casino, utilizando datos públicos.\nTras el cambio\n\nSegún la cuenta de ingeniería de CSFloat, Valve cerró el punto final en 2017 y los ID originales de los artículos dejaron de estar disponibles para terceros. No se ha encontrado ninguna declaración Valve que explique el motivo del cambio. Tampoco se ha encontrado, en ese mismo periodo, ninguna medida publicada contra las cuentas de bots comerciales que movían artículos a gran escala.\n\nSea cual sea el motivo, el cambio rompió la cadena de custodia pública. Una víctima ya no puede reconstruir la cadena de identificación original a partir de datos públicos para demostrar que un artículo robado concreto se vendió a través de un mercado o casino específico. Los registros de los artículos siguen existiendo en los sistemas de Valve; el público, los investigadores y las fuerzas del orden que trabajan con datos públicos no pueden acceder a ellos.\n\nA PARTIR DE AHORA: ya no es posible rastrear un artículo concreto mediante su ID de activo original a partir de datos públicos. La cadena de custodia del ID original de un artículo trasladado después de 2017 solo existe dentro de la infraestructura de Valve; no se ha hecho público ningún registro de este tipo. Los identificadores «float», «seed» y «paint» solo permiten una correspondencia parcial y probabilística.\nIEconItems_730\nOBTENER/IEconItems_730/GetPlayerItems/v1/\nCarga útil rastreable (antes del parche)\n\"id\": \"14892281934\",\n\"original_id\": \"11829910211\",\nEstado: La víctima puede rastrear el historial del objeto a través de las cuentas de los bots.\nCarga útil ofuscada (tras la aplicación del parche)\nActual\n\"id\": \"HIDDEN_BY_PRIVACY_SETTINGS\",\n\"original_id\": \"NULL\",\nEstado: las partes externas ya no pueden rastrear el historial de un artículo a partir de su ID de activo original utilizando datos públicos.\nRepercusión en las pruebas: Tras el cambio, ya no se disponía de los datos públicos necesarios para rastrear un artículo concreto mediante su ID de activo original desde la cuenta de una víctima hasta un bot de un mercado o un casino. Los registros internos siguen existiendo en Valve; una víctima, un investigador o un analista que trabaje a partir de datos públicos no puede reproducir la cadena del ID original (los identificadores «float», «seed» y «paint» solo permiten una coincidencia parcial).\n\nFuente: Informe técnico de CSFloat sobre el cierre en 2017 de IEconItems_730/GetPlayerItems — blog.csfloat.com/how-floatdb-tracks-items (archivado 2026-09-21) · Las cargas útiles que se muestran son una ilustración de la forma del campo, no respuestas capturadas · No se ha encontrado ningún registro de cambios Valve para el cierre.\n\nParte A — Ficha técnica · Sección 5\nUna sesión. Más acceso del que el usuario percibe.\nLímites del contexto y de la fuente\n\nLa arquitectura de claves API de Valve, tal y como era antes de los cambios de 2023, se apartaba de los estándares básicos del sector (OWASP ASVS, NIST SP 800-63B) y es el mecanismo descrito en las denuncias automatizadas por robo de inventario conservadas en el archivo de pruebas (secciones 6-8).\n\nSe aplicó la regla Valve: El titular de la cuenta creó la clave, aceptó las condiciones y asume la pérdida: esa es la respuesta que figura en los rechazos archivados. El historial: Hasta diciembre de 2023, bastaba con una cookie de sesión robada para registrar esa clave. Sin contraseña. Sin Steam Guard. Sin notificación alguna a la persona a la que pertenecía la cuenta. El usuario no creó la clave, no podía verla y, sin embargo, le dijeron que sí lo había hecho. La confirmación móvil se añadió el 2023-12-04, unos siete años después de la declaración de 2016 y aproximadamente seis años después de los paneles sobre estafas que conserva el archivo. Esos años no los pagó Valve. Los pagaron las cuentas que se habían vaciado entretanto, algunas de ellas de menores.\n\nOWASP ASVS 2.8 / NIST SP 800-63BGRAVEDAD: CRÍTICA\n1. Autenticación de nivel superior insuficiente\n\nSteam permitía la generación de claves API con privilegios elevados y de larga duración utilizando únicamente una cookie de sesión. No se exigía la autenticación de dos factores (Steam Guard) ni ningún desafío de autenticación reforzada al configurar o modificar una clave API de desarrollador, por lo que la confirmación móvil Steam Guard —el único segundo factor que ofrece Steam— no protegía este paso. (En 2016 se solicitó un segundo factor de hardware en el propio sistema de seguimiento de 2 y el problema sigue abierto: Apéndice D, GH-01.)\n\nEstado: sin parchear antes de 2023. Permitía que un script que contuviera una cookie robada registrara una clave sin ninguna interacción por parte del usuario.\nOWASP A01:2021 / Principio del privilegio mínimoGRAVEDAD: CRÍTICA\n2. Ausencia del principio del mínimo privilegio\n\nLa API web Steam carecía de ámbitos de autorización basados en roles. Una clave de API para desarrolladores emitida para consultar el estado del inventario en «solo lectura» poseía permisos completos de «escritura», incluida la capacidad de modificar operaciones existentes, iniciar otras nuevas, registrar webhooks y rechazar intercambios pendientes válidos.\n\nEstado: defecto de diseño sistémico. Una clave = control total de lectura y escritura sobre el inventario y las operaciones de la cuenta.\nOWASP A07:2021 / SesionesGRAVEDAD: ALTA\n3. Fallos en la gestión de sesiones\n\nLos usuarios han informado de que las sesiones web secuestradas procedentes de rangos de direcciones IP de servidores de alojamiento siguen activas. La práctica habitual consiste en cerrar las sesiones ante anomalías geográficas y tras un cambio de contraseña; los informes de los usuarios recopilados en el archivo describen sesiones que permanecieron activas tras un cambio de contraseña.\n\nEstado: comportamiento notificado (quejas de usuarios en el archivo). Las sesiones podían generar claves API sin necesidad de volver a autenticarse.\nEl bloqueo a nivel de dominio era técnicamente viableVIABILIDAD DE LA APLICACIÓN\n4. El bloqueo a nivel de dominio de los servidores de autenticación era técnicamente viable\n\nValve ya gestiona una lista de dominios (el «Link Filter») y ya recibe todos los nombres de host de autenticación en sus propias solicitudes de OpenID. Ambos mecanismos no están conectados de ninguna forma visible desde el exterior: a fecha de 2026-09-22, en 26 pares el dominio principal figuraba en el filtro, mientras que el proxy que gestionaba su inicio de sesión no lo hacía.\n\nConectarlas es una tarea de ingeniería sencilla: lee el openid.realm el nombre de host de cada solicitud entrante, compararlo con una lista y rechazar o marcar la solicitud. La ilustración de la derecha muestra el esquema de dicha rutina. Rechazar el host de autenticación —en lugar de limitarse a la página de inicio pública— interrumpiría el paso «Iniciar sesión con Steam», del que dependen estas plataformas.\n\nNo hay pruebas públicas que demuestren que Valve realice dicha comprobación. La comisión combinada del Steam Community Market, de aproximadamente 15%, se aplica a las ventas realizadas dentro del mercado; no se cobra en las transacciones externas de estas plataformas.\n\nblock_auth_hosts.pyILUSTRACIÓN\n// Leer el host Steam que ya se ha recibido — no realizar escaneo\ndef on_openid_request(solicitud):\nhost = parse_openid_realm(request)\nsi anfitrión en dominios_bloqueados:\nrechazar (una solicitud)\nNota: Pseudocódigo a título meramente ilustrativo. Ambas partes ya existen en Valve: el nombre de host del autor se incluye en la solicitud y la lista de dominios es el filtro de enlaces. No hay ningún registro público que explique por qué no están conectadas.\nApartado 5.1 — Las normas no se retiraron de la publicación\nValve se compila siguiendo estas reglas todos los días. En este caso, no se ha compilado según ellas.\n\nSteam está disponible en la App Store y en Google Play, realiza ventas a través de los principales procesadores de tarjetas y utiliza API de terceros como cualquier otra gran plataforma. Cada una de esas relaciones conlleva un requisito de seguridad publicado y con fecha concreta que Valve debe cumplir para seguir operando. Compara las fechas de dichos requisitos con las fechas en las que la propia API web de Steam incorporó las mismas medidas de protección. Nada de lo que figura a continuación es una norma privada, un memorándum interno ni un secreto comercial: cada fila es un documento público con una fecha de publicación.\n\nRequisitos de seguridad externos publicados, con sus fechas, comparados con la fecha en la que la API web Steam incorporó el control equivalente\nLa norma publicada y la fecha en que entró en vigor\tLa API web Steam sobre la misma pregunta\nAutorización limitadaOAuth 2.0 — RFC 6749, Octubre de 2012. En el apartado 3.3 se define scope De este modo, un cliente solo recibe el acceso que solicita. Desde entonces, ha sido la configuración por defecto de todas las API de las principales plataformas.\tLos ámbitos granulares llegaron el 16 de enero de 2026.Antes de eso, una sola clave de la API web Steam permitía acceso completo de lectura y escritura sobre las operaciones de la cuenta, independientemente del motivo por el que se hubiera emitido. Trece años y tres meses tras la especificación que define el control.\nUna clave no es una autorizaciónLa propia documentación de Google Cloud: Una clave API estándar no autentica a un sujeto, y en el caso de las API que crean o gestionan recursos, No utilices claves de autorización en el entorno de producción.\tLa clave de la API web Steam era exactamente eso.Una cadena de portador, emitida para una cuenta, que por sí sola basta para consultar el inventario, cancelar una operación pendiente y enviar una nueva. No se autenticó a ningún ordenante en el momento de su uso.\nAutenticación multifactorial para el acceso privilegiadoPCI DSS 3.2, requisito 8.3 — obligatorio a partir del 1 de febrero de 2018 para todos los accesos administrativos que no se realicen a través de la consola y para todos los accesos remotos al entorno de datos de los titulares de tarjetas. Posteriormente, Apple exigió la autenticación de dos factores a todos los titulares de cuentas del Programa para Desarrolladores a partir de 27 de febrero de 2019: Los desarrolladores que tengan el rol de «Titular de la cuenta» en un programa para desarrolladores deberán activar la autenticación de dos factores para iniciar sesión.\tSe necesitaba un segundo factor para crear una clave API a partir de 4 de diciembre de 2023.Hasta entonces, bastaba con una cookie de sesión robada, sin que apareciera ningún aviso en el teléfono del titular de la cuenta ni se enviara ninguna notificación posterior. Cuatro años y nueve meses después de que Apple obligara a Valve a utilizar un segundo factor de autenticación simplemente para iniciar sesión en un portal para desarrolladores.\nCiclo de vida y revocación de las credencialesTwitch exige a todas las aplicaciones de terceros: Tu aplicación debe validar el token de OAuth al iniciarse y, a partir de entonces, cada hora., y afirma que realiza auditorías para detectar aquellas aplicaciones que no lo hacen. Su API heredada v5 se retiró definitivamente el 28 de febrero de 2022 según un horario publicado.\tNo hay ningún registro publicado sobre el ciclo de vida de la clave.El cambio de 2023 protegió el punto final de creación. No se ha encontrado ninguna declaración Valve relacionada con este cambio que haga referencia a las claves ya registradas, y el cambio no vino acompañado de ningún registro de cambios. A partir de los datos públicos no se puede determinar si las claves creadas antes de dicho cambio quedaron invalidadas, y esa es precisamente la pregunta que un interesado necesitaría que se le respondiera para saber si una clave creada en su cuenta años atrás sigue activa.\nReferencia arquitectónica // Token Architecture\nÁmbitos detallados de GitHub frente a Valve Steam API web\n\nValve desarrolladores gestionan a diario software de código abierto en GitHub utilizando tokens granulares con el mínimo privilegio. Compárese esto con la clave monolítica emitida a 130 millones de Steam jugadores.\n\nToken de GitHub de alto nivel de detalle\nUtilizado por Valve en GitHub\n\nToken de alto nivel de detalle con aislamiento por ámbito y aplicación obligatoria del ciclo de vida.\n\nAcceso al repositorio:Solo repositorios seleccionados (1 repositorio)\nConceder permisos:Solo lectura [✓]\nCódigo y secretos:Sin acceso [✕]\nFecha de caducidad:30 días (TTL obligatorio)\nRegistro de auditoría:Dirección IP, agente de usuario y marca de tiempo\nSituación de seguridad: El token de privilegios mínimos limita los daños a un único recurso de solo lectura.\n!Valve Steam Clave de la API web\nDistribuido a 130 millones de usuarios\n\nUna única cadena maestra de 32 caracteres que otorga una autorización de «todo o nada» en materia de operaciones e inventario.\n\nAcceso a la cuenta:CUENTA COMPLETA (monolítica)\nGestión de operaciones:Leer, Cancelar, Rechazar [!]\nÁmbitos granulares:NINGUNO (Llegó en 2026, con 13 años de retraso)\nFecha de caducidad:NUNCA (Válido indefinidamente)\nRegistro de auditoría:NINGUNA (El usuario no tiene historial de direcciones IP)\nVulnerabilidad: Una clave robada permite interceptar de forma silenciosa todas las ofertas comerciales salientes.\nLa norma se aplica en una sola dirección\n\nSupongamos que un proveedor Valve —ya sea un proveedor de servicios en la nube, un procesador de pagos o una red de distribución de contenidos (CDN)— dejó un punto final de credenciales sin un segundo factor de autenticación y, meses más tarde, los propios datos corporativos de Valve se filtraron a través de una clave generada en ese punto final. ¿Aceptaría Valve que la culpa recayera en quienquiera que hiciera clic en el enlace? Las denegaciones archivadas que se conservan en este expediente responden a la pregunta inversa para el usuario: la postura adoptada es que el titular de la cuenta creó la clave y debe asumir la pérdida. Esta misma arquitectura se describe como un fallo del proveedor por un lado y una responsabilidad del usuario por el otro. Que sea así no es una cuestión técnica, y tampoco es algo que esta investigación pueda zanjar: es algo que debe decidir un tribunal o una autoridad supervisora.\n\nUna ilustración, no una prueba: la norma interpretada al revés\nUn procesador de pagos que permitía que un script de terceros generara una credencial de transacción con privilegios totales a partir únicamente de una cookie del navegador, sin que se le pidiera confirmación al titular de la cuenta.\nUn proveedor de identidad que cerró la brecha a través de la cual se acuñaron sus tokens y no publicó nada sobre los tokens ya acuñados.\nUn banco que respondió a una transferencia impugnada señalando que la credencial utilizada estaba registrada en la propia cuenta del cliente y cerró el expediente.\n\nNinguna de estas observaciones pretende constituir una conclusión sobre ninguna empresa concreta. Se trata de las mismas decisiones de diseño, trasladadas a un contexto en el que la respuesta de las autoridades de supervisión está bien documentada; y esa es precisamente la comparación que se pide al regulador que realice.\n\nLo que se desprende del expediente: Los controles que no figuraban en la API web Steam eran públicos, obsoletos y, en varios casos, condiciones Valve que la empresa tenía que cumplir para poder seguir distribuyendo sus propios productos. El intervalo entre cada norma y el cambio equivalente Steam es cuantificable y se detalla más arriba. Lo que no aclara es el motivo. No se ha encontrado ninguna Valve explicación sobre los motivos de ninguno de estos intervalos, y aquí no se da ninguna por sentada; dicho registro se encuentra en Valve y no se ha publicado.\n\nFuentes, todas ellas documentos públicos: OAuth 2.0 — RFC 6749, octubre de 2012 ↗ · Google Cloud — Documentación sobre claves API ↗ · Requisito 8.3 de la norma PCI DSS 3.2 — Guía de recursos del PCI SSC ↗ · Apple — Próximo requisito de autenticación de dos factores para los titulares de cuentas, 20 de febrero de 2019 ↗ archivado 2025-05-06 ↗ · Twitch — Requisito de validación de el token ↗ y el Aviso de cierre de la versión 5 ↗ archivado 2025-01-27 ↗. Las fechas de Steam son las que figuran en el registro de actualizaciones de esta sección; las entradas de 2023 y 2026 corresponden a las versiones que Valve lanzó sin un registro de cambios. Consultado el 2026-09-22.\n\nRegistro de actualizaciones de Valve — con fecha, procedente de fuentes públicas\nFecha\tValve cambio\t¿Se ha anunciado?\tLo que cerró\tRetraso: mecanismo público → solucionado\tFuente\n2026-09-01\tDetección automática de chats sospechosos\tSí\tEnlaces o patrones peligrosos en los chats de grupo\t—\tnoticias ↗\n2026-01-16\tÁmbitos granulares de la API web de Steamworks\tSí\tÁmbitos de privilegios mínimos para las claves de desarrollador\t—\tanuncio ↗\n2025-07-15\tProtección comercial y ventana de reversión de CS2\tSí\tNada. No se trata de una solución de seguridad que aborde la causa raíz. El acceso para la recuperación de cuentas por parte del servicio de asistencia no se ve afectado. Al activar la anulación, se aplica automáticamente un bloqueo de operaciones de 30 días (Skinvault ↗), mientras que la crisis en el mercado al contado provocó una caída de $104M (-25%) en la capitalización bursátil en las últimas 24 horas (CSMarketCap ↗). En 2026, los temporizadores pasaron a ser por artículo (Skin.land ↗).\t—\tPreguntas frecuentes ↗\n2025-05-14\tAnuncio sobre la seguridad de la cuenta\tSí\tGuía sobre Stealer y el secuestro de sesiones\t—\tanuncio ↗\n2024-10-02\tCS2 «The Armory»: retención de 7 días\tSí\tMercado de intercambio de artículos de la Armería\t—\tanuncio ↗\n2024-09-18\tRestricción comercial para el inicio de sesión en un dispositivo nuevo\tSí\tBloqueo de transferencias de 2 a 7 días en dispositivos nuevos\t—\tPreguntas frecuentes ↗\n2024-02-14\tSuspensión del cambio de nombre y avatar del perfil\tSí\tPeriodo de espera de 2 a 4 horas para realizar intercambios tras cambiar el nombre\t—\tpublicación ↗\n2023-12-04\tConfirmación a través del móvil para las claves API\tSin historial de cambios\tRegistro silencioso de claves solo mediante cookies\t≈6 años después de los paneles de la época de 2017\tpágina de desarrollo ↗\n2023-10-24\tAutenticación multifactorial (MFA) mediante SMS para la publicación de versiones de videojuegos\tSí\tPublicación de compilaciones en Steamworks\t—\tanuncio ↗\n2023-07-12\tAdvertencia sobre el contenido de la biografía personalizada\tSí\tEnlaces de phishing en las biografías\t—\tforo ↗\n2023-01-25\tPerfil {ENLACE ELIMINADO} y tiempo de recarga\tSí\tEnlaces en el texto del perfil\t—\tPreguntas frecuentes ↗\n2022-10-24\tRevisión del proceso de inicio de sesión y truncamiento de cookies\tSin historial de cambios\tSesiones robadas ilimitadas\t— (Migración de tokens de IAuthenticationService)\tnoticias ↗\n2022-10-12\tInicio de sesión mediante código QR en la aplicación móvil 3.0\tSí\tPanel de desautorización de sesión\t—\tnoticias ↗\n2022-05-10\tSe han eliminado los puntos finales de cancelación de operaciones\tSin historial de cambios\tIntercambio de ofertas (cancelar y reenviar)\t≈5 años después de los paneles de la época de 2017\tnúmero 325 ↗\n2020-05-25\tBloqueo de intercambios de 7 días en Dota 2\tSí\tReventa rápida de artículos\t—\tblog ↗\n2018-03-29\tBloqueo de intercambio de 7 días en CS:GO\tSí\tBlanqueo instantáneo de bots\t≈20 meses después de la declaración de julio de 2016\tblog ↗ archivado 2025-02-26 ↗\nFuentes: las entradas Valve enlazadas, las páginas de ayuda y los incidencias de GitHub, según la fecha indicada. Se implementaron tres correcciones decisivas sin registro de cambios (mayo de 2022, octubre de 2022 y diciembre de 2023) que fueron detectadas por los usuarios, sin que Valve las anunciara; esa asimetría forma parte del historial de aplicación. Los retrasos solo se calculan cuando la propia datación del expediente (declaración de julio de 2016; paneles de estafas de la época de 2017) proporciona el punto de partida; «—» significa que aquí no se ha establecido dicho punto de partida.\nParte A — Ficha técnica · Sección 6\nSimulador interactivo de vulnerabilidades y secuestros de sistemas\nContexto y límites de la fuente\n\nUna reconstrucción del proceso desde el mensaje de phishing hasta el registro de la clave en el servidor y la operación de intercambio. Antes de 2023, una clave de API web registrada en una cuenta podía consultar su inventario, cancelar una oferta de intercambio pendiente y crear una nueva, sin que se mostrara al titular de la cuenta ninguna pantalla de confirmación de la operación para ninguna de esas acciones. Esto supone una falta del principio del privilegio mínimo (OWASP A01:2021). Los tiempos que aparecen en esta simulación son ilustrativos y no constituyen mediciones en tiempo real de la plataforma actual.\n\nRepasa paso a paso el secuestro reconstruido. En cada fase se muestra lo que ve el titular de la cuenta y, junto a ello, la llamada Steam que recibe en ese mismo momento. Todas y cada una de esas llamadas se autentican correctamente. Ningún paso de la secuencia requiere que la autenticación de Steam falle; lo que se necesita es que la clave que emite no tenga ámbito (OWASP A01:2021).\n\nLo que ve el jugador. Lo que cambia detrás.SIMULADOR DE RECORRIDO\nPaso 5 / 5\n\nLa explotación se ha completado. Al esperar recibir una notificación en el móvil sobre su operación original, la víctima aprueba la operación sustitutiva. Se trata de un análisis forense integrado que muestra cómo la ausencia del principio del «privilegio mínimo» (OWASP A01:2021) permite el secuestro automatizado de activos en menos de un segundo.\n\n01 / EL SEÑUELO PARA CHATUn amigo me pide que voteLa víctima recibe un mensaje con un enlace.\n02 / EL INICIO DE SESIÓNUn portal de doblesLa víctima introduce sus datos de acceso.\n03 / EL ACCESOCreación de la API de Silent WebEl atacante registra una clave de desarrollador.\n04 / EL CAMBIOIntercambio comercial legítimoEl bot «Clone» duplica al destinatario seleccionado.\n05 / CONFIRMACIÓNFalsificación autorizadaSe ha aprobado una oferta errónea desde el móvil.\nEl mismo paso, visto desde la redReconstrucción del patrón anterior a 2023 · formas ilustrativas de las llamadas\nVíctimaAprueba el aviso en el móvil que se esperaba para la operación original.\nDelanteroRecibe los artículos en la cuenta clonada.\nSteam veUna transferencia confirmada por el titular de la cuenta en un dispositivo registrado.\nConfirmation genuine — made by the account holder\nRecipient the clone bot, not the intended counterparty\nThe confirmation is authentic. The offer it confirms is not the one the user initiated.\n\nEl legado que dejó: una transacción que el usuario aprobó. Ese es el registro que Steam Support consulta cuando se recibe la reclamación, y el motivo por el que las reclamaciones archivadas se cerraron como «error del usuario». Las reclamaciones se encuentran en el archivo de ejecución.\n\nParte A — Expediente técnico · Sección 7\nLos puntos finales que hay detrás de la secuencia.\nContexto y límites de la fuente\n\nEstos son los Steam puntos finales de la API web que los scripts de secuestro detectados utilizaban para interceptar operaciones sin pasar por los pasos de confirmación del navegador.\n\nCuatro puntos finales documentados se encargan de todo. Ninguno de ellos presenta fallos, ni es necesario aprovecharlos: una clave válida los invoca y Steam responde. La clave es lo único que el atacante tuvo que robar.\n\nIEconService / GetTradeOffers / v1ENCUESTA\n\nSe utiliza para supervisar las ofertas de negociación de la cuenta. Los scripts consultan este punto final repetidamente con la clave API comprometida; este devuelve los detalles de las ofertas de negociación recién creadas, pendientes o modificadas. En este caso no se miden los intervalos de consulta.\n\nVector de amenaza: Muestra los ID de las ofertas comerciales pendientes y los datos del perfil del destinatario.\nIEconService / CancelTradeOffer / v1INTERACCIÓN\n\nSe utilizaba para invalidar de forma automática la oferta de intercambio legítima del usuario. Antes de 2023, la clave no estaba protegida por ninguna autenticación de dos factores, por lo que un servidor automatizado podía cancelar una oferta tan pronto como se detectara, sin avisar al titular de la cuenta.\n\nVector de amenaza: Anula la operación antes de que el titular de la cuenta complete la confirmación a través del móvil.\nISteamUser / GetPlayerSummaries / v2RECON\n\nSe ha realizado una consulta para obtener el nombre del perfil, la URL de la imagen de avatar y el nivel del destinatario legítimo de la transacción. Esto permite que el script adapte una cuenta clonada previamente preparada para que coincida con los datos. Aquí no se mide el tiempo.\n\nVector de amenaza: Proporciona los datos necesarios para hacerse pasar por el destinatario previsto.\n/dev/ajaxregisterkeyCREACIÓN\n\nEl punto final de registro de Steam para las claves. Históricamente, cualquier sesión activa de cookies del navegador (`steamLoginSecure`) podía registrar una clave sin una confirmación Steam Guard en el dispositivo móvil y sin notificarlo al titular de la cuenta.\n\nVector de amenaza: Una credencial persistente creada por un script, sin que el titular de la cuenta se dé cuenta.\nParte A — Expediente técnico · Sección 8 · Artículo 7 del RGPD\nUna casilla marcada. ¿De quién es esa acción?\nContexto y límites de la fuente\n\nAl denegar el reembolso, Steam Las respuestas del servicio de atención al cliente conservadas en el archivo sostienen que el titular de la cuenta creó la clave API y que, al marcar la casilla, aceptó las condiciones.\n\nLa respuesta del servicio de asistencia atribuye la clave al titular de la cuenta. La cuestión es si el registro permite determinar quién lo creó realmente.\n\nSin embargo, en el patrón de secuestro de claves API observado, la víctima nunca vio ni accedió a la página de creación de claves API. El campo de consentimiento se envía mediante un script que ejecuta una solicitud POST «headless» con la cookie de sesión robada.\n\nDe conformidad con el artículo 7 y el artículo 4, apartado 11, del RGPD, el consentimiento debe ser una manifestación de voluntad libre, específica, informada e inequívoca del interesado. La postura de los autores es que un campo de aceptación de condiciones enviado por un script malicioso con una cookie robada, sin que se muestre ninguna página al titular de la cuenta, no puede ajustarse a esa definición. Corresponde a la autoridad de control determinar si así es.\n\nAnálisis forense de cargas útiles: registro de claves\nPUBLICAR https://steamcommunity.com/dev/ajaxregisterkey\n// Carga útil de la solicitud (inyectada mediante un script de secuestro)\n{\n\"agreeToTerms\": «de acuerdo», <-- generado automáticamente, sin intervención humana\n«dominio»: «localhost», ← no validado: se acepta cualquier valor, incluido «localhost»\n\"sessionid\": \"8f0d8ef763ab2140bf89de2a\"\n}\nLa pregunta para la autoridad de control: en los casos en que el titular de la cuenta nunca haya marcado la casilla de consentimiento, si la aceptación de las condiciones registrada en la cuenta cumple el requisito del artículo 7 de que constituya una manifestación de voluntad libre, específica, informada e inequívoca de los deseos del interesado, y si Steam el servicio de atención al cliente puede basarse en ello para desestimar una reclamación.\n\nFuente: forma de solicitud de registro de claves, tal y como se ha reconstruido a partir del punto de acceso público y de los informes de secuestro conservados en el archivo de pruebas (versión con función de búsqueda de 2026-09-17) · El identificador de sesión que se muestra es un marcador de posición, no un valor capturado.\n\nAutopsia forense · El vector de sustitución comercial\nCómo Valve logró finalmente neutralizar la «sustitución comercial» — y por qué se necesitaron siete años de soluciones provisionales\n\nDurante casi una década, el «Sustitución de claves API» (o estafa MitM de API) fue el modelo de robo de cuentas más lucrativo en Steam, con el que se sustrajeron cientos de millones de dólares en skins a jugadores desprevenidos. Valve no erradicó el exploit corrigiendo la arquitectura vulnerable de la API; en su lugar, Valve dedicó siete años a superponer cuatro barreras de fricción en toda la plataforma que paralizaron la liquidez del comercio de la comunidad, sin abordar la causa raíz.\n\n1. La muerte por mimetismo\nTiempo de espera para cambiar de avatar y nombre (febrero de 2024)\n\nLa vulnerabilidad requería una imitación en menos de un segundo: el bot fraudulento interceptaba una transacción saliente y extraía el avatar y el nombre del destinatario a través de ISteamUser, y clonó el perfil en 200 ms. El 14 de febrero de 2024, Valve implementó discretamente una medida obligatoria Tiempo de espera de 2 a 4 horas para realizar una transacción (Error 34) inmediatamente después de cualquier cambio en el nombre de perfil o en el avatar. Un bot ya no puede clonar a un destinatario sobre la marcha sin quedar bloqueado para realizar operaciones.\n\n2. La muerte económica\nInversión de tendencia de 7 días en CS2 (julio de 2025)\n\nValve introdujo medidas unilaterales Inversiones en las operaciones para objetos de Counter-Strike. Cualquier skin intercambiada se marca como «Protegida contra intercambios» durante siete días. Si una víctima descubre una sustitución, hace clic en «Reversar intercambio» en Steam Soporte, y el skin se devuelve al instante a su inventario, al tiempo que se bloquea al destinatario. Dado que el bloqueo de intercambio de 7 días impide que los estafadores trasladen el objeto a un sitio de cambio por dinero, el robo deja de ser rentable.\n\n3. La muerte de «Silent Key»\nNotificación push obligatoria para la API (diciembre de 2023)\n\nHistóricamente, una cookie de sesión robada permitía que los scripts maliciosos ejecutaran una solicitud POST en segundo plano y sin interfaz gráfica hacia /dev/ajaxregisterkey sin avisar a la víctima. El 4 de diciembre de 2023, Valve exigió una confirmación explícita mediante notificación push en la aplicación móvil Steam para generar una clave de API web, con lo que se eliminó la asignación silenciosa de claves en segundo plano.\n\n4. Avisos móviles dentro de la aplicación\nBanners con la antigüedad y el nombre de la cuenta (2022-2024)\n\nValve se ha rediseñado la ventana modal de confirmación para dispositivos móviles con el fin de mostrar el Steam antigüedad de la cuenta (fecha de creación), nivel Steam y una advertencia explícita de color ámbar: «Este usuario ha cambiado recientemente el nombre de su perfil», lo que rompe la ilusión óptica para las víctimas que prestan atención.\n\nLos tres fallos del «mosaico» de Valve: por qué los estafadores simplemente cambiaron de objetivo\n1. La laguna jurídica de la exclusión de juegos (Dota 2 y TF2)\n\nLas «Trade Reversals» se implementaron exclusivamente para Counter-Strike 2. Los objetos de Dota 2 y Team Fortress 2 siguen sin estar protegidos en absoluto debido a las complejidades de la creación y el engaste. Los objetos de alto nivel que valen miles de dólares (ganchos de garra de dragón, Baby Roshans dorados, llamas ardientes inusuales de TF2) no tienen ningún plazo de reversión. Los estafadores simplemente redirigieron la interceptación automatizada de la API hacia los comerciantes de Dota 2 y TF2, donde el servicio de atención al cliente de Steam aplica estrictamente su política de 2016 de «no restitución de objetos».\n\n2. El depósito «Zombie Key» (sin caducidad)\n\nMientras que Valve incorporó la autenticación de dos factores (2FA) mediante notificaciones push en el móvil para generar nuevo llaves en diciembre de 2023, Valve nunca se han revocado, caducado ni eliminado las claves de API heredadas existentes. Millones de cuentas activas que generaron claves (o en las que se crearon claves de forma silenciosa mediante phishing o malware antes de diciembre de 2023) siguen teniendo credenciales activas con caducidad nula (sin TTL) y tiempo de espera por inactividad nulo. Los autores de amenazas mantienen enormes bases de datos históricas con estas claves persistentes y siguen realizando consultas IEconService sin alteraciones.\n\n3. La sanción impuesta a la víctima: suspensión de operaciones durante 30 días\n\nIncluso en CS2, Valve penaliza al jugador estafado: al hacer clic en «Anular intercambio» en Steam Soporte, se inflige automáticamente un prohibición obligatoria de realizar operaciones y de acceder al Mercado Comunitario durante 30 días en la cuenta de la víctima. Valve sanciona al usuario con un mes de suspensión de la plataforma como medida disuasoria frente a las anulaciones «frívolas», lo que desalienta a las víctimas a anular operaciones con artículos líquidos de menor valor.\n\nEl escándalo regulatorio fundamental: siete años de soluciones provisionales frente a un único ámbito de aplicación de la API\n\n¿Por qué Valve dedicó siete años a inventar restricciones comerciales, tiempos de espera en las cuentas y bloqueos comerciales reversibles —lo que trastocó toda la economía del juego y provocó una pérdida de $104M en capitalización bursátil— en lugar de aplicar la solución estándar del sector?\n\nTal y como demuestra el lanzamiento oficial de Valve en Steamworks el 16 de enero de 2026 (Anuncio #493839547938902179 ↗), Valve ya construido Grupos de permisos detallados (General, Microtransacciones, Economía, Datos de ventas) y Lista blanca de direcciones IP para las claves de editor corporativas. Valve llevaba años disponiendo de la solución técnica. Una simple casilla de selección visible para el usuario—«Impedir que esta clave de la API web acceda a IEconService (Gestión de operaciones)» o una lista blanca de direcciones IP domésticas —habría erradicado la estafa de la sustitución comercial en 2018 sin causar ningún daño colateral económico. Valve se negó a ofrecer a los jugadores habituales la protección que había diseñado para sus socios corporativos.\n\nParte B — Normativa y historial de cumplimiento · Artículo 9\nSu reglamento. Las plataformas registradas.\nContexto y límites de la fuente\n\nEste libro mayor asocia las cláusulas explícitas del Steam Contrato de suscripción (SSA) y Steam Conducta en línea (SOC) directrices dirigidas directamente contra entidades comerciales activas y de gran envergadura.\n\nLa regla: Prohibido el uso comercial, los juegos de azar y los bots — y Steam El servicio de atención al cliente se acoge a esas cláusulas cuando se niega a devolver los artículos a una víctima. El historial: A primera vista, esas mismas cláusulas se aplican a las plataformas comerciales de este registro, que operan con Steam identidades, Steam bots y Steam transferencias. La cláusula se aplica a la persona que perdió las pieles y no, según consta en ningún registro público, a las empresas que las transportaban.\n\nEn las reclamaciones archivadas, Steam Support menciona el «Prohibido el uso comercial» y «Sin automatización ni bots» cláusulas que se invocan al negarse a restituir los artículos a las víctimas de fraude con claves API. A primera vista, esas mismas cláusulas se aplican a las plataformas comerciales recogidas en este expediente, que se autentican mediante Steam OpenID y transfieren los artículos a través de cuentas automatizadas Steam. Aquí no se estima ninguna cifra de ingresos para todo el mercado (véanse las estadísticas de aplicación de la ley más abajo). Lo que muestran los registros es la norma aplicada a cuentas individuales en los casos archivados y no existe ningún registro publicado de aplicación de la ley por operador para las plataformas. Esa asimetría es lo que documenta esta sección.\n\nLa cuestión central / aplicación selectiva de la leyNormas → Alcance → Rendición de cuentas\nUnas mismas normas. Una aplicación desigual.\n\nEl registro muestra que los servicios comerciales utilizan identidades Steam, inventarios, bots y transferencias como infraestructura operativa. La SSA prohíbe la explotación comercial y la automatización sin autorización. Las reclamaciones archivadas muestran que dicha norma se aplicó a cuentas individuales, mientras que el registro público no muestra un registro equivalente, operador por operador, para las plataformas aquí documentadas. Publique la norma, las pruebas y la resolución de ejecución correspondiente a cada una de ellas.\n\n189sitios web incluidos en el alcance de la auditoría\n44rutas de dominios independientes en el registro activo: 27 con un archivo de pruebas publicado y 17 recopiladas manualmente. Solo la auditoría de 189 sitios web resolvió 25 de ellas; el registro añade las rutas recopiladas manualmente.\n12 años y 6 mesescsgogem.com bloqueado en el filtro de enlaces; api.csgem.com registrado el 2014-03-08 y nunca bloqueado — uno de los 26 pares de este tipo a fecha del 2026-09-22\nTotal no verificadoSe ha excluido la estimación de ingresos para todo el mercado\nSteam Conducta en línea\n«…no deberás realizar ni intentar realizar ninguna de las siguientes acciones en Steam: […] Llevar a cabo actividades comerciales. Entre los ejemplos de este tipo de conductas prohibidas se incluyen: publicar anuncios; organizar concursos; juego; comprar o vender cuentas Steam; vender contenidos, tarjetas regalo u otros artículos; y mendigar».\n\nstore.steampowered.com/online_conduct ↗ archivado 2026-09-21 ↗\n\nSSA, artículo 2.G — Uso comercial\n«…[no podrá] explotar el Contenido y los Servicios ni ninguna de sus partes con fines comerciales, salvo en los casos expresamente permitidos en otras disposiciones del presente Acuerdo…»\n\nLas notificaciones de Valve de 2016, tal y como se ha informado, invocaban la licencia personal y no comercial. Ningún operador ha presentado una autorización Valve que conste en el expediente. store.steampowered.com/subscriber_agreement ↗ archivado 2026-09-18 ↗\n\nSteam Condiciones de uso de la API web\n«No está permitido utilizar la API web Steam ni los datos Steam de forma alguna que incumpla el Steam Contrato de suscriptor».\n\nLas plataformas de venta de skins de terceros operan mediante cuentas automatizadas que utilizan la API Steam. El texto de la norma no contempla ninguna excepción para la actividad a escala comercial. steamcommunity.com/dev/apiterms ↗ archivado 2026-09-21 ↗\n\nSSA, artículo 4.C\nAutomatización\n\nSe restringen los scripts, los bots y las interacciones no humanas. El libro mayor registra las operaciones realizadas por bots, las redes de cuentas y el enrutamiento automatizado a escala comercial.\n\nInspeccionar 153registros etiquetados con esta cláusula ↗\nLo que consta en el expediente en virtud de esta cláusula153 plataformas etiquetadas\nApertura del expediente15\nSkin Casino13\nMercado CS29\nRuleta de la piel8\ncsgoempire.com→csgoempirelogin4.comCasino\nrollbit.com→rbsnin.comCasino de criptomonedas\n500.casino→fivezerozero.coCasino con licencia\n\nDe ellos, 153 también están clasificadas en el artículo 2.G de la SSA y 2 también están clasificados en virtud del artículo 1.C de la SSA; estos mismos servicios se incluyen en más de una cláusula, por lo que los ejemplos se repiten.\n\n28 Se observaron casos de la «153» que se autenticaban a través de un dominio independiente susceptible de registro. Una etiqueta registra una observación fechada que hace que la plataforma entre, a primera vista, en el ámbito de aplicación de la cláusula; no se trata de una infracción sancionada, y no se ha presentado ninguna autorización de Valve para ninguno de ellos.\n\nSSA, artículo 2.G\nUso comercial\n\nLa explotación comercial requiere una autorización expresa. Compara los modelos de negocio documentados, su alcance y cualquier autorización o medida de cumplimiento que se haya hecho pública.\n\nInspeccionar 175registros etiquetados con esta cláusula ↗\nLo que consta en el expediente en virtud de esta cláusula175 plataformas etiquetadas\nApertura del expediente15\nSkin Casino13\nMercado CS29\nRuleta de la piel8\ncsgoempire.com→csgoempirelogin4.comCasino\nrollbit.com→rbsnin.comCasino de criptomonedas\n500.casino→fivezerozero.coCasino con licencia\n\nDe ellos, 153 también están clasificadas en el artículo 4.C de la SSA y 24 también están clasificados en virtud del artículo 1.C de la SSA; estos mismos servicios se incluyen en más de una cláusula, por lo que los ejemplos se repiten.\n\n28 Se observaron casos de la «175» que se autenticaban a través de un dominio independiente susceptible de registro. Una etiqueta registra una observación fechada que hace que la plataforma entre en el ámbito de aplicación de la cláusula tal y como está redactada; no se trata de una infracción sancionada, y no se ha presentado ninguna autorización de Valve para ninguno de ellos.\n\nSSA, artículo 3.A\nVPN y ocultación de la ubicación\n\nOcultar la dirección IP mediante un proxy puede dar lugar a la rescisión del contrato. Los servidores de autenticación con dominios independientes requieren un análisis por separado: hay que determinar qué se está ocultando y qué norma se aplica.\n\nRevisa la información sobre el servidor de autenticación ↗\nSteam Ayuda / Política de URL\nOcultación de enlaces\n\nSteam prohíbe los acortadores de enlaces y las herramientas que ocultan el destino de los enlaces. Un dominio de autenticación independiente — rbsnin.com En el proceso de inicio de sesión de Rollbit, auth.dota.trade en CS.MONEY — plantea la misma cuestión de si el destino que se muestra al verificador OpenID de Steam identifica el sitio operativo.\n\nPolítica de URL de Valve ↗\n\nReferencias normativas: Steam Contrato de suscripción, revisión del 10 de septiembre de 2026 archivado 2026-09-18 ↗ · Steam Condiciones de uso de la API web archivado 2026-09-21 ↗ · Steam Política de URL (ocultación de enlaces). Las cifras se refieren a los registros y las etiquetas de este expediente; no se trata de un recuento de infracciones sancionadas.\n\nEl déficit de confianza\n¿Quién revisa la decisión cuando el servicio de asistencia cierra el caso?\n\nLas reclamaciones conservadas describen sanciones permanentes, reclamaciones sin respuesta y negativas a restituir los artículos sustraídos. Contrasta esos relatos con el historial real de las entradas, las soluciones disponibles y los registros de acceso a la cuenta. Una explicación genérica basada en el phishing no puede determinar quién inició un restablecimiento o creó una clave API.\n\nLee las quejas registradas ↗Solicitar los registros correspondientes →Gráfico de relaciones de los moderadores →\nParte B — Normativa y historial de cumplimiento · Artículo 10\nUna API de automatización. Una norma contra la automatización.\nContexto y límites de la fuente\n\nLa cuestión que plantea esta sección es cómo se concilian ambos aspectos: qué usos de la API están autorizados, quién los autoriza y según qué criterios publicados. Aquí no se estima el número de usuarios comerciales autorizados de la API, y la ausencia de una lista publicada no implica tal cifra; la ausencia es la conclusión, no una cifra que haya detrás. Los mensajes de asistencia Steam citados anteriormente han sido reproducidos por el proyecto ArchiSteamFarm en su propia sección de preguntas frecuentes (verificados textualmente 2026-09-22); no se trata de Valve publicaciones, y no se identifican las cuentas a las que se enviaron.\n\nLa norma (SSA, artículo 4.C): No se admiten scripts, bots ni sistemas no humanos en Steam. El historial: Valve ofrece una API REST sin interfaz de usuario cuyo único objetivo es la automatización de servidor a servidor, y proporciona la clave a cualquier cuenta. Se bloquea a los usuarios que utilicen herramientas de automatización; la interfaz de automatización es un producto propio de Valve. Nunca se ha publicado qué usos comerciales están autorizados.\n\nLa falacia del «desarrollador de videojuegos»\nSDK de Steamworks (original)\n\nLo utilizan los estudios de videojuegos legítimos para integrar logros, emparejamiento y tablas de clasificación en los clientes de sus juegos. Requiere una integración compleja en C++ y la incorporación como socio oficial.\n\nSteam API web (La laguna jurídica)\n\nUna arquitectura JSON/REST sin encabezado diseñada para servidores web externos. En el patrón de secuestro que aquí se documenta, se utiliza para leer inventarios y manipular intercambios entre pares desde servidores remotos; sus usos legítimos no se recogen en este informe.\n\nPara quién es la llaveUn usuario normal Steam no necesita una clave de API web dentro de la aplicación; la página de claves se encuentra en una URL para desarrolladores y su finalidad, según la documentación, es el acceso externo desde el lado del servidor. Las denuncias archivadas por suplantación de identidad describen casos de víctimas que no sabían que esa página existía hasta que se había registrado una clave en su cuenta.\nLa contradicción de la automatización\n\nEl artículo 4.C de la SSA establece lo siguiente: «No está permitido utilizar ningún tipo de scripts, bots, macros u otros sistemas no controlados por personas («automatización») para interactuar de ninguna manera con el Contenido y los Servicios de Steam». Sin embargo, los puntos finales de la API web (como CancelTradeOffer) no requieren interfaz de usuario ni captcha y eluden por completo el cliente Steam. La API está diseñada para la automatización de servidor a servidor; la norma prohíbe la automatización por parte de los usuarios; la línea divisoria entre ambas no se ha hecho pública.\n\nUn puesto del lado del servidor en el flujo comercial\n\nUna clave de API web permite que un servidor externo realice operaciones en la cuenta sin necesidad del cliente Steam. En el patrón de secuestro, dicho servidor se interpone entre el titular de la cuenta y el servidor de operaciones.\n\n→No aparece ninguna pantalla de confirmación de operación para las acciones realizadas con la tecla.\n→Permite la consulta en segundo plano (GetTradeOffers).\n→Cancela y vuelve a emitir ofertas sin necesidad de que el usuario intervenga.\nValve ha creado la interfaz, ha prohibido la automatización por parte de los usuarios en sus normas y no ha publicado ningún criterio sobre qué usos comerciales están autorizados.\nParte B — Normativa y historial de cumplimiento · Artículo 11\nSe exigían diez días. Había que rendir cuentas de diez años.\nContexto y límites de la fuente\n\nEl 20 de julio de 2016, el consejero jurídico de Valve fijó un plazo de 10 días a los operadores de juegos de azar. Diez años después (a fecha de la captura de pantalla del expediente, 2026-09-21), al menos una de las plataformas mencionadas en las noticias de prensa sobre dicho aviso, CSGOFast, sigue operativa con un servidor de autenticación en un dominio independiente. A continuación se reconstruye el texto a partir de las noticias de prensa del 21 de julio de 2016; la reconstrucción no es un escaneo. El expediente de ejecución al que aludía el aviso no se ha publicado. La carta abierta a la Comisión es Sección 2.\n\nLee el aviso de julio de 2016 que figura junto a las observaciones posteriores. Lo que aún falta es un registro de cumplimiento por cada operador.\n\nUna semana antes — 13 de julio de 2016, en público\n\nEl 13 de julio de 2016 archivado 2026-09-21 ↗, Valve describió cómo los sitios web de apuestas utilizaban Steam: OpenID para la identificación de cuentas y cuentas automatizadas para las operaciones. Valve afirmó que el uso de esos mecanismos para gestionar un negocio de apuestas infringía su API y sus acuerdos de usuario. Tanto la descripción del mecanismo como la prohibición figuran en la propia declaración fechada de Valve. En 2026-09-21, los servidores de autenticación de dominios independientes sometidos a prueba no devolvieron ningún bloqueo de filtro de enlaces, y Valve no ha publicado ningún registro de aplicación específico por operador.\n\nANEXO A / JULIO DE 2016RECONSTRUCCIÓN TIPOGRÁFICA\nVALVE CORPORATION\n\nBellevue, WA\n\nFECHA:Julio de 2016 (según informó la prensa el 21 de julio de 2016)\nDE:Karl Quackenbush, consejero jurídico general\nAsunto:Cese y desistimiento — uso comercial de cuentas Steam\nNOTA:Reconstrucción del texto facilitado; no es un escaneo\n\n«Sabemos que gestionas uno de los sitios web de apuestas que se enumeran a continuación. Está utilizando Steam cuentas para llevar a cabo esta actividad. Según el Steam Contrato de Suscripción, los servicios Steam y Steam están autorizados únicamente para uso personal y no comercial».\n\n«Debes cesar y abstenerte de inmediato de seguir utilizando tus cuentas Steam con fines comerciales. Si no lo haces, en un plazo de diez (10) días, «Valve emprenderá todas las acciones legales a su alcance, incluida, entre otras, la cancelación de tus cuentas».\n\nReconstrucción del expediente · consultar el registro original\nKarl Quackenbush\nConsejero jurídico general, Valve Corp.\nAL MARGEN / EDITORIAL\nDiez días.¿Y luego qué?\n\nEl plazo era concreto. El seguimiento por parte de la ciudadanía también debería serlo.\n\nLa postura de Valve sobre «2016» ↗\nNota sobre el plazo límite +\nSÁTIRA / NO ES CORRESPONDENCIA DE VALVE\n\nEstimada fecha límite:\n\nTe dieron diez días. Por alguna razón, el calendario fue lo único que siguió funcionando.\n\nPor favor, remita cualquier respuesta al registro público.\n\nCronologíaJulio de 2016 – septiembre de 2026\nPlazo indicado en el anuncio:\n10 días\nJulio de 2016\nTiempo transcurrido desde la notificación:\n3,715 días\nCifra fija desde el 20 de julio de 2016 hasta la instantánea del expediente del 21 de septiembre de 2026; no se trata de una cifra en tiempo real.\nExpediente de ejecución publicado:\nNinguno\nNo se ha encontrado ningún registro por operador de cortes o bloqueos\n\n◀ Días 0-10 — el plazo, a escalaDía 3715 — la instantánea ▶\n\n20 de julio de 2016Se ha emitido un requerimiento de diez díasDía 0\n17 de febrero de 2024Se aplican las obligaciones de la DSADía 2,768\n25 de febrero de 2026Se ha anunciado la denuncia de la Fiscalía General de Nueva YorkDía 3,507\n21 de septiembre de 2026Resumen del expedienteDía 3715\n\nDiez años después, CSGOFast —mencionado en las noticias de prensa sobre los avisos de 2016— está operativo: csgofast.com devolvió un bloqueo de Link Filter en 2026-09-19 y 2026-09-21, mientras que su servidor de autenticación steam-login.authtofast.com (registrado 2026-06-30) no lo hizo.\n\nRegistro completo y con fecha de los cambios de seguridad de Valve: Cronología de la seguridad → · El historial de Washington y el criterio de aplicación: a continuación\n\nLo que consta en el expediente: La notificación de 2016 establecía un plazo de 10 días; Valve ya gestionaba una lista de dominios (el «Link Filter») y recibía los nombres de host de autenticación en sus propias solicitudes de OpenID; no se ha publicado ningún registro de medidas coercitivas por operador. Los informes de la comunidad describen una medida tomada en 2018 contra un mercado (SkinJar), pero dichos informes no han sido verificados y no se tienen en cuenta en este documento.\nCSGOFAST / LA RUTA DE AUTENTIFICACIÓN GUARDADA\nSigue al servidor de retorno indicado.\n\nLos enlaces de los registros de rutas guardados csgofast.com a steam-login.authtofast.com. El nombre de host independiente se incluye en la solicitud OpenID Steam. Esto proporciona a los investigadores una dirección concreta que pueden comparar con los registros de filtrado y aplicación de Valve.\n\nConsulta la ruta de CSGOFast y su origen ↗ · Comparar resultados guardados Steam Filtro de enlaces ↗\n\nARCHIVO PÚBLICO / WASHINGTON · 2016 → 2026\nDos plazos. Una norma de aplicación sin respuesta.\n20 de julio\nValve concede a los sitios web de apuestas un plazo de 10 días\n\nEn la notificación de su abogado se advertía de que el uso comercial continuado de las cuentas Steam podría dar lugar a la rescisión del contrato.\n\n27 de septiembre\nWashington presiona Valve\n\nLa Comisión de Juegos de Azar del estado exigió pruebas de las medidas adoptadas para impedir las transferencias de «skins» con fines de juego y fijó el 14 de octubre como fecha límite para responder.\n\n17 de octubre\nValve rechaza la acusación\n\nValve respondió tras el plazo establecido, negó que facilitara las apuestas, afirmó que había desactivado las cuentas relacionadas y señaló que no quería desactivar el comercio ni OpenID para todos los usuarios. Al menos una de las plataformas mencionadas en las noticias de prensa sobre las notificaciones de julio (CSGOFast) seguía en funcionamiento una década después. Ambos hechos solo pueden ser ciertos si el operador sustituyó las cuentas desactivadas; el registro que lo demostraría no se ha publicado. La WSGC debería pedir a Valve que aclare esta contradicción.\n\n2026\nLas rutas observadas en septiembre de 2026\n\nEl registro de rutas recoge 44 plataformas que se autentican a través de servidores de autenticación de dominios independientes, entre ellas CSGOFast, utilizando los mecanismos OpenID y de intercambio Valve descritos en 2016. No se ha presentado el registro de medidas coercitivas que indicaría qué operadores fueron bloqueados.\n\nINFORME DE LA PROPIA COMISIÓN · 30 DE ENERO DE 2018\nDieciocho meses después de que Valve respondiera, el organismo regulador seguía considerándolo una intención.\n\nEn la sesión informativa celebrada ante su propia asamblea legislativa durante la audiencia pública sobre el proyecto de ley HB 2881, la Comisión describió la declaración de julio de 2016 con sus propias palabras: Valve «anunció su intención de tomar medidas enérgicas contra el uso de su plataforma para facilitar las apuestas con skins». En esa misma página se recoge el impacto que tuvo ese anuncio en las previsiones del sector — «como consecuencia de ello», La previsión para el mercado de las apuestas con «skin» en 2020 se revisó de $19.7 mil millones a $670 millones, una caída de alrededor del 97 por ciento, solo a raíz del anuncio. La previsión se modificó. El informe de cumplimiento por operador que lo justificaría aún no se ha publicado.\n\nLas cifras de mercado son estimaciones de Narus Advisors / Eilers & Krejcik Gaming reproducidas en el informe de la Comisión, no conclusiones de la propia Comisión; el mismo documento sitúa las apuestas con «skins» en 2016 en unos $5 mil millones, de los cuales aproximadamente $3 mil millones correspondieron a sitios web tipo casino. Recuperado el 2026-09-22, SHA-256 c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050.\n\nLa postura pública de Valve en 2016 y la infraestructura observable en la actualidad pueden compararse. La cuestión es si las medidas de control llegaron a las cuentas y rutas utilizadas por los operadores prohibidos. Un plazo de preaviso de diez días no constituye prueba de que se haya notificado a todos los operadores mencionados en el mismo. La medida tomada por OPSkins en 2018 es la única intervención documentada contra un operador concreto; teniendo en cuenta que se revisaron 189 plataformas y que no se ha publicado ningún registro por operador, una única medida documentada no pone de manifiesto un patrón de aplicación de la normativa.\n\nComunicado de 2016 de la Comisión del Juego de Washington ↗ archivado 2026-05-20 ↗ · Respuesta de Valve del 17 de octubre de 2016 (copia del documento) ↗ · Sesión informativa del WSGC ante la Asamblea Legislativa, 30 de enero de 2018 (copia local, 4 págs.) ↗ · el mismo archivo en wsgc.wa.gov ↗ · registro de recuperación y hash ↗ · La acción de Valve en OPSkins en 2018 ↗ archivado 2026-03-07 ↗ · Auditoría de la ruta actual ↗\n\nAuditoría forense longitudinal · Objetivos de las órdenes de cese y desistimiento de 2016\nLa década del preaviso de 10 días: auditoría forense de supervivencia de los 23 emplazamientos señalados\n\nLos días 19 y 20 de julio de 2016, Valve el consejero jurídico Karl Quackenbush emitió notificaciones formales de cese y desistimiento a 23 plataformas de apuestas con «skins», ordenándoles que cesaran el uso comercial de Steam cuentas dentro de 10 días bajo la amenaza de la cancelación de la cuenta y de acciones legales. Más de 3,700 días después, una auditoría empírica revela el verdadero patrón de aplicación de la normativa: numerosos operadores nunca cesaron su actividad, otros siguieron operando hasta seis años después de la fecha límite, y el ecosistema, valorado en miles de millones de dólares, siguió aprovechando la arquitectura OpenID de Valve.\n\n5+ EN DIRECTO\nDefinitivamente en funcionamiento en 2026 (CSGOBig, CSGO500, CSGOFast, etc.)\n6 AÑOS\nPeriodo más largo de actividad tras el aviso previo al cierre (CSGOatse estuvo activo hasta 2022)\n$5.01B\nVolumen de apuestas «skin» en 2016 (Narus / Eilers & Krejcik)\nMás de 200\nSitios web de apuestas en línea activos que operan en el momento álgido del mercado\nLos «Surviving Titans» · Plan financiero y de tráfico para 2024-2026\nDesde avisos con 10 días de antelación hasta conglomerados con sede en el extranjero: un volumen de negocio de varios miles de millones de dólares\n\nEn lugar de acabar con las apuestas con «skin», los avisos de Valve de 2016 impulsaron una evolución del sector. Los operadores que sobrevivieron se reestructuraron como entidades corporativas extraterritoriales (Curazao, Belice, Chipre), fueron pioneros en el comercio entre pares (P2P) para eludir las prohibiciones de los bots y ahora procesan más de 10 millones de visitas mensuales a la web y miles de millones de dólares en volumen anual de apuestas sin dejar de autenticarse a través de Steam:\n\nPlataforma / Dominio\tAviso de julio de 2016\tResultado de la ejecución y situación de supervivencia\tVerificación registrada / Enlaces principales\nCSGOBig\ncsgobig.com\tAviso con 10 días de antelación (julio de 2016)\tSIGO VIVIENDO EN 2026\nSe ha suspendido temporalmente y se ha relanzado; la autenticación se realiza a través de letmeinbig.com y csgobiglogin.com\tX: @csgobig ↗ · FB: csgobigofficial ↗\nCSGO500\ncsgo500.com / 500.casino\tAviso con 10 días de antelación (julio de 2016)\tSEGUIRÉ VIVIENDO EN 2026\nRenombrado como 500 Casino (licencia de Curazao n.º 8048/JAZ2014-037), con una facturación mensual de varios millones\tPlataforma en directo (500.casino) ↗\nCSGOFast\ncsgofast.com\tAviso con 10 días de antelación (julio de 2016)\tSEGUIRÉ VIVIENDO EN 2026\nOferta activa de ruleta, Crash y Jackpot a través de steam-login.authtofast.com\tExpediente de auditoría de autenticación ↗\nCSGOLounge / Dota2Lounge\ncsgolounge.com / dota2lounge.com\tAviso con 10 días de antelación (julio de 2016)\tSEGUIRÉ VIVIENDO EN 2026\nSe ha reorientado hacia las apuestas con monedas de los esports y las apuestas con criptomonedas; ha mantenido su funcionamiento ininterrumpido\tPlataforma en directo ↗\nCSGOCasino\ncsgocasino.net / csgocasino.gg\tAviso con 10 días de antelación (julio de 2016)\tEN DIRECTO A TRAVÉS DE SUCCESSOR (2026)\nEl dominio ha sido redirigido; el portal sucesor, ya operativo, funciona en csgocasino.gg\tDominio sucesor ↗\nCSGOatse\ncsgoatse.com\tAviso con 10 días de antelación (julio de 2016)\tHA PERDURADO 6 AÑOS (EN ACTIVO HASTA 2022)\nLas operaciones de juego continuaron sin interrupción durante seis años tras el ultimátum de 10 días de Valve\tX: @CSGOatsecom (Activo hasta 2022) ↗\nCSGOSweep\ncsgosweep.com\tAviso con 10 días de antelación (julio de 2016)\tVIVIÓ HASTA DICIEMBRE DE 2017\nPermaneció en funcionamiento público durante 17 meses tras la fecha límite\tX: Estado de CSGOSweep, diciembre de 2017 ↗\nCSGOWild\ncsgowild.com\tAviso con 10 días de antelación (julio de 2016)\tVIVIÓ HASTA DICIEMBRE DE 2017\nPromocionado por influyentes de gran alcance; estuvo en funcionamiento durante un año y medio tras la carta de cese y desistimiento, antes de la migración a las criptomonedas.\tX: @Wild (Activo en diciembre de 2017) ↗\nCSGOPot\ncsgopot.com\tAviso con 10 días de antelación (julio de 2016)\tVIVIÓ HASTA SEPTIEMBRE DE 2017\nLlevaba 14 meses operando apuestas con botes de alto riesgo tras haber recibido la notificación\tX: @csgopot (Activo en septiembre de 2017) ↗\nCSGODiamonds\ncsgodiamonds.com\tAviso con 10 días de antelación (julio de 2016)\tSUPERÓ LA METAD DE 2017\nSe mantuvo en marcha durante 2017 a pesar de que se admitió que se habían manipulado los resultados de los streamers patrocinados\tX: @csgodiamondscom (2017) ↗\nCSGOLotto\ncsgolotto.com\tAviso con 10 días de antelación (julio de 2016)\tCERRADO EN JULIO DE 2016\nCerró tras un escándalo público; objeto de una orden de consentimiento de la FTC federal\tOrden de consentimiento de la FTC (expediente C-4632) ↗\nCSGODouble\ncsgodouble.com\tAviso con 10 días de antelación (julio de 2016)\tCERRADO EN JULIO DE 2016\nCierre voluntario inmediatamente después de la publicación de la orden de cese y desistimiento\tX: @CSGODouble (Cerrado en julio de 2016) ↗\nCSGOMassive\ncsgomassive.com\tAviso con 10 días de antelación (julio de 2016)\tCERRADO EN 2016\nCessó su actividad pública a finales de 2016\tX: @csgo_massive ↗\nCSGOStrong\ncsgostrong.com\tAviso con 10 días de antelación (julio de 2016)\tCERRADO EN 2016\nCessó su actividad pública en 2016\tFB: csgostrongfree ↗\nSkins2\nskins2.com\tAviso con 10 días de antelación (julio de 2016)\tCERRADO EN 2016\nCessó su actividad pública en 2016\tFB: CSNCOM ↗\n\nPlataforma\tTráfico mensual (visitas)\tVolumen de negocio estimado\tEntidad jurídica y jurisdicción\tPrincipales medidas normativas y modelo\nCSGOEmpire\ncsgoempire.com\t2,3 millones — 9,0 millones al mes\nDuración media: más de 6 minutos; 80% directo\t$1.5B — $2.5B Volumen de negocio anual\n>1,000,000 operaciones de intercambio de skins P2P al mes; $6.4M de volumen de órdenes activas y líquidas\tMoonrail Limited B.V. (Curazao n.º 148182)\nPagos: JHOLT LTD (Chipre); Fundador: «Monarch» (Ossi Ketola)\tPioneros en el intercambio de artículos P2P sin comisiones; con licencia de Curazao OGL/2024/1183/0869\nCSGORoll\ncsgoroll.com\t2,74 millones — 3,5 millones al mes\nDuración media: 9 min 23 s; tasa de rebote: 16%\t$1.0B — $2.0B Volumen de negocio anual\nIngresos corporativos anuales estimados de entre $100M y $200M procedentes de la ventaja de la casa\tFeral Holdings Limited\nCon sede en la ciudad de Belice, Belice (n.º de registro 171519)\tProhibido por la ACMA australiana (mayo de 2023); patrocinaba al equipo de primera división G2 Esports, que contaba con jugadores menores de edad\n500 Casino (CSGO500)\n500.casino / csgo500.com\t220 000 — 425 000 al mes\n~105 000 visitantes únicos al mes\t$100k / semana ($5.2M/año) en Royales\nRequisito de apuesta para grandes apostadores: $400 de apuesta por cada $1 de rakeback\tPerfect Storm B.V. (Curazao n.º 150536)\nLicencia de la Junta de Control del Juego de Curazao OGL/2024/1354/0882\tProhibida por la Spelinspektionen sueca (noviembre de 2023) por dirigirse a jugadores suecos sin licencia\nCSGOBig\ncsgobig.com\t~169,600 / mes\nDuración media: 19 min 12 s; primarias de EE. UU.\tVolumen anual multimillonario\nCajas misteriosas, ruleta y batallas por cajas\tFunciona mediante enrutamiento por proxy auxiliar\nletmeinbig.com (registrado en 2023) y csgobiglogin.com\tTarget de julio de 2016 C&D; relanzado con arquitectura de autenticación por proxy\nCSGOFast\ncsgofast.com\t~150 000 — 250 000 al mes\nPúblico internacional multilingüe\tVolumen anual multimillonario\nJuegos de ruleta y «crash» de alta velocidad\tEntidades operativas extraterritoriales\nRutas Steam autenticación a través de steam-login.authtofast.com\tObjeto de la orden de cese y desalojo de julio de 2016; nunca cesó su actividad; en funcionamiento en 2026\nCSGOPolygon\ncsgopolygon.com / plg.bet\t~300 000 — 500 000 al mes\nEl dominio de la CEI y Europa del Este\tVolumen anual multimillonario\nCriptomonedas y ruleta de skins, apuestas en partidos\tObjetivo de la segunda fase (octubre de 2016)\nSe ha reorientado hacia las criptomonedas con el dominio espejo plg.bet\tHa sobrevivido una década completa; sigue liquidando skins a través de API de terceros\nLa segunda oleada: por qué la notificación de cese y desistimiento de Valve se dirigió a más de 43 sitios web en total\n\nEl 17 de octubre de 2016, el asesor jurídico de Valve comunicó oficialmente a la Comisión de Juegos de Azar del Estado de Washington que, tras las 23 notificaciones iniciales del 19 de julio, Valve había enviado cartas de cese y desistimiento a más de 20 sitios web adicionales de apuestas con «skins» (con lo que el total oficial supera los 43). Esta segunda ronda se hizo necesaria porque la lista inicial omitía, inexplicablemente, los centros de juego más grandes y famosos del mundo:\n\nCSGOJackpot.com: La empresa pionera en el sector de las apuestas clandestinas, que gestionó un volumen de cientos de millones antes de cerrar ante la amenaza de una acusación federal.\nCSGOShuffle.com: La plataforma que se vio envuelta en el escándalo de las retransmisiones de julio de 2016, en la que el streamer de Twitch PhantomL0rd era propietario en secreto del 33% de la empresa y se descubrió que manipulaba las cuotas con fondos de la propia plataforma.\nEl macroecosistema (más de 200 operadores): Según un estudio del sector realizado por Narus Advisors y Eilers & Krejcik Gaming, en 2016 operaban más de 200 sitios web distintos de apuestas con «skins», que generaron $5.01 mil millones en volumen de apuestas procedentes de 3,03 millones de jugadores activos. Las 43 cartas de Valve se dirigían a menos de 20% del mercado activo.\nInvestigaciones oficiales gubernamentales y reguladoras sobre el juego «Steam Skin Gambling»\n\nEl fenómeno de las apuestas con «skin» está documentado en múltiples investigaciones oficiales, medidas coercitivas y documentos de posición del Gobierno:\n\n1. Comisión de Juegos de Azar del Estado de Washington (WSGC) (2016-2018)\n\nEl 5 de octubre de 2016 se emitió una requerimiento formal de cese y desistimiento; el 30 de enero de 2018 se publicó un informe legislativo en el que se documentaba que los «skins» son equivalentes al efectivo y se daba a conocer el volumen de apuestas con «skins» de $5.0B.\n\nInforme legislativo del WSGC en formato PDF (copia local) ↗\n2. Comisión Federal de Comercio de EE. UU. (FTC) (septiembre de 2017, expediente C-4632)\n\nPrimera medida coercitiva reguladora federal relacionada con las apuestas con «skins» contra los propietarios de CSGOLotto, Trevor Martin y Thomas Cassell, por prácticas engañosas y control no revelado de la plataforma.\n\nResolución y orden de consentimiento de la FTC ↗\n3. Documento de posición de la Comisión del Juego del Reino Unido (UKGC) y auditorías sobre los jóvenes\n\nLa encuesta de 2018 de la Comisión del Juego reveló que el 3% de los jóvenes de 11 a 16 años afirmó haber apostado alguna vez con objetos del juego (skins).\n\nRepositorio de investigación de la UKGC ↗\nUKGC policy on virtual currencies ↗\n4. Investigación del Senado australiano sobre Medio Ambiente y Comunicaciones (2018)\n\nInforme del Parlamento Federal sobre «Microtransacciones en videojuegos para obtener objetos aleatorios», en la que se analizan la mecánica de las cajas de botín de Valve, las retiradas de dinero en el mercado secundario y la elusión de la normativa.\n\nInvestigación del Parlamento de Australia ↗\nLa demanda pendiente\n\nPublicar el informe de medidas coercitivas: qué cuentas de juego y bots se han desactivado, a qué servidores de respuesta se ha restringido el acceso y a qué servicios comerciales se les ha concedido permiso. Una prohibición pública y una advertencia en la página de inicio no demuestran que se haya detenido la operación subyacente.\n\nParte B — Normativa y historial de cumplimiento · Artículo 12\nEl nombre de host ya figura en la solicitud.\nLímites del contexto y de la fuente\n\nValve ya dispone de una lista de dominios (el «Link Filter») y ya recibe el nombre de host de autenticación en cada solicitud de OpenID. El pseudocódigo que aparece a continuación muestra la estructura lógica para conectar ambos elementos. No hay pruebas públicas que indiquen que Valve lo haga.\n\nValve ya mantiene una lista negra de dominios. Valve ya recibe el host de inicio de sesión en cada solicitud de OpenID. No hay que construir nada: solo hay que unir las dos cosas. Se trata de una consulta de nombre de host en una lista que Valve mantiene por sí misma. El pseudocódigo que aparece a continuación es un ejemplo ilustrativo, no la implementación de Valve.\n\nforensic_autoban.py\n# PSEUDOCÓDIGO ILUSTRATIVO — Valve.block_domain() y flag_session_as_mitm() no son llamadas reales a la API. Esto ilustra la estructura lógica de una medida de mitigación que Valve podría implementar frente a dominios de autenticación por proxy, no el funcionamiento interno real de Valve.\n# Ilustración: el esquema lógico de una comprobación de la solicitud de OpenID recibida\ndef audit_openid_request(solicitud):\nblocked_origins = base de datos.obtener_plataformas_en_la_lista_negra()\nproxy_domain = request.params.obtener(«openid.realm»)\ntarget_redirect = request.params.obtener('openid.return_to')\n\n# Lógica: Si el proxy redirige a un sitio bloqueado, bloquear el proxy.\npara sitio web en blocked_origins:\nsi sitio web en target_redirect:\nValve.bloquear_dominio(proxy_domain)\nValve.marcar_sesión_como_MITM(request.session)\n# Resultado: Se rechaza la solicitud de inicio de sesión para ese host\n\nObservación:\nCuando un dominio principal ya figura en el filtro de enlaces (por ejemplo, howl.gg, bloqueado 2026-09-18/19/21) y su host de autenticación (howl.uno) aparece en la solicitud OpenID procedente del botón de inicio de sesión de ese sitio, la asociación es observable para Valve a partir de sus propios datos de solicitud. La comprobación se puede automatizar; sin embargo, no se puede determinar si se lleva a cabo.\nPrecedentes documentados y comunicados\n\nValve ha intervenido contra un operador externo al menos una vez, según consta: en 2018 revocó el acceso de OPSkins al sistema ExpressTrade (El anuncio de Valve ↗ archivado 2026-03-07 ↗). Los informes de la comunidad de 2018 también describen cómo una plataforma de comercio (SkinJar) perdió el acceso; dichos informes no han sido verificados y el mecanismo se deduce a partir del resultado, no de un proceso revelado.\n\nLo que establece el precedente:\n\nValve puede bloquear el acceso de un operador externo cuando lo considere oportuno. CSGOFast, mencionado en las noticias de prensa sobre las notificaciones de julio de 2016, operaba en 2026-09-21 con un servidor de autenticación registrado en 2026-06-30 que no devolvía ningún bloqueo de Link Filter. No hay ningún criterio publicado que explique por qué se bloqueó a un operador y a otros no.\n\nLo que indica y lo que no indica una fecha de inscripción\n\nLa fecha de registro de un host de autenticación constituye el límite inferior de cuándo podría haber aparecido por primera vez dicho host en una solicitud OpenID; no implica un uso continuado. sc-auth.net, por ejemplo, se registró como 2019-04-02 (RDAP) y se observó en el flujo de inicio de sesión Steam de Skin.Club en septiembre de 2026; lo que ocurrió entre esas dos fechas no figura en los registros públicos.\n\nAuditoría comparativa: Normas de cumplimiento de la API\nDimensión de la aplicación de la ley\tNormas de la API de GitHub\tSteam API web (Valve)\n1. Neutralidad en materia de cumplimiento\tSe aplican a todas las cuentas normas publicadas y uniformes, así como límites de frecuencia documentados (por ejemplo, 5,000 llamadas/hora para usuarios autenticados, 15,000/hora para organizaciones de GitHub Enterprise Cloud) y políticas de uso aceptable publicadas.\tNo hay criterios publicados. Las cuentas individuales se cierran en virtud de las cláusulas de automatización y uso comercial (quejas archivadas), mientras que no se ha publicado ningún historial de medidas coercitivas por operador para las plataformas comerciales.\n2. Uso indebido de OpenID / proxy de autenticación\tLas políticas publicadas por GitHub permiten suspender o revocar las aplicaciones y los tokens de OAuth en caso de uso indebido, y su documentación describe la revocación automática de los tokens expuestos (resumen de la documentación de GitHub elaborado por los autores).\tLos servidores de autenticación de dominios independientes observados en Steam flujos de OpenID (por ejemplo, rbsnin.com, howl.uno, sc-auth.net) no provocaron ningún bloqueo del filtro de enlaces en 2026-09-21, mientras que sus dominios principales sí lo hicieron.\n3. Monetización del abuso\tGitHub no cobra comisión por las transacciones de artículos gestionadas mediante automatización de terceros; su modelo de ingresos se basa en las suscripciones y los anuncios en su mercado.\tValve vende las llaves de las cajas que permiten obtener los objetos, y el Mercado de la Comunidad cobra una comisión conjunta de aproximadamente 15% sobre las ventas realizadas en el propio Mercado. En este informe no se estima ninguna cifra correspondiente a los ingresos atribuibles a plataformas de terceros.\n4. Duración de los bucles de evasión\tLos ID de cliente de OAuth suspendidos dejan de funcionar en toda la plataforma en el momento de la suspensión; la documentación no indica un plazo para la aplicación de la medida y aquí no se asume ninguno.\tLos servidores de autenticación de dominios independientes con fechas de registro comprendidas entre 2011 y septiembre de 2026 no mostraron ningún bloqueo por parte del filtro de enlaces en las comprobaciones de 2026-09-19 y 2026-09-21. La fecha de registro constituye un límite inferior del posible uso, no una prueba de uso continuado.\nFuentes: Columna de GitHub — Documentación publicada por GitHub sobre los límites de tasa de la API y la política de la plataforma (resumen de los autores, sin citas) · Columna Steam — Comprobaciones del filtro de enlaces de 2026-09-19 y 2026-09-21 (linkfilter-recheck-2026-09-21.json), registro RDAP (registro-de-dominios.json) y las reclamaciones de asistencia archivadas (archivo de pruebas).\nParte B — Normativa y historial de cumplimiento · Artículo 13\nLa diferencia de precio «off-Steam»\n\nEl artículo se encuentra en un inventario Steam; la venta se realiza en otro lugar. Un AWP Dragon Lore «Factory New» tenía 62 ofertas activas en CSFloat; el precio más bajo que se pide $10,623.95. En el propio mercado de Steam no se puede fijar un precio de venta superior a aproximadamente $1,800. Para vender al precio más alto observado, el propietario necesita un comprador o un mercado ajeno a Steam. El artículo y su transferencia siguen dependiendo de Steam.\n\nWhat this means — the Community Market listing ceiling\n\nSteam’s own market refuses a listing above roughly $1,800. A seller may ask less, never more. Items whose market price sits above that line therefore cannot be sold at that price on Steam at all — which is the mechanism that moves those sales to third-party venues while the item itself never leaves Valve’s inventory system.\n\nSection 13 — the off-Steam price gap →\n\nContexto y límites de la fuente\n\nEn esta sección aparecen tres conceptos distintos que no son intercambiables. 245 es el número de categorías de nombres de artículos de CS2 cuya oferta activa más barata superó el valor $1,800 únicamente en CSFloat, el 20 de septiembre de 2026. 241 es ese mismo conjunto menos las cuatro categorías fijadas en el límite superior $100,000 de CSFloat, que es el panel sobre el que se calcula el límite inferior $13.63M. 248 Se trata de una visión general diferente: categorías cuyo precio superaba el límite máximo en dos o más de los cinco mercados el 23 de septiembre de 2026. Los mercados se solapan, por lo que nunca deben sumarse las cifras de las distintas plataformas. Todas las cifras aquí indicadas son precios de venta, no ventas realizadas, y ninguna de ellas corresponde a ingresos, volumen de negocio o beneficio —ni para Valve ni para nadie más—. Los valores que figuran en PriceEmpire son estimaciones redondeadas publicadas por dicho sitio web, y su carta Steam incluye artículos de otros Steam juegos, por lo que los ámbitos de la comparación no son idénticos.\n\nUn artículo. Dos sistemas de precios.SIGUE EL REGISTRO\nPaso 3 / 3\n\nEn ese caso, el vendedor necesita un canal alternativo o un comprador. El artículo sigue dependiendo del inventario y del sistema de transferencia de Steam.\n\nSTEAMAcerca de $1,800Límite máximo de anuncios publicados en el mercado comunitario\nCATÁLOGO GUARDADO$10,623.95AWP Dragon Lore, nueva de fábrica, precio a consultar\nLA DEPENDENCIASigue siendo un artículo SteamEl inventario y la transferencia siguen en Steam\n01 / ARTÍCULOValve inventario del juegoObjeto de CS2 o Dota 2 guardado en Steam\n02 / TECHOAcerca de $1,800 en SteamPrecio máximo por un anuncio en el mercado\n03 / PREGUNTAS EXTERNAS$10,623.95 para «Dragon Lore»La oferta más barata de CSFloat en la instantánea de esa fecha\n04 / ENTREGASteam permanece en la cadenaLa titularidad y la transferencia de artículos dependen de su sistema\nARQUITECTURA DEL MERCADO · INSTANTÁNEA DE FECHA, 20 SEPTIEMBRE 2026\nLa diferencia de precios es cuantificable.\n\nHemos contabilizado las categorías de nombres de artículos cuya oferta activa más barata se situaba estrictamente por encima de $1,800. CSFloat y Skinport son instantáneas independientes con inventarios de CS2 que se solapan; sus recuentos no se pueden sumar. Las ofertas externas muestran dónde se publican precios de venta más elevados, mientras que Steam sigue controlando la propiedad y la transferencia de los artículos.\n\n245CATEGORÍAS DE CS2 · CSFLOAT\n166CATEGORÍAS DE CS2 · SKINPORT\n3DOTA2CATEGORÍAS · SKINPORT\n$10,623.95PREGUNTAS SOBRE EL PISO DE DRAGON LORE\n\nDragon Lore: 62 ofrece CSFloat en la categoría «Factory New»; el precio mínimo mostrado es una petición, no una venta confirmada. Steam permite publicar el artículo por un precio inferior, pero no permite publicar el precio de venta más alto observado. La declaración de Valve en 2016 confirma que es consciente de que hay operadores de juegos de azar que utilizan OpenID y la infraestructura comercial de Steam. La cuestión de si un mercado de terceros concreto incumple las normas de Valve debe determinarse por separado.\n\nConsultar el registro completo →CSFloat JSON ↗Skinport JSON ↗Declaración de Valve sobre «2016» ↗\nAPI DIRECTA DE CSFLOAT / INSTANTÁNEA CON FECHA$13.63M\n\nValor mínimo total de venta en 241 categorías de artículos y 3,395 ofertas activas. Se calcula multiplicando el precio de venta más barato de cada categoría por el número de ofertas correspondientes. Se excluyen de este panel conservador las cuatro categorías fijadas en el límite máximo de $100,000 de CSFloat.\n\nLo que refleja la cifra en dólares\n\nEstas ofertas representan, como mínimo, $13,631,888.25 en los precios de venta anunciados para este subconjunto limitado de CSFloat. Si se incluyen las cuatro categorías con precio máximo, el resultado es $14,231,888.25. Esto es un límite mínimo para las órdenes de compra activas, y no las ventas realizadas, el volumen de caja, los beneficios ni el mercado CS2 en su conjunto.\n\nVolver a calcular a partir de la instantánea de CSFloat de 245 filas ↗\nPRICEEMPIRE / VALOR DE CATÁLOGOSteam: n.º 15 de 39\nMuchos locales indican un valor en dólares superior a Steam.\nUUSkins\n$133.8M\nYouPin898\n$127.5M\nBuff.163\n$104M\nMoon.Market\n$100.3M\nWhite.Market\n$89.6M\nBuff.Market\n$86.7M\nSteam\n$31M\n\nLos seis valores más altos mostrados y Steam. PriceEmpire redondea estas cifras; Steam muestra $31M. Catorce recintos de la lista lo superan según los valores en dólares que se muestran.\n\nPRICEEMPIRE / NÚMERO DE OFERTASSteam: n.º 1 de 39\nSteam sigue a la cabeza en cuanto al número de ofertas.\nSteam\n32,2 millones\nYouPin898\n5,9 millones\nC5Game\n4,6 millones\nHaloSkins\n4,4 millones\nSkinport\n3,8 millones\n\nSteam muestra 32,2 millones Ofertas. El número de ofertas y el valor total de venta responden a cuestiones diferentes; es posible que haya muchas propiedades a la venta a bajo precio que dominen el recuento.\n\nFuente: Comparativa pública de PriceEmpire ↗ archivado 2026-09-21 ↗, capturado el 2026-09-20 a las 19:03 UTC; extracción de 39 filas con fecha ↗. Las cifras son estimaciones aproximadas y el inventario puede solaparse entre las distintas sedes. La ficha de Steam también describe objetos de otros juegos de Steam, por lo que los ámbitos no son idénticos. Los valores indicados corresponden a los precios de venta, no a las ventas ni a los ingresos.\n42\nOTRA FUENTE / STEAMANALYST\nEl ecosistema comercial está a la vista de todos.\n\nDirectorio de tiendas de SteamAnalyst archivado 2026-07-19 ↗ Enumera 42 plataformas de venta de CS2 de terceros, además de Steam, con datos recientes sobre los precios de 32 de las 43 entradas. PriceEmpire recoge 39 plataformas de venta según sus propios criterios de inclusión. Empresas identificadas, ofertas públicas, precios visibles: esta economía está abierta a la inspección.\n\nEL LÍMITE ES EL MECANISMO: LA OFERTA PIERDE IMPULSO, PERO EL ARTÍCULO NO.\n\nEn cinco mercados recogidos en una instantánea autorizada, Las 248 categorías de artículos de CS2 tienen un precio fijado de forma independiente que supera en dos o más unidades el límite máximo de cotización de Steam, que es de aproximadamente $1,800, y ninguna de ellas aparece en Steam. Esa misma instantánea agrupaba todo el catálogo por precios: el mercado de Valve ofrece 95.3% de las categorías de artículos por debajo de su límite máximo y 1.9% de las que están por encima. La caída no se debe a una disminución de la demanda, sino que se ajusta exactamente a la norma publicada. Vender a esos precios requiere un comprador externo o un mercado, mientras que Steam sigue controlando el inventario y la transferencia: la transacción sale de la caja de Valve y la entrega se realiza a través de la infraestructura de Valve.\n\nSteam Preguntas frecuentes sobre el mercado ↗archivado 2026-09-21 ↗Steam Contrato de suscripción ↗archivado 2026-09-21 ↗Conjunto de datos del atlas de cinco mercados ↗Manifiesto de procedencia ↗Instantánea anterior de CSFloat ↗Resumen de Skinport ↗PriceEmpire ↗archivado 2026-09-21 ↗SteamAnalyst ↗archivado 2026-07-19 ↗Registro de diferencias de precios ↗Atlas de la escala de precios ↗\n\nParte C — Marcos jurídicos\nParte C — Marcos jurídicos · Sección 14 · Acceso del personal\n¿Quién puede restablecer las medidas de seguridad?\nContexto y límites de la fuente\n\nLa seguridad de una cuenta también depende de las personas que pueden recuperarla, consultar sus datos privados o restablecer sus medidas de seguridad. La investigación debe supervisar esas acciones privilegiadas con el mismo rigor con el que supervisa el uso indebido de las API.\n\nLa recuperación de cuentas otorga a un agente de atención al cliente la facultad de retirar la cuenta a su titular. Valve ha confirmado por escrito, en dos ocasiones —en febrero de 2023 y en noviembre de 2025— que esta facultad se utilizó para ceder cuentas a personas equivocadas. Con treinta y tres meses de diferencia, a través del mismo canal. A continuación: lo que vale ese acceso, seis casos documentados y el registro Valve que se aplica a cada uno de ellos y que no se ha facilitado a nadie.\n\nTestimonio conservado / 9 de mayo de 2025\nUn ticket de recuperación que desactivó la seguridad de la cuenta y una pérdida declarada de $10,000\n\nUn usuario del archivo de asistencia recopilado informa de que Steam el servicio de asistencia restableció la contraseña y desactivó la protección de la cuenta después de que otra persona enviara una solicitud de recuperación. El autor afirma que la cuenta llevaba años inactiva, contenía elementos desde 2016-2017 y tenía Steam Guard, un teléfono vinculado y códigos de recuperación almacenados.\n\n«Steam El servicio de asistencia le ha dado acceso a mi cuenta a otra persona».\n\nDeclaración en primera persona, conservada en steam_support_tickets_MEGA.json, registro n.º 110. Lee la publicación completa capturada ↗\n\nNo se trata de la mala suerte de un solo usuario. Esa misma vía —una solicitud de ayuda que transfiere la cuenta a quien facilite los datos más antiguos— es el procedimiento documentado para todos los casos que figuran en el registro que se muestra a continuación, y Valve lo ha dejado por escrito en dos ocasiones.\n\nEl propietario no puede ganar esa discusión. La recuperación solicita la primera clave de CD, el primer correo electrónico, la primera tarjeta y el primer número de teléfono. Esos datos se encuentran en la base de datos de Valve, y el servicio de asistencia técnica los consulta —según se informa, se remontan hasta quince años atrás—. Una persona que tenga una copia de tu expediente siempre podrá proporcionar más datos de tu historial de los que tú mismo puedas aportar. Los objetivos se seleccionaban para que encajaran en el perfil: inactivos durante años, de gran valor y, a menudo, comprados de segunda mano, de modo que el titular nunca conociera la clave original. Posteriormente, las cuentas se eliminaban por completo, rompiendo así el rastro del historial de artículos que la comunidad utiliza para rastrear un skin —una eliminación que un usuario normal no puede realizar sin el periodo de espera estándar.\n\nPrivilegio mínimo / OWASP A01\n\nLos privilegios de recuperación deben limitarse a la tarea en cuestión, someterse a una revisión independiente y registrarse. Se debe auditar quién puede restablecer credenciales, eliminar Steam Guard, consultar registros de facturación o exportar datos de cuentas. Directrices de OWASP sobre el control de acceso ↗ archivado 2026-09-20 ↗\n\nAmplio acceso a la asistencia técnicaRiesgo relacionado con el ámbito de acceso\nMás allá del inventario.\n\nSi se abusa del acceso general, la telemetría privada puede convertirse en una herramienta para la elaboración de perfiles, el phishing dirigido y la vigilancia. Entre las posibles víctimas se encuentran los usuarios comunes, el personal militar, las figuras públicas y sus familias. Se trata de un modelo de amenaza; los permisos exactos requieren registros de control de acceso.\n\n01 Historial y ubicación de la IP\nLos registros de IP pueden revelar el historial de navegación y la ubicación aproximada. Por sí solos, no permiten determinar con precisión los desplazamientos físicos.\n02 Identificación de dispositivos\nLos identificadores de dispositivos, cuando se recopilan y son accesibles, permiten vincular sesiones y cuentas.\n03 Telemetría de actividad\nLas marcas de tiempo de inicio de sesión y los registros de sesión pueden revelar hábitos, incluida la actividad que no se ve en un perfil público.\n04 Comunicaciones y contactos\nEl acceso a los mensajes almacenados o a la información de contacto aumentaría las posibilidades de elaboración de perfiles y de ingeniería social.\n05 Desenmascaramiento de la identidad\nLos registros originales de correo electrónico, teléfono y pagos pueden vincular una cuenta seudónima a una persona.\n06 Reventa de datos y responsabilidad\nLas listas de destinatarios exportadas podrían servir para cometer estafas selectivas. Identifica al autor, la ubicación de acceso, los destinatarios y las transferencias; la ubicación por sí sola no determina ni el acceso ni la inmunidad jurídica.\n\nValve describe el registro de direcciones IP, la información de los dispositivos, los registros de pago y los proveedores de asistencia externos en su Política de privacidad, apartados 3 y 5.2 archivado 2026-09-21 ↗. La política autoriza el acceso de terceros para prestar apoyo; sin embargo, no se ha revelado el registro de auditoría que indicaría qué contratista accedió a qué categoría, cuándo y con qué autorización.\n\nSección 14.1 · el registro · junio de 2022 → noviembre de 2025 · todas las cifras tienen su fuente\nValve abrió la puerta dos veces, con treinta y tres meses de diferencia. Nunca se cerró.\n\nSe han registrado seis casos en los que se sustrajeron cuentas a través del propio canal de solicitud de ayuda de Steam, o mediante las credenciales que protege dicho canal. Cada importe corresponde a la cifra publicada por la fuente citada, y se indica el nombre de cada fuente. Dos de los seis casos se han resuelto con la recuperación íntegra de los fondos. La diferencia entre estos casos y el resto no radicaba en lo que ocurrió, sino en quién estaba al tanto de ello.\n\nValve, por escrito — febrero de 2023«Los artículos en cuestión se han eliminado de tu cuenta porque procedían de una cuenta que fue vulnerada a través de una solicitud de asistencia, responsabilidad de la que se hace cargo el equipo de CS:GO. Hemos anulado los intercambios y los hemos eliminado de todas las cuentas que los recibieron».Steam Respuesta de asistencia a un destinatario de los artículos de HFB, reproducida por Dexerto, 21 de febrero de 2023 ↗ archivado 2025-08-18 ↗\nValve, de nuevo por escrito — noviembre de 2025 · 33 meses después«Un técnico de asistencia que se encargó de la solicitud de ayuda no siguió nuestro procedimiento, lo que provocó que tu cuenta se restableciera a nombre de otra persona. Te pido disculpas por este error».Steam Respuesta del servicio de asistencia a Hawkeye337, citada en Dexerto, 14 de noviembre de 2025 ↗\n21 de junio de 2022\nHFB: el mayor surtido del juego$2,000,000+ · se elevó a $3,000,000+ en el seguimiento de febrero de 2023\n\nSiete «Dragon Lores» de AWP de recuerdo y el karambit «Blue Gem» n.º 1, cuyo valor solo ese cuchillo asciende a unos $1.26 millones. La cuenta llevaba tres años inactiva, aunque la aplicación de autenticación móvil seguía activa; aun así, se cambiaron el correo electrónico y la contraseña a través del proceso de recuperación del servicio de asistencia.\n\nEl dinero se acabó antes que los artículos. Según se ha informado, $200,000+ Parte de los ingresos de la venta ya se había retirado a través de market.csgo.com, un mercado en el que las transacciones se liquidan en efectivo y criptomonedas. Al anular una transacción, se recupera el skin, pero no el dinero que ya se haya ingresado en la cuenta.\n\nY la solución dejó de funcionar. Un comprador trasladó su «Souvenir Dragon Lore» a una unidad de almacenamiento del juego. El script de reversión de Valve no podía ver el interior de su propio contenedor, por lo que le proporcionó al propietario una copia nueva y dejó la oculta tal cual — Valve duplicó un $130,000 artículo al intentar revertir un robo. Se detectó gracias a la comparación de los identificadores de los artículos y a las denuncias de la comunidad, y se eliminó un mes después, en julio de 2022. BUFF reembolsó al comprador, no Valve. Una solución de emergencia tan precaria como esta no es un control; es lo que hace una plataforma cuando carece de control.\n\nDexerto, 21 de junio de 2022 ↗ archivado 2022-07-02 ↗ · Kaspersky ↗ · importe del retiro por Esportfire, 22 de junio de 2022 ↗ archivado 2026-05-15 ↗, atribuido allí a varias fuentes de Twitter · duplicación y eliminación según Esportsbetting, 14 de julio de 2022 ↗\n\nRestauradoSe anularon las transacciones. Se retiraron los artículos de los inventarios de quienes los habían pagado a precio completo.\n14 de agosto de 2022\nCS.Money: los bots propios de la plataforma$6,300,000 · 19,000+ skins · primera estimación $1.6M\n\nLos atacantes se hicieron con los archivos del autenticador móvil de los bots de negociación de la plataforma y los vaciaron; a continuación, enviaron parte del botín a operadores conocidos para despistar. Los investigadores de la comunidad identificaron 55 cuentas de atacantes en cuestión de horas y los publicó.\n\nValve no modificó nada. La razón aducida fue que un sitio web de terceros se encuentra fuera de Steam —el mismo Steam en cuyo inventario, API comercial y sistema de cuentas se llevó a cabo el robo de principio a fin—.\n\nEsportfire, 14 de agosto de 2022 ↗ archivado 2025-11-15 ↗\n\nRechazadoNo hubo reversión. La pérdida recayó sobre la plataforma y sus usuarios.\nNotificado\n21 de febrero de 2023\nQkss — la misma puerta, el mismo actor$1,000,000+\n\nSegún se ha informado, se tramitó de la misma forma que el HFB, por parte del mismo actor y a través de la misma solicitud de asistencia técnica. El HFB se resolvió por completo ocho meses antes. El Qkss no.\n\nUn camino. Dos respuestas. No hay nada en el expediente publicado que distinga ambos casos, salvo el número de asistentes.\n\nDexerto, 21 de febrero de 2023 ↗ archivado 2025-08-18 ↗\n\nRechazadoNo se ha restaurado.\nNotificado\nFebrero de 2023\nEl uso de información privilegiada en sí mismo: un año de ello≈ $320,000 · se refiere a un periodo de aproximadamente un año, no a una valoración de existencias\n\nEl acceso desde el servicio de asistencia permitió consultar el historial de la cuenta hasta 15 años — la primera clave de CD, el primer correo electrónico, la primera tarjeta. Esas son, precisamente, las pruebas que exige el proceso de recuperación, y por eso quien tiene la base de datos siempre sale ganando en la discusión frente a quien tiene la cuenta.\n\nEl bloguero Mzkshow reveló cómo el operador interno «Steam Help» y su colaborador «Alexander» se centraron en cuentas inactivas que contenían más de $100k en skins. Un M4A4 Howl robado, con los hologramas de iBUYPOWER y Titan Katowice 2014, se vendió por $35,000 y acabó recayendo en Valerii «b1t» Vakhovskyi, de NAVI, quien no tenía forma de saberlo. Tras la intervención de Valve, la empresa contratista despidió a todo el personal del servicio de asistencia técnica Steam.\n\nVKPlay ↗ · Lis-Skins ↗ · Escorenews (RU) ↗ · Dexerto (EN) ↗\n\nSin registroValve nunca ha revelado a cuántas cuentas afectó esto, ni se lo ha comunicado a las personas afectadas.\nNotificado\n2 de diciembre de 2024\n«Matvey» — tras los despidos$13,000\n\nSe concedió la recuperación a una persona que facilitó datos de la cuenta que ni el propio titular pudo corroborar. Dos años después de que la empresa contratista desmantelara su servicio de asistencia Steam, seguir el mismo procedimiento dio el mismo resultado.\n\nPublicación archivada, 2 de diciembre de 2024 ↗ archivado 2025-08-05 ↗ · filas de origen y hash ↓\n\nRechazadoNo se ha restaurado.\n13 de noviembre de 2025\nHawkeye337 (Mark Spurlock) — y la segunda confesión≈ $300,000–$500,000 · Colección completa de hologramas de Katowice 2014\n\nEl agresor exigió 1 bitcoin y empezaron a transferir la colección a cuentas de Negev para destruirla. Steam La respuesta por escrito del servicio de asistencia es la segunda admisión mencionada anteriormente: un técnico se encargó de la solicitud de ayuda, no siguió el procedimiento y cedió la cuenta a otra persona.\n\nLo que provocó el fallo fue la señal. Pocas horas después de que se publicaran en X las entradas en las que se etiquetaba a Valve, se recuperó la cuenta y se restablecieron todas las pegatinas. Qkss no contaba con esa audiencia.\n\nSkin.club ↗ · Dexerto ↗ · Esportfire ↗ archivado 2025-12-17 ↗\n\nRestauradoLa noticia se desmintió a las pocas horas de que se convirtiera en tendencia.\nLo que refleja el libro mayor y que ningún caso concreto muestra por sí solo.\n\nLa ruta nunca se cerró. La primera admisión data de febrero de 2023 y la segunda, de noviembre de 2025 — con treinta y tres meses de diferencia, tras el despido masivo por parte del contratista, un nuevo incidente documentado y una brecha de seguridad en la plataforma de $6.3 millones entre ambos. Contando desde el primer robo registrado en este libro de cuentas, el canal permaneció abierto durante tres años y cinco meses. Independientemente de lo que se corrigiera en 2023, la solicitud de ayuda siguió asignándose a la persona equivocada en noviembre de 2025 — según las propias palabras de Valve.\n\nLa restitución se centraba en la atención, no en el daño. Restablecido: el inventario más grande del juego y el coleccionista cuyo hilo se hizo viral. Rechazado: $1,000,000, $6,300,000, $13,000. Valve nunca ha publicado la regla que aplica, ya que una regla publicada tendría que explicar esas tres.\n\nNo se lo dijeron a nadie. Ni los usuarios cuyos historiales de cuenta fueron extraídos de la base de datos, ni una autoridad supervisora, ni el mercado que compró los artículos de buena fe y se los tuvieron que recuperar. No hay ningún aviso de violación de seguridad, ningún informe de incidente, ningún recuento de las cuentas afectadas — y los ingresos que quedan en forma de dinero, a través de plataformas que pagan en efectivo y en criptomonedas. Una reversión de la operación no puede seguir el dinero que sale de Steam.\n\nValve contiene el registro de auditoría de asistencia, el registro de tickets de recuperación y el registro de transacciones de cada una de las líneas anteriores. No se ha presentado ninguno de ellos. Solicita tu propio ejemplar →\n\nLa cuestión del NDA\nLa confidencialidad debe ir acompañada de la responsabilidad técnica.\n\nCompara los acuerdos de confidencialidad con los permisos reales, los controles de exportación, las autorizaciones de restablecimiento y los registros de acceso. Una respuesta predefinida no puede resolver una acusación de que se haya abusado del propio proceso de recuperación.\n\nArtículos 28 y 32 a 34 del RGPD\n\nEl artículo 33 concede al responsable del tratamiento un plazo de 72 horas para notificar a la autoridad de control una violación de la seguridad de los datos personales; el artículo 34 exige informar a las personas afectadas cuando el riesgo para ellas sea elevado. Valve ha confirmado por escrito, en dos ocasiones, que su canal de asistencia entregó cuentas a personas equivocadas —incluidos el historial de la cuenta, los registros de facturación y todo lo demás—. No se ha publicado ninguna notificación en virtud de ninguno de los dos artículos, y ningún usuario afectado ha informado de haber recibido ninguna. Lee el reglamento ↗ archivado 2026-09-20 ↗\n\nIncluye el acceso al servicio de asistencia en tu solicitud →\nParte C — Marcos jurídicos · Sección 15 · A escala comercial\nSigue el rastro del dinero. Separa las transacciones.\nContexto y límites de la fuente\n\nLa cuestión del uso comercial se agudiza cuando se separan los flujos de dinero. Las transferencias de artículos a terceros, las ventas principales de Valve y las retiradas de efectivo externas son transacciones diferentes.\n\nEl artículo es de Valve. El stock es de Valve. La transferencia se realiza en los servidores de Valve. Lo único es que el pago se realiza en otro sitio — que es el paso que determina si alguien es un operador de transferencia de fondos, y el único paso Valve que no lleva a cabo.\n\nEl mecanismo de ingresos\nDonde realmente circula el dinero.\nTres caminos / una economía de un solo artículo\n01 / CuentaInventario de usuarios\n\nArtículos en reserva: Steam\n\n02 / TraspasoComercio entre particulares\n\nUsuario ↔ bot o usuario ↔ usuario\n\n03 / LiquidaciónPlataforma externa\n\nSaldo de la obra o pago de Steam\n\nCirculaciónEl motor económico va más allá del coste de traspaso\n\nSteam proporciona la infraestructura de inventario y transferencia que utilizan los mercados externos. El argumento económico de la investigación es que la liquidez de la reventa y la demanda recurrente sostienen el gasto en estuches, llaves y artículos de recambio, con comisiones sobre las ventas posteriores en el Mercado Comunitario. Una transferencia directa entre particulares (P2P) no conlleva comisión del Mercado Comunitario; ese dato contable no resuelve la cuestión del beneficio general. Valve mantiene el control sobre el acceso a las cuentas y las restricciones de negociación en todo momento.\n\n01 / Demanda secundariaLiquidez y valor de reventa\n\nDemanda externa relacionada con el comercio y los juegos de azar\n\n02 / Gasto primarioLlaves, estuches y cápsulas\n\nCompras a partir de Valve, cuando estén disponibles\n\n03 / IngresosIngresos por venta directa\n\nMás comisiones sobre las ventas reales en el mercado\n\n5% + 10%Steam + comisión de CS2 sobre las ventas en el Mercado de la Comunidad\n\nConclusión económica de la investigación: los mercados de reventa de activos líquidos pueden fomentar el gasto en artículos nuevos. El conocido 15% combina las tasas de comisión del mercado, sujetas a mínimos y redondeos; no se trata de un gravamen que se aplique a todas las transacciones con el exterior.\n\nLista de tarifas del Community Market de Valve ↗ archivado 2026-09-21 ↗. El 25 de febrero de 2026 El fiscal general de Nueva York interpuso una demanda archivado 2026-09-01 ↗ en la que se alega que las cajas de botín de pago están relacionadas con la reventa externa por dinero en efectivo y los daños derivados del juego —la misma relación que este informe documenta desde el punto de vista de la infraestructura técnica—. Esa denuncia es una alegación, no una conclusión; se cita aquí porque un organismo estatal encargado de hacer cumplir la ley ha planteado una cuestión relacionada con la que plantea este informe: ¿dónde está el historial de aplicación de la ley que se corresponda con las declaraciones públicas?\n\n01 / EntradaIngreso en criptomonedas\n\nRegistros de servicios externos y monederos\n\n02 / ConversiónEquilibrio → aspectos\n\nArtículos entregados a través de Steam transacciones\n\n03 / SalidaVenta externa de moneda fiduciaria\n\nVendedor, comprador y proveedor de pagos\n\n¿KYC?Identificar el control en cada traspaso\n\nEsta es la vía que hay que investigar, no un servicio de conversión de efectivo mediante la API nativa Steam. Documenta las comprobaciones de identidad, la custodia, los identificadores de transacción y los destinatarios de los pagos en cada operador externo antes de afirmar que se trata de un retiro de efectivo sin KYC.\n\nEstados Unidos / Ley de Secreto Bancario\nClasifica primero la actividad y, a continuación, la obligación.\n\nLa FinCEN evalúa la transmisión de fondos en función de la actividad que realiza una empresa. Aceptar y transferir moneda virtual convertible puede dar lugar a obligaciones en materia de servicios monetarios, con sujeción a las definiciones y excepciones aplicables. La cartera Steam de Valve acepta fondos y los convierte en artículos del juego; a continuación, dichos artículos se liquidan a través de operadores externos a cambio de moneda real. El objeto y su transferencia se gestionan en la infraestructura de Valve; el cobro en efectivo no, y el hecho de que alguna parte de ese ciclo se ajuste a las definiciones de transferencia de fondos es una cuestión de clasificación que corresponde a la FinCEN, no una conclusión que se extraiga aquí.\n\nFinCEN FIN-2019-G001, §§ 1–2, 5.1 ↗ archivado 2025-07-11 ↗\n\nUnión Europea / blanqueo de capitales\nRealizar un seguimiento de los ingresos, la información y la asistencia.\n\nLa Directiva (UE) 2018/1673 regula el blanqueo intencional y la participación en actividades relacionadas con productos del delito. La cuestión que se plantea en la investigación es qué sabía Valve sobre los operadores que utilizaban su infraestructura de negociación y OpenID después del 13 de julio de 2016, cuando describió públicamente dicho uso, y qué medidas tomó al respecto. Valve no ha publicado ningún registro de medidas coercitivas por operador; ese registro, y no este expediente, respondería a la pregunta.\n\nMarco penal de la UE ↗\n\nTerminología de la AMLD6: La directiva en materia de derecho penal mencionada anteriormente es distinta de la Directiva (UE) 2024/1640, también conocida como AMLD6. Esta última tiene un plazo general de transposición que vence el 10 de julio de 2027, con algunas excepciones específicas. Artículo 78 ↗ archivado 2026-08-30 ↗\n\nParte C — Marcos jurídicos · Artículo 16 · Notificación, respuesta, responsabilidad\nLa Ley de Servicios Digitales: dejar constancia de los conocimientos\nContexto y límites de la fuente\n\nHay dos elementos de una notificación conforme al artículo 16 que corresponden al remitente y no a este expediente: los datos del propio remitente y una declaración de buena fe de que la información es exacta. Todo lo demás que exige el artículo —la explicación fundamentada y la ubicación electrónica exacta— se recoge en la sección 3 y en el registro de rutas, junto con las respuestas guardadas y los hash, de modo que cualquier parte pueda presentarla. Hay otras dos limitaciones en la propia ley: la pérdida de la exención de responsabilidad del proveedor de alojamiento no implica por sí misma responsabilidad alguna en virtud de ninguna otra ley, y el 6% del artículo 52, apartado 3, es un límite máximo legal, no una sanción impuesta contra Valve.\n\nEn virtud de la DSA, un proveedor de servicios de alojamiento solo goza de exención de responsabilidad hasta el momento en que tenga conocimiento concreto de los hechos y no actúe en consecuencia. Este expediente constituye dicha notificación. En él se indican los servidores, las fechas, las respuestas guardadas y los hash. Desde su publicación, la cuestión ya no es si Valve lo sabía, sino qué hizo Valve a continuación.\n\n01Julio de 2016 / la exposición «The Dossier»\nUn plazo de diez días.\n\nLa notificación reconstruida anteriormente constituye el punto de partida histórico para la comparación de las medidas de ejecución de la investigación.\n\n0217 de febrero de 2024 / solicitud general\nLa ventana temporal del DSA.\n\nDistingue entre la conducta histórica y la conducta durante el período en el que se aplican las obligaciones pertinentes de la DSA.\n\n03Diez años / instantánea del expediente original\nLa duración requiere un historial de notificaciones.\n\nEl tiempo transcurrido desde julio de 2016 (véase la sección 11) es un indicador del expediente. No se trata de diez años de infracciones constatadas de la DSA. Vincula cada notificación a un elemento concreto, a la legislación aplicable, a las pruebas de entrega y a la respuesta correspondiente.\n\nArtículo 52, apartado 3 / límite máximo legal6%\nde la facturación anual a nivel mundial\n\nMulta máxima por incumplimiento de las obligaciones derivadas de la DSA, calculada sobre la base del ejercicio financiero anterior del proveedor. Se trata de un límite máximo legal, no de una sanción impuesta a Valve.\n\nArtículos 6, 8 y 16 / el criterio jurídico\n\nEn el caso de los servicios de alojamiento web pertinentes, el conocimiento específico y la falta de actuación con la debida diligencia pueden dar lugar a la pérdida de la exención de responsabilidad por alojamiento. Una notificación suficientemente precisa puede demostrar el conocimiento del contenido concreto. La DSA no impone ninguna obligación general de supervisión; la pérdida de la exención no implica por sí misma la responsabilidad en virtud de otra ley.\n\nDSA: artículos 6, 8, 16, 52, 53 y 93, y considerando 17 ↗ archivado 2026-09-20 ↗\n\nRevisar las reclamaciones archivadas ↗Crear la cronología de la cuenta →Análisis jurídico y económico completo →\nParte C — Marcos jurídicos · Sección 17 · Identidad, edad y acceso comercial\nMenores de edad: un inicio de sesión con «Steam» no constituye una verificación de edad\nContexto y límites de la fuente\n\nEn este expediente no aparece ningún dato de menores en ninguna parte y no se recopiló ninguno: los autores no se registraron, no depositaron información ni iniciaron sesión en ninguna de las plataformas mencionadas. Cualquiera que se base en esta sección debe mantener la confidencialidad de las pruebas relacionadas con menores y ocultar los datos identificativos en los documentos públicos. La COPPA se cita aquí como una ley de protección de la privacidad de los menores con sus propias condiciones de aplicación —público destinatario, conocimiento efectivo, datos personales recopilados— y no como una norma general sobre la edad mínima para apostar; la denuncia presentada en Nueva York en 2026 es una alegación de una autoridad estatal, no una resolución judicial.\n\n«Iniciar sesión con Steam» demuestra que existe una cuenta. Eso no demuestra nada sobre la edad — y en estas páginas es la única barrera entre un niño y un depósito. Léelo con Apartado 3.1: dentro del cliente Steam, la advertencia que mostraría un navegador nunca se activa, por lo que el niño nunca la ve.\n\n¿Qué ofrece OpenID?Identidad de la cuenta\n\nUn SteamID verificado que se utiliza para iniciar sesión o vincular una cuenta.\n\n≠\nLo que debe determinar el operadorRequisitos para participar\n\nEdad, jurisdicción y cualquier verificación de identidad necesaria.\n\nFundamento técnico: Documentación de Steamworks OpenID ↗ archivado 2026-09-21 ↗. La verificación de identidad documentada no constituye una certificación de que el usuario pueda apostar legalmente.\n\nCOPPA / menores de 13 años\nIdentifica el operador y los datos.\n\nLa COPPA se aplica a los servicios dirigidos a menores que entran en su ámbito de aplicación y a aquellos que tienen conocimiento efectivo de que recogen datos personales de menores de 13 años. Se trata de una ley sobre la privacidad de los menores, no de una norma universal sobre la edad mínima para participar en juegos de azar. Se debe determinar el público destinatario, los datos personales que se recogen, el conocimiento de dichos datos y el proceso de consentimiento parental.\n\nFTC: Requisitos de la COPPA ↗ archivado 2026-09-21 ↗\n\nLas pruebas que hay que conservar\nRegistra el proceso desde el inicio de sesión hasta el ingreso.\n\nMantén el control de edad del sitio web, el texto del registro, las condiciones de acceso, el proceso de pago y el historial de reclamaciones. Evalúa a cada operador por separado. Mantén la confidencialidad de cualquier prueba relacionada con un menor y oculta los datos identificativos en los documentos públicos.\n\nUn registro relacionado con la aplicación de la ley es el Anuncio de la demanda de Nueva York de 2026 archivado 2026-09-01 ↗, en la que se alega que las cajas de botín de pago causan perjuicios a los usuarios jóvenes. No se trata de una conclusión de la COPPA.\n\nParte C — Marcos jurídicos · Sección 18 · Solicitud en virtud del artículo 15 del RGPD\nLa solicitud. La respuesta. La comparación que falta.\n\nPidió cuatro cosas, una de ellas el registro que revelaría quién había introducido una clave API en su cuenta. Tres días después, el ticket se cerró con un enlace a una página en la que no aparece ninguno de ellos. — y la frase con la que se concluye la contradicen los propios abogados de Valve.\n\nDe quién es esta cuenta · Procedencia y límites\n\nEstas capturas de pantalla no son de PhishDestroy. Provienen de un titular de una cuenta Steam cualquiera —uno de los participantes en una breve encuesta realizada por este proyecto—, que presentó la solicitud él mismo y facilitó las capturas de pantalla. La cuenta es suya, el ticket es suyo y la correspondencia es entre él y el servicio de atención al cliente Steam. Este proyecto no presentó la solicitud, no tiene ninguna cuenta en la plataforma y no es parte en este ticket.\n\nEl 16 de septiembre de 2026 presentó una solicitud de acceso de datos del interesado, en virtud del artículo 15 del RGPD y la CCPA, en la que solicitaba específicamente los registros de registro de claves API, el historial de inicio de sesión con direcciones IP, el historial de autorización de dispositivos y el historial de operaciones. El 17 de septiembre, el agente «Logen» le remitió a la página de autoservicio «Datos de la cuenta». El 18 de septiembre, declaró que las categorías solicitadas no figuraban en dicha página y pidió que se remitiera el asunto al equipo de privacidad o al delegado de protección de datos (DPO). El 19 de septiembre, el agente «Kal» cerró el ticket con la misma remisión. A continuación se conservan ambas capturas de pantalla (se ha ocultado el correo electrónico del solicitante; SHA-256 en steam_tos_assets/screenshot-manifest.json).\n\nEs el solicitante ideal por una razón muy sencilla: Su cuenta tiene una clave de API web Steam que él no ha creado, registrada a nombre de localhost. Se desconoce cuándo se creó — ni a él, ni a partir de nada que Valve haya puesto a su disposición, ya que el único registro que permitiría datarlo es el registro de inscripción de la clave API, que es precisamente la categoría que el cierre ocultó. La clave no es nueva: es anterior a que él tuviera conocimiento de ella en un intervalo que no puede cuantificar, por la misma razón.\n\nOtros titulares de cuentas están presentando la misma solicitud. Cualquier respuesta que se reciba se añadirá aquí en las mismas condiciones que estas dos —número de ticket, fecha de captura, SHA-256, identidad del solicitante ocultada—, tanto si acepta las categorías como si las rechaza.\n\nEste proyecto no se pronuncia sobre los motivos por los que se cerró el ticket. En él no se indicaba ningún motivo, y aquí tampoco se deduce ninguno.\n\nLa solicitud. La respuesta. La comparación.SIGUE EL REGISTRO\nPaso 3 / 3\n\nPidió cuatro categorías concretas. La página de «Datos de la cuenta» a la que se le remitió es la propia función de exportación de autoservicio de Valve, y este proyecto no puede detallar su contenido para la cuenta de otra persona; por lo tanto, aquí no se publica ninguna comparación completa categoría por categoría. Lo que consta en el expediente es su declaración del 18 de septiembre en la que afirmaba que las categorías no estaban ahí, y el cierre del 19 de septiembre, en el que se repetía la remisión sin abordar el tema.\n\nLA SOLICITUDCategorías específicasRegistros de claves API, inicio de sesión, dispositivos y operaciones\nLA RESPUESTAReferencia de datos de la cuentaRevisa el intercambio de soporte\nLA PRUEBA¿Qué se suministró?Compara cada categoría solicitada\nPantalla 1/2 — Solicitud (16 de septiembre) y primera respuesta, agente «Logen» (17 de septiembre)\nGDPR ticket HT-2YBP-F7JP-D4VB — request and first response\nFuente: help.steampowered.com, ticket HT-2YBP-F7JP-D4VB · capturado del 16 al 17 de septiembre de 2026 · correo electrónico del solicitante ocultado 2026-09-21 · Archivo: gdpr-ticket-1.png · SHA-256 da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66 (captura-de-pantalla-manifest.json).\nPantalla 2/2 — Solicitud de escalado (18 de septiembre) y cierre, agente «Kal» (19 de septiembre)\nGDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure\nFuente: help.steampowered.com, ticket HT-2YBP-F7JP-D4VB · capturado del 18 al 19 de septiembre de 2026 · Archivo: gdpr-ticket-2.png · SHA-256 44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b (captura-de-pantalla-manifest.json).\nRespuesta final, 19 de septiembre (textual):\n«Los datos Steam que se conservan ya se pueden consultar en la página «Datos de la cuenta». Dado que el servicio de atención al cliente Steam no puede ofrecer más información, Esta solicitud se cerrará.\"\nNo se han facilitado datos · no se ha indicado ningún fundamento jurídico para la denegación · no se muestra el resultado de la escalación\nEsa afirmación es falsa, y los propios abogados de Valve lo demuestran. En el apartado 1.9 de la carta del abogado de 1 de octubre de 2025 se describe una correlación a nivel de dispositivo que vincula un dispositivo con docenas de cuentas (Apéndice A). Esa misma respuesta incluía 830 páginas de documentos conservados (Apéndice B). No aparece nada de eso en la página «Datos de la cuenta».\n¿Por qué esta cuenta solicitó el registro de la clave API?\n\nNo eligió esas cuatro categorías al azar. El localhost La clave de su cuenta es la marca de un script, no de una persona que introduce un dominio real en la página de desarrolladores (Sección 5, Sección 6). El único registro que indica quién lo creó y desde dónde es el registro de registro de claves API. Eso fue lo primero que pidió. Y eso es lo que la empresa se negó a facilitar.\n\nFuente: el titular de la cuenta, durante la encuesta de este proyecto. Las capturas de pantalla de los tickets que aparecen arriba están cifradas; la página clave no se ha publicado.\n\nEvaluación · PhishDestroy\n\nCerrar un ticket sin haber resuelto la cuestión no es algo fortuito en este caso. Es lo habitual. Nos atenemos a 16,319 registros conservados de reclamaciones y asistencia y 354 intercambios de asistencia técnica sin duplicados extraídos de ellos. Este billete es un ejemplo concreto y completo de la forma que adoptan.\n\nTicket de asistencia — ConservadoHT-2YBP-F7JP-D4VB\nTipo de solicitudArtículo 15 del RGPD (Solicitud de acceso a los datos)\nEstado del billeteCERRADO EL 19 DE SEPTIEMBRE DE 2026 — NO SE HAN FACILITADO DATOS\nAgentes de la bolsa«Logen» (17 de septiembre), «Kal» (19 de septiembre)\nArchivado16 de septiembre de 2026\nDatos solicitados¿Quién registró la clave de la API web vinculada a esta cuenta, y desde qué dirección IP, dispositivo y marca de tiempo?\nFundamento jurídico invocadoArtículo 15 del RGPD: derecho de acceso a los datos personales\nEl marco jurídico:El artículo 12, apartado 3, concede al responsable del tratamiento un plazo de un mes a partir de la recepción (prorrogable previa justificación). Dicho plazo no había vencido en el momento de la publicación, y este expediente no alega ningún incumplimiento del plazo. La objeción se refiere al fondo del asunto: la respuesta final incluye un enlace a una página de autoservicio, pero no demuestra que se hayan facilitado las cuatro categorías de datos mencionadas; además, si el responsable del tratamiento se niega a actuar, el artículo 12, apartado 4, le obliga a exponer los motivos y las vías de reclamación. Ninguno de estos elementos figura en la respuesta final.\nPor qué son importantes estos datos concretos\n\nEl registro de eventos de claves de la API web es el registro que muestra si un tercero ha registrado una clave utilizando una cookie de sesión robada — el mecanismo descrito en las denuncias por robo de inventario conservadas en el archivo de este expediente—. Revelar quién registró una clave de API, desde qué dirección IP y en qué momento:\n\nPermitir a la víctima comparar la dirección IP de creación de la API con su propio historial de inicio de sesión\nRevelar las direcciones IP de centros de datos vinculadas a infraestructuras conocidas de phishing o de bots de apuestas\nAportar pruebas que puedan utilizarse en procedimientos civiles o penales contra el autor\nIndica si se notificó al titular de la cuenta cuando se creó la clave\nLo que consta en el expediente: Valve conserva registros a nivel de dispositivo y de correlación de cuentas; la carta de su asesor jurídico, de 1 de octubre de 2025, los describe (véase el Apéndice A, Memorándum de pruebas — Fuente 1). En el ticket HT-2YBP-F7JP-D4VB, el interesado solicitó el mismo tipo de registros y el ticket se cerró remitiéndole a una página de autoservicio que, según informó el interesado, no los contenía. La legalidad de dicha denegación es una cuestión que compete a la autoridad de control; el resultado es que el interesado no recibe los datos.\nEl intercambio: cuatro mensajes, tres días\n\nDos agentes de atención al cliente de Steam respondieron utilizando los nombres de pila que figuraban en el ticket: «Logen» el 17 de septiembre y «Kal» el 19 de septiembre. Ambos remitieron al solicitante a la página de datos de la cuenta. En el ticket no hay nada que indique si la solicitud llegó al equipo de privacidad o al responsable de protección de datos de Valve, y el expediente no especifica quiénes son los agentes, cuáles son sus funciones ni cómo se tramitó el ticket.\n\n16 de septiembre\nSolicitud en virtud del artículo 15 presentada con cuatro categorías de datos especificadas\n17-18 de septiembre\nConsulta sobre los datos de la cuenta; el solicitante pide que se remita el asunto al responsable de protección de datos\n19 de septiembre\nIncidencia cerrada con la misma referencia; sin datos, sin fundamento indicado.\n¿A qué derechos da derecho explícitamente al interesado el artículo 15 del RGPD?\nArt. 15, apartado 1, letra a)Finalidades del tratamiento: por qué Valve conserva los datos\nArt. 15, apartado 1, letra b)Categorías de datos: qué contiene Valve\nArt. 15, apartado 1, letra c)Destinatarios o categorías de destinatarios — quién recibió los datos (p. ej., el titular de la clave API)\nArt. 15, apartado 1, letra d)Plazo de conservación o criterios para determinarlo\nArt. 15, apartado 3Una copia de los datos personales objeto de tratamiento, es decir, el propio registro de claves API\nART. 12, apartado 3Se requiere una respuesta en un plazo de un mes a partir de la fecha de recepción; cualquier prórroga deberá comunicarse en el plazo de ese mes. El plazo aún no había vencido en el momento de la publicación. Art. 12, apartado 4: Si el responsable del tratamiento no toma medidas, deberá explicar los motivos e informar al interesado de las vías de reclamación.\nProcedimiento de reclamación ante las autoridades reguladoras — para cualquier usuario\n\nCualquier usuario que haya presentado una solicitud en virtud del artículo 15 del RGPD a Valve y no haya recibido una respuesta conforme (o una respuesta de denegación con un texto predefinido sin datos) podrá presentar una reclamación ante la autoridad de control de su Estado miembro de la UE o del EEE. El establecimiento de Valve en la UE es Valve GmbH, con sede en Hamburgo, por lo que la autoridad de control principal para las reclamaciones transfronterizas es la Delegado de Hamburgo para la Protección de Datos y la Libertad de Información (HmbBfDI). (El representante a que se refiere el artículo 27 de Valve también tiene su sede en Hamburgo; la dirección de un representante no determina por sí sola cuál es la autoridad competente.) También se puede presentar una reclamación ante la autoridad del propio Estado miembro del reclamante, con arreglo al artículo 77.\n\nFormulario de reclamaciones de HmbBfDI ↗ Texto del RGPD (artículos 12, 15 y 77) ↗ archivado 2026-09-20 ↗Directrices del CEPD ↗\n\nNúmero de referencia del ticket para cualquier reclamación: HT-2YBP-F7JP-D4VB — que se recoge en este expediente como un caso documentado.\n\nUn caso documentado\nLos registros existen; el interesado no los ha recibido.\n\nEl abogado de Valve describió los registros de correlación a nivel de dispositivo en una carta de 1 de octubre de 2025. El 19 de septiembre de 2026 se archivó una solicitud en virtud del artículo 15 relativa a la misma clase de registros, remitiéndose al solicitante a una página de autoservicio que, según este, no contenía dichos registros, sin que se indicara el fundamento jurídico correspondiente. El ticket HT-2YBP-F7JP-D4VB es un caso documentado; si esto refleja una práctica más generalizada es una cuestión que debe resolver la autoridad de control, que puede solicitar a Valve sus registros de tramitación.\n\nArtículos 12, 15 y 77 del RGPD / Autoridad de control\n\nSe puede presentar una reclamación en virtud de los artículos 12 y 15 directamente ante la autoridad de control competente sin coste alguno (artículo 77). La autoridad podrá imponer medidas correctoras, incluidas órdenes de cumplimiento de la solicitud de acceso, y multas con arreglo al artículo 83, apartado 5, letra b), por vulneraciones de los derechos de los interesados. Conservar la referencia original del billete y cualquier respuesta Valve (o la ausencia de la misma) refuerza la reclamación.\n\nConsulta la plantilla del DSAR →\nParte C — Marcos jurídicos · Artículo 19 · Derecho contractual\nEl acuerdo de suscripción frente a la propia arquitectura de la plataforma\nContexto y límites de la fuente\n\nLos autores no son abogados y nada de lo aquí expuesto constituye asesoramiento jurídico. La cita de la SSA procede de la revisión del 10 de septiembre de 2026; una revisión diferente puede tener un texto distinto, y la numeración de las cláusulas ha cambiado a lo largo de las distintas revisiones; comprueba la cláusula con la versión que regulaba la conducta en cuestión. Los argumentos de los artículos 25 y 32 exponen lo que exige el reglamento, no que una autoridad de control haya constatado una infracción. Las cifras del argumento 1 recogen los límites de ámbito de aplicación establecidos en la sección 13.\n\nTres de las disposiciones fundamentales de la SSA chocan con la forma en que está diseñada la plataforma: la prohibición del uso comercial frente a un límite máximo de precios en el «Mercado» que empuja las ventas de alto valor fuera de la plataforma; la cláusula de responsabilidad del usuario por las claves API, frente a un punto final de claves que, antes de 2023, no exigía un segundo factor de autenticación; y la redacción relativa a la aplicación de la normativa, frente a un registro público que no muestra ninguna medida de aplicación por parte de los operadores. Que estas contradicciones afecten a la aplicabilidad es una cuestión que debe resolver un tribunal; en esta sección se exponen los hechos que se presentarían ante un tribunal.\n\nArgumento 1 / Arquitectura de la capitalización bursátil\nEl límite máximo del mercado y la prohibición de uso comercial\n\nEl mercado comunitario Steam tiene un límite máximo de cotización de aproximadamente $1,800. En cinco mercados, según una instantánea obsoleta (23 de septiembre de 2026), 248 categorías de artículos CS2 tienen precios fijos en dos o más de esos mercados que superan dicho límite máximo; dichos artículos no se pueden vender a esos precios en la propia plataforma de Valve. Los propietarios que deseen esos precios recurren a mercados de terceros, que funcionan con cuentas Steam y la API Steam —la SSA las considera de carácter comercial, salvo que se autorice expresamente lo contrario—.\n\nLos artículos superan el límite máximo del Mercado → los mercados de terceros cubren esa diferencia → dichos mercados utilizan cuentas Steam y la API Steam → la SSA prohíbe el uso comercial sin autorización → no se ha publicado ningún registro de autorizaciones. La comisión combinada del Mercado Comunitario, de aproximadamente 15%, se aplica únicamente a las ventas realizadas dentro del Mercado, no a estas transacciones externas.\nArgumento 2 / Arquitectura de seguridad de las claves API\nLa vulnerabilidad de la clave API como un problema de diseño de la plataforma, más que como una negligencia por parte del usuario\n\nAntes de 2023, el punto final de creación de claves API de Steam aceptaba una solicitud POST con un «sessionid» sustraído y generaba una credencial con privilegios elevados. sin confirmación por correo electrónico, sin autenticación de dos factores ni verificación mediante dispositivo. Las denuncias de secuestro de API recopiladas en esta investigación siguen un patrón común: script del atacante, cookie de sesión robada, creación silenciosa de claves e interceptación de transacciones (la carga útil de la solicitud se muestra en la sección 8).\n\nEl artículo 25 del RGPD (protección de datos desde el diseño) y el artículo 32 (seguridad del tratamiento) exigen la adopción de medidas técnicas adecuadas al riesgo. La emisión de una credencial susceptible de ser interceptada en el tráfico de datos sin un segundo factor de autenticación ni notificación al titular es una cuestión de diseño que incumbe al responsable del tratamiento. La cuestión de si, en ese contexto, puede invocarse la cláusula del SSA que atribuye la responsabilidad al usuario es competencia de los tribunales y de la autoridad de control.\n\nArgumento 3 / Visibilidad en tiempo real\nValve recibe el nombre de host de autenticación en cada inicio de sesión\n\nEl nombre de host de autenticación llega al punto final OpenID de Valve en texto sin cifrar en openid.return_to y openid.realm (la estructura de la solicitud se muestra en la sección 3). Su extracción es una operación estándar. A fecha de 2026-09-22, en 26 pares, el dominio principal figuraba en el filtro de enlaces, mientras que el host que albergaba su inicio de sesión Steam no lo hacía. Valve no ha publicado ningún registro de aplicación por operador, por lo que, a partir de los datos públicos, no se puede determinar si se ha aplicado alguna medida distinta del filtro de enlaces a estos hosts.\n\n¿Quién corre con los gastos?\nLa tendencia observada en las reclamaciones archivadas\n\nEn las reclamaciones analizadas, la respuesta del servicio de atención al cliente de Steam ante una denuncia de suplantación de una clave API sigue siempre el mismo patrón: rechazar la restauración, hacer hincapié en la responsabilidad del usuario respecto a la cuenta y su clave API, y cerrar el ticket. En este informe no se estima ninguna cifra global sobre el número de cuentas afectadas ni sobre el valor perdido; tampoco se ha localizado ninguna fuente que proporcione dicha cifra.\n\nLa cuestión no es si los usuarios individuales cometieron errores. La cuestión es quién es responsable de una arquitectura que, hasta 2023, permitía que una solicitud POST con una cookie robada creara una credencial de negociación con privilegios elevados sin notificación alguna y sin autenticación de dos factores.\nEl SSA como documento frente al SSA como contrato\nUn tribunal que evaluara este expediente no interpretaría la SSA de forma aislada.\n\nLo leería junto con la carta del abogado de octubre de 2025 en la que se describen la correlación a nivel de dispositivo, las fechas de registro del host de autenticación, las marcas de tiempo de registro por lotes, la carga útil de la solicitud de la clave API y los diez años transcurridos entre las notificaciones de julio de 2016 y las plataformas que seguían operando en septiembre de 2026. Ese es el expediente que Valve tendría que abordar.\n\nSSA en relación con el expediente / puntos clave\n«Sin uso comercial»: el límite máximo del mercado empuja las ventas de alto valor hacia mercados comerciales de terceros\n«Los usuarios son responsables de las claves API»: no habrá autenticación de dos factores en el punto final de las claves hasta 2023\n«Tomamos medidas contra los infractores»: no se ha publicado ningún registro de sanciones por operador desde julio de 2016\n«Has aceptado las condiciones»: en el patrón de secuestro, la aceptación la envía un script, no el titular de la cuenta.\nConclusión · Lo que se desprende del expediente y lo que solicitamos\nLas conclusiones. Los documentos que solicitamos.\nContexto y límites de la fuente\n\nCada una de las conclusiones que figuran a continuación está vinculada a un registro público con fecha concreta que aparece en las secciones anteriores. Las solicitudes se dirigen a las autoridades que pueden obtener lo único a lo que esta investigación no tiene acceso: los propios registros de aplicación, acceso y tratamiento de Valve.\n\nCada solicitud se basa en una conclusión fechada. Las autoridades pueden solicitar documentos que esta investigación basada en fuentes públicas no puede exigir.\n\nLo que se desprende de los registros públicos\n44 plataformas activas se autentican a través de un dominio independiente registrable: 27 con un archivo de pruebas publicado por ruta y 17 procedentes de una recopilación manual y que figuran por separado. A fecha de 2026-09-22, 26 pares tenían el dominio principal bloqueado en el filtro de enlaces Steam, mientras que el servidor que alojaba su página de inicio de sesión no lo estaba: csgogem.com bloqueado, api.csgem.com registrado desde marzo de 2014. Steam recibe ese nombre de host en openid.realm y openid.return_to cada vez que se inicie sesión. Sección 3\nEl 13 de julio de 2016, Valve dio a conocer públicamente dicho mecanismo y lo prohibió, y las notificaciones de su abogado, de fecha 20 de julio de 2016, fijaron un plazo de diez días. En los diez años transcurridos desde que venció dicho plazo, no se ha publicado ningún registro de medidas coercitivas por operador. Artículo 11\nEl punto final de la clave de la API web Steam emitía una credencial con privilegios elevados y apta para operaciones bursátiles basándose únicamente en una cookie de sesión, sin ningún factor de autenticación adicional antes de 2023. Sección 5\nUna solicitud en virtud del artículo 15 del RGPD (ticket HT-2YBP-F7JP-D4VB) se cerró al cabo de tres días con un enlace al autoservicio y sin datos. Artículo 18\nLo que pedimos a cada autoridad\nComisión de Juegos de Azar del Estado de Washington\nVuelve a abrir el expediente de 2016. Solicita un informe detallado, operador por operador, sobre qué cuentas, bots y hosts de retorno se desactivaron tras los avisos de diez días, y qué operadores recuperaron posteriormente el acceso. Sección 2\nHmbBfDI (Hamburgo; Valve GmbH)\nComprobar si la respuesta prevista en el artículo 15 cumplió con la obligación del responsable del tratamiento y exigir la divulgación de los registros de registro y acceso de la clave API pertinentes para identificar al autor. Artículo 18\nCoordinadores de servicios digitales de la DSA\nIncluye la ruta de auth-host en el registro como aviso y, una vez documentada la información, evalúa si la respuesta de Valve cumple con sus obligaciones. Artículo 16\nCualquier interesado\nUtiliza la plantilla del artículo 15 para solicitar los mismos registros para tu propia cuenta; un registro conservado puede servir para determinar quién inició un restablecimiento o quién creó una clave. Apéndice G\n\nLa única petición que subyace a las cuatro es la misma: publicar los registros relativos a la aplicación de la normativa, el acceso y el tratamiento de datos que solo Valve conserva. Una advertencia en la página de inicio, una carta con un plazo de diez días y una página de autoservicio son manifestaciones de control. Si se ejerció o no dicho control es una pregunta que el registro público no puede responder, pero que sí puede responder un organismo regulador.\n\nAnexos: pruebas documentales principales y materiales de trabajo\nApéndice A — Correspondencia con los abogados\nMemorándum probatorio — material facilitado por la Fuente 1\n\nBase probatoria y estado de las fuentes de la correspondencia con el abogado en la que se basa lo expuesto en los artículos 1, 18 y 19.\n\nBase empírica y estado de la fuente: documentos facilitados por la Fuente 1\nEl usuario cuya expulsión definitiva dio lugar a esta auditoría no es el objeto de la misma. En este informe no se examina si dicha expulsión estuvo justificada, y este expediente no la defiende ni la cuestiona. La cuenta no es lo importante. Lo que importa es el material: Fuente 1 — El titular de la cuenta bloqueada, que recibió la correspondencia que figura a continuación del abogado de Valve en su calidad de interesado de su propia solicitud en virtud del RGPD — facilitó dicha correspondencia y los expedientes adjuntos, junto con el derecho a consultarlos públicamente. Se omite el nombre; los documentos se describen por fecha, metadatos del autor y hash.\n\nDicha correspondencia se envió en respuesta a una solicitud en virtud del RGPD/DSAR. En el transcurso de la misma, el abogado de Valve hizo constar en el expediente, mediante firma, una declaración en la que describía una funcionalidad que el servicio de asistencia de Steam había indicado previamente a los usuarios que no era técnicamente posible. El párrafo que se cita a continuación es dicha declaración.\n\nEl análisis adicional que han realizado los autores del extracto de registro obtenido es omitido en este expediente a la espera de una revisión independiente. Ninguna otra parte de esta investigación se basa en ello.\n\nLa admisión que consta en el expediente: telemetría persistente a nivel de dispositivo\n\nEn el apartado 1.9 de la carta atribuida al abogado de Valve, los abogados de Valve afirman: «Entre 2019 y 2023, esta cuenta se utilizó principalmente desde un dispositivo que también se empleó para iniciar sesión en docenas de cuentas Steam robadas».\n\nEl hecho: El abogado de Valve describe aquí la correlación a nivel de dispositivo entre cuentas a lo largo de cuatro años. El servicio de asistencia de Steam ha comunicado a las víctimas de robos que el seguimiento de los artículos robados o la vinculación de cuentas a dispositivos no era técnicamente posible. Steam Guard La autorización de dispositivos está documentada públicamente, por lo que la existencia de registros por dispositivo no es en sí misma una novedad; lo que sí es nuevo es la confirmación por escrito del abogado de que dichos registros se conservan y se correlacionan entre cuentas a lo largo de períodos de varios años.\n\nPor qué es importante: La correlación que puede vincular un dispositivo con docenas de cuentas pirateadas a lo largo de cuatro años corresponde al mismo tipo de registro que, según el Servicio de Asistencia, no podía facilitar a las víctimas. Los registros de ese tipo permitirían identificar cuentas y dispositivos en una cadena de robo y reventa. Qué registros existen, cuánto tiempo se conservan y en qué se basa la decisión de no facilitárselos a los interesados son cuestiones que debe abordar la autoridad de control.\n\nFuente: carta del abogado de Valve, con fecha del 1 de octubre de 2025, apartado 1.9, y su anexo en formato PDF de 830 páginas · recibida por la Fuente 1 en respuesta a una solicitud en virtud del artículo 15 del RGPD · SHA-256 del anexo registrado en disclosure-audit.json · No se reproduce el texto de la carta; se omiten los nombres de las cuentas y los datos de terceros.\n\nEstado: abrir\nLos materiales originales están disponibles en el archivo de pruebas.\nApéndice B — El PDF generado · comprobación de la censura\nLa censura que aparece en el PDF generado es meramente estética: el texto ocultado sigue pudiendo extraerse.\n\nEl abogado de Valve respondió a una solicitud de acceso en virtud del RGPD con un anexo de 830 páginas en el que los datos ocultados se han tachado sobre el texto en lugar de eliminarlos. 902,270 caracteres aparecen debajo de las barras negras y se extraen directamente con una herramienta de extracción de texto — incluidos los identificadores de terceros que las barras debían ocultar. Aquí solo se publican las cifras agregadas; no se reproduce ningún contenido protegido y el propio apéndice no se publica.\n\n1. Resultados de la comprobación geométrica\n\nRespuesta en virtud del artículo 15 del RGPD, con fecha del 1 de octubre de 2025 Iba acompañado de un apéndice en formato PDF de 830 páginas (metadatos del creador de Aspose.PDF para .NET, creados y modificados en la misma fecha). Los autores realizaron una comprobación de la geometría a nivel de página: para cada página, se localizaron los rectángulos opacos, casi negros, superpuestos a la capa de texto y se contaron los caracteres extraíbles que se encontraban debajo de ellos.\n\nMedido en el archivo generado\n902,270\nCaracteres que aún se pueden extraer de debajo de las barras negras\nContados, no estimados. Se trata de un recuento de los personajes incluidos, no de víctimas, reidentificaciones o incidentes.\n830 / 830\nPáginas afectadas: todas las páginas\n986\nRectángulos sobre texto extraíble\n1,329\nRectángulos negros opacos en total\nLas barras negras se superponen a la capa de texto; no la eliminan. El texto que se encuentra debajo de las barras puede extraerse con herramientas estándar de PDF. Solo se publican las cifras globales; aquí no se reproduce ningún contenido oculto.\nDemostración forense: separación de capas\nMAQUETA DE SUPERPOSICIÓN VECTORIAL DE ASPOSE.PDF PARA .NET (APÉNDICE, PÁG. 412)\n\nDenuncia presentada contra la cuenta: [INICIO DE SESIÓN: redacted_user_667]\n\nMotivo indicado por el usuario: [TEXTO: «Un usuario denuncia la presencia de artículos duplicados en el inventario y conductas comerciales abusivas...»]\n\nPrimer plano: <path fill=\"#000\" />Vulnerabilidad: El flujo UTF-8 subyacente permanece intacto\nFuente: Apéndice en formato PDF de la carta del abogado del 1 de octubre de 2025 (830 páginas, metadatos del creador de Aspose.PDF para .NET) · calculado por los autores, método y recuento por página en disclosure-audit.json · El SHA-256 del apéndice se incluye en el mismo archivo · El apéndice en sí no se publica.\n2. Por qué esto es importante para la respuesta del interesado\n\nEl abogado de Valve envió este expediente a un interesado en respuesta a una solicitud de acceso a sus propios datos. Las barras que aparecen son meramente estéticas: el texto que hay debajo nunca se eliminó, por lo que los identificadores de terceros que se pretendía ocultar con esas barras llegaron al destinatario junto con el archivo. Una censura que se elimina con una herramienta de extracción de texto no oculta nada y, además, impide que el destinatario pueda determinar qué información se reveló y cuál no.\n\nEl artículo 15, apartado 4, es la razón por la que existen esas restricciones: el derecho a obtener una copia no debe afectar negativamente a los derechos y libertades de terceros. Esa es la obligación que esta producción no cumplió. Corresponde a la autoridad de control determinar si se trata de una violación de datos personales con arreglo al artículo 4, apartado 12; la divulgación en sí misma es cuantificable en el archivo y reproducible por cualquier persona que disponga de los mismos bytes: el SHA-256 está publicado, pero el anexo no.\n\nLo que había debajo de las barras no eran números de cuenta. Se trataba del conjunto de denuncias presentadas por los usuarios contra el solicitante, con los nombres de sus autores adjuntos: Steam inicios de sesión que, dado que rara vez se utiliza un inicio de sesión únicamente en Steam, identifican a la persona que hay detrás de ellos — Según el recuento de los autores, más de 60% de los usuarios mencionados en el documento son totalmente identificables — junto con el texto original, sin censurar, de lo que escribieron. Dicho texto incluye amenazas de muerte e insultos dirigidos a la nacionalidad del solicitante. Algunas de las personas así identificadas son menores de edad. La producción entregó una lista con los nombres de los periodistas a la persona a la que habían denunciado., que es precisamente el perjuicio que el artículo 15, apartado 4, pretende evitar.\n\nEl orden de los caracteres del archivo es tan importante como su contenido. La solicitud se respondió en un primer momento con la exigencia de aportar más pruebas de identidad, alegando que la dirección de correo electrónico con seudónimo del solicitante no incluía su nombre; la cuenta fue bloqueada de forma permanente durante el retraso que se produjo a continuación. La carta que finalmente facilitó los datos, más de seis semanas después del plazo de un mes establecido en el artículo 12, apartado 3, amenazaba al destinatario con un proceso penal y retenía el resto de sus propios datos hasta que explicara la actividad de su cuenta al abogado. La divulgación también aclara dos cuestiones que Valve no había respondido públicamente: los registros presentados muestran que la vinculación de cuentas se remonta a 2019, y una telemetría interna de una profundidad que Valve nunca ha descrito.\n\nÁmbito de aplicación de esta sección: La observación que aquí se presenta se limita a los aspectos técnicos de la redacción, tal y como se aprecian en el expediente tal y como se ha presentado. El análisis más detallado que han realizado los autores de los registros presentados queda en suspenso a la espera de una revisión independiente y no se tiene en cuenta en ninguna otra parte de este expediente.\n\nPrueba: carta del abogado de 1 de octubre de 2025 y su anexo en formato PDF (SHA-256 registrado en el archivo de auditoría); Medidas y método en PDF a nivel de página ↗. La secuencia de la solicitud, la denegación de la página 8 y la descripción de los registros divulgados se exponen en detalle en el relato de PhishDestroy, «Mi perro contra los abogados expertos en el RGPD», 17 de agosto de 2026 ↗ archivado 2026-08-21 ↗. En este caso se han omitido los nombres de las cuentas y los datos de terceros; no se reproduce nada de lo que quedan ocultos tras las barras.\n\nEn la página 8 de la carta de presentación se deniega parte de la solicitud y se expone el motivo por escrito: No es posible facilitar información más detallada debido a la protección de los datos personales de otros usuarios de la plataforma Steam… — No es posible dar una respuesta más detallada, ya que hay que proteger los datos personales de otros Steam usuarios. El anexo de 830 páginas se encontraba en el mismo paquete. Lo que ocultaban las barras no eran números de cuenta: se trataba de las denuncias presentadas contra el solicitante, con los nombres de sus autores y los mensajes originales sin censurar adjuntos. El titular de la cuenta había solicitado a Valve, a través de su abogado, su propio expediente; lo que pudo extraer de él eran datos de otras personas. Nada de lo que figura en este anexo tiene que ver con quién dibujó los recuadros. Lo que queda claro es que la protección Valve invocada como motivo para la retención es precisamente la protección que esta misma entrega no respetó, en el mismo sobre, el mismo día.\nDocumentación de apoyo y correspondencia jurídica\n\nFuente: https://phishdestroy.io/steam_dossier/es/index#exhibit-gallery-section\n\nApéndice D — Recogida de muestras\nDocumentos primarios seleccionados\n\nSeis registros del archivo: tres incidencias de GitHub en los sistemas de seguimiento de Valve y tres cuentas de Reddit con resultados controvertidos de la asistencia técnica. Cada fuente se mantiene vinculada a la reclamación, al texto guardado y a la cuestión que plantea.\n\n1 / 6 registros seleccionados\nElige un registro de origen\nGH-01 / GITHUBAbrir en la compilación guardada\nClaves de hardware, solicitadas en 2016\n\nValveSoftware / steam-for-linux · n.º 4521 · 2016-06-27\n\nUn usuario solicitó a Valve que admitiera las llaves de hardware U2F como segundo factor de autenticación alternativo. La incidencia guardada lleva las etiquetas «Solicitud de función» y «Revisada», y su estado figura como «abierta».\n\nSolicito que Steam admita los llaveros USB U2F como alternativa.\n\nExtracto de la incidencia de GitHub ↗\nExpediente documentado\nUna solicitud antigua para una medida de seguridad adicional en la cuenta, publicada en el propio sistema de seguimiento de incidencias de Valve y marcada como «revisada».\nExigencia de rendición de cuentas\nPublica la decisión sobre el producto, la fecha de respuesta y la protección concedida tras la revisión.\nLeer el registro guardado →Abrir GitHub ↗\nEn el dossier: Medidas de seguridad de la cuenta →Archivo n.º 484 · compilación 2026-09-17\nGH-02 / GITHUBAbrir en la compilación guardada\nInformes de fallos sin una opción de exclusión efectiva\n\nValveSoftware / steam-for-linux · n.º 6459 · 2019-08-18\n\nEl autor del informe describe un problema con el cliente Steam, detectado el 12 de agosto de 2019 en Ubuntu 16. Afirma que la desactivación del destino de «crash-upload» no se mantuvo tras reiniciar el sistema, e incluye la configuración correspondiente.\n\nSi desactivo la `ServerURL`, se sobrescribe cada vez que se reinicia el sistema.\n\nExtracto de la incidencia de GitHub ↗ archivado 2026-04-19 ↗\nExpediente documentado\nUna reclamación específica sobre privacidad que incluye la fecha del cliente, el sistema operativo y un extracto de la configuración. El incidente guardado está abierto.\nExigencia de rendición de cuentas\nIdentifica la investigación, las versiones afectadas y el cambio que hizo efectiva la exclusión voluntaria.\nLeer el registro guardado →Abrir GitHub ↗archivado 2026-04-19 ↗\nEn el expediente: Solicitar los documentos correspondientes →Archivo n.º 467 · compilación 2026-09-17\nGH-03 / GITHUBAbrir en la compilación guardada\nSe ha notificado un uso indebido de un ticket de autenticación a Valve\n\nValveSoftware / Source-1-Games · n.º 3857 · 2022-02-26\n\nEl autor alega que el equipo de administración del servidor conservó Steam tickets de autenticación después de que los jugadores se desconectaran y utilizó listados de servidores engañosos. En la publicación se pide a Valve que se pronuncie sobre este comportamiento.\n\nHacer que parezca que sus servidores están a rebosar.\n\nExtracto de la incidencia de GitHub ↗\nExpediente documentado\nUna denuncia por abuso público presentada en el sistema de seguimiento de Valve el 26 de febrero de 2022. Su estado guardado es «abierto»; la denuncia incluye enlaces a capturas de pantalla.\nExigencia de rendición de cuentas\nElabora el informe de la investigación y el registro de medidas correctivas relativos al uso indebido del ticket de autenticación que se ha denunciado.\nLeer el registro guardado →Abrir GitHub ↗\nEn el dossier: Alcance del conjunto de datos →Archivo n.º 768 · compilación 2026-09-17\nRD-01 / REDDITPerfil del autor\n44 compras en el mercado objeto de litigio\n\nr/DotA2 · nombre de usuario oculto · 2022-07-07\n\nEl autor informa de 44 compras no autorizadas en Market el 6 de julio de 2022 y de unas pérdidas de aproximadamente $500+. Afirma que la autenticación de dos factores estaba activada y describe las repetidas respuestas tipo que recibió del servicio de atención al cliente.\n\nYa es el segundo ticket que envío y todavía no he recibido ninguna respuesta de Steam que no sea una plantilla copiada y pegada automáticamente.\n\nFragmento de la publicación de Reddit ↗ archivado 2025-03-20 ↗\nExpediente documentado\nUn relato detallado de unas compras objeto de disputa, con enlaces a capturas de pantalla de las transacciones y una respuesta del servicio de atención al cliente. Las cantidades y los hechos son según lo relatado por el autor.\nExigencia de rendición de cuentas\nConciliar las compras objeto de disputa con los registros de transacciones y de sesiones. Explicar los fundamentos en los que se basa la decisión del servicio de atención al cliente.\nLeer el registro guardado →Abrir Reddit ↗archivado 2025-03-20 ↗\nEn el dossier: Apoyo y cumplimiento →Archivo n.º 4,533 · compilación 2026-09-17\nRD-02 / REDDITPerfil del autor\nUna suspensión definitiva y la imposibilidad de recurrir\n\nr/ohnePixel · nombre de usuario oculto · 2024-12-09\n\nEl autor cuestiona la suspensión permanente y afirma que el servicio de asistencia se basó en una supuesta transferencia de cuenta y en denuncias de la comunidad. Describe los tickets cerrados y sus planes de solicitar sus datos personales.\n\nLes expliqué mi situación y les pedí más detalles, pero se mantienen firmes en su decisión y van a cerrar mis incidencias.\n\nFragmento de la publicación de Reddit ↗\nExpediente documentado\nUna descripción de la apelación conservada, que incluye los motivos que, según el autor, respaldan la ayuda prestada y enlaces a cuatro imágenes. La fecha de la publicación procede de la exportación de la ayuda seleccionada.\nExigencia de rendición de cuentas\nIdentifica las pruebas en las que se basa la prohibición permanente y los recursos disponibles para impugnarla. El hecho de desestimar un recurso no explica la decisión.\nLeer el registro guardado →Abrir Reddit ↗\nEn el expediente: Solicitar los documentos correspondientes →Archivo n.º 4,766 · compilación n.º 2026-09-17\nRD-03 / REDDITPerfil del autor\nUn reinicio de la recuperación y una pérdida declarada de $10,000\n\nr/legaladvice · nombre de usuario oculto · 2025-05-09\n\nEl autor alega que el servicio de atención al cliente restableció las credenciales y desactivó las medidas de protección de la cuenta después de que otra persona presentara una solicitud de recuperación. Denuncia una pérdida de aproximadamente US$10,000 de una cuenta inactiva.\n\nSteam El servicio de asistencia me ha restablecido la contraseña y ha desactivado todas las medidas de seguridad de mi cuenta.\n\nFragmento de la publicación de Reddit ↗\nExpediente documentado\nUna denuncia conservada sobre cómo el proceso de recuperación anula las medidas de seguridad de la cuenta. La publicación guardada recoge lo que, según el autor, le comunicó el servicio de atención al cliente.\nExigencia de rendición de cuentas\nIdentifica quién autorizó el restablecimiento, las pruebas de titularidad que se aceptaron y el registro de acceso. La recuperación de la cuenta forma parte de los controles del sistema de seguridad Valve.\nLeer el registro guardado →Abrir Reddit ↗\nEn el expediente: Solicitar los documentos correspondientes →Archivo n.º 4,592 · compilación 2026-09-17\n\nSeis registros seleccionados. Las descripciones de GitHub recogen la compilación guardada. Las publicaciones de Reddit conservan los relatos de los autores.\n\nDescarga los seis discos ↓\n\nLa versión con función de búsqueda contiene 16,319 registros distintos: 393 en Trustpilot, 5,635 en Reddit, 2,395 en GitHub, 276 entradas en la web y 7,620 en la wiki. Varias entradas pueden referirse al mismo evento. La exportación principal, de 40,448 filas, tiene un alcance diferente.\n\nBuscar en todo el archivo ↗ · Generar manifiesto ↗ · Ámbito y recuentos del conjunto de datos →\n\nApéndice E — Estudio de caso\nArchiSteamFarm y la cláusula de automatización\n\nUna herramienta de código abierto para la «farming» de tarjetas que, según su propia sección de preguntas frecuentes, funciona en millones de cuentas, lo que contraviene la cláusula del Acuerdo de Suscripción (§ 4.C) que prohíbe la automatización. Los mecanismos —lo que una granja tiene que comprar a Valve antes de poder producir nada, por qué todas las formas de cobrar una tarjeta incumplen la licencia, el historial de aplicación de la normativa y quién modera la economía de las tarjetas— se describen detalladamente en Anexo V ↗.\n\nEl Contrato de Suscripción Steam, en su apartado 4.C, establece lo siguiente:\n\n«No está permitido utilizar ningún tipo de script, bot, macro u otros sistemas no controlados por personas («automatización») para interactuar de ninguna manera con el Contenido y los Servicios de Steam». — Steam Contrato de suscripción, artículo 4.C (vigente) ↗ archivado 2026-09-18 ↗\n\nValve se encarga de hacer cumplir esta cláusula. Lo hace muy bien. Las preguntas frecuentes de ArchiSteamFarm (ASF) — una herramienta de código abierto que, según su propia documentación, se ejecuta en más de unos cuantos millones de cuentas Steam Desde su primer lanzamiento, hace más de 11 años, reproduce tres Steam mensajes del servicio de asistencia en los que se expulsaba de forma permanente a los usuarios que gestionaban redes de bots. Valve detectó las redes, las identificó y las desmanteló. Por lo tanto, la cuestión relevante no es si Valve es capaz de detectar la automatización a gran escala.\n\nLa página web oficial del proyecto ArchiSteamFarm Preguntas frecuentes aborda directamente el riesgo de una prohibición:\n\n«Esto es muy poco probable, teniendo en cuenta que ASF se utiliza en más de unos cuantos millones de cuentas Steam desde su lanzamiento, hace ya más de 11 años; pero sigue siendo una posibilidad, independientemente de la probabilidad real».\n\n«Valve reconoce claramente que existen los «Steam holgazanes», tal y como se afirma aquí, así que, si me preguntas, estoy bastante seguro de que, si no les parecieran bien, ya habrían hecho algo al respecto en lugar de señalar que podrían causar problemas en lo que respecta a VAC. La palabra clave aquí es «juegos de inactividad» (por ejemplo, ASF), y no «juegos de inactividad».\"\n\n— ArchiSteamFarm Preguntas frecuentes, JustArchiNET. Fuente: Wiki de GitHub ↗ · verificado palabra por palabra 2026-09-22\n\nEn la misma sección de preguntas frecuentes, a la pregunta «¿Han expulsado a alguien por eso?» se responde con Sí, y reproduce lo que Steam Support escribió a tres de ellos:\n\n1,000+ bots · prohibido comerciar\n«Parece que esta cuenta se utilizó para gestionar una red de cuentas de bots. El uso de bots constituye una infracción del Acuerdo de suscriptor Steam».\n\nMás de 170 bots · bloqueados de forma permanente, rebajas de invierno de 2017\n«Esta cuenta se utilizó para coleccionar ilegalmente tarjetas coleccionables en Steam, así como para actividades relacionadas, no solo de carácter comercial. La cuenta ha sido bloqueada de forma permanente y el servicio de atención al cliente de Steam no puede ofrecer asistencia adicional sobre este asunto».\n\nMás de 120 bots · bloqueados de forma permanente\n«Esta y otras cuentas se utilizaron para saturar nuestra infraestructura de red, lo que constituye una infracción de las normas de conducta en línea Steam».\n\n— Steam Mensajes de asistencia reproducidos en la ArchiSteamFarm sección de preguntas frecuentes, apartado «¿Han expulsado a alguien por eso?». Fuente ↗ · verificado palabra por palabra 2026-09-22\n\nColoca los dos discos uno al lado del otro. Se identifica a un usuario particular que utiliza 1,000 bots de farming, se le informa de que «el uso de bots constituye una infracción del Steam Acuerdo de Suscriptor» y se le expulsa de forma permanente. Las plataformas comerciales incluidas en este informe gestionan cuentas automatizadas Steam como actividad principal, a una escala mucho mayor, y se autentican a través del propio OpenID de Valve en cada inicio de sesión; sin embargo, no se ha publicado ningún registro de medidas disciplinarias por operador para ninguna de ellas. La cláusula es válida. La cuestión es a quién va dirigida.\n\nAquí no se acusa a la ASF de nada, y su interpretación de la postura de Valve es propia: su autor afirma claramente que «la ASF no está autorizada por Valve». La herramienta se utiliza aquí como instrumento de medición: muestra que Valve detecta redes de bots, las identifica por escrito y las bloquea de forma permanente. Valve puede zanjar la cuestión con una sola frase publicando qué automatización comercial autoriza y el registro, por operador, de las medidas que tomó con respecto al resto.\n\nCómo afecta la «farming» de tarjetas a los ingresos de Valve\n\nLas cartas coleccionables obtenidas en el juego se venden en el Mercado de la Comunidad Steam, que cobra una comisión total de aproximadamente 15% por cada venta realizada en el Mercado; la cuenta debe haber gastado $5.00 USD en Steam antes de poder recibir una tarjeta; y para obtener tarjetas es necesario poseer el juego o realizar compras dentro del mismo. Aquí no se estima ninguna cifra de ingresos totales: la escala operativa se indica únicamente tal y como la describe la sección de preguntas frecuentes de ASF. La sección de preguntas frecuentes también recoge Valve características distintivas \"Steam ociosos\" (obtención de cartas) de «jugadores que no hacen nada»; véase el Preguntas frecuentes sobre la peste porcina africana ↗. Las normas se describen detalladamente en Anexo V — la escala y la trampa del uso comercial.\n\nAsuntoArchiSteamFarm — obtención automática de tarjetas\nEscala indicadaMillones de cuentas (según las preguntas frecuentes de la ASF; no se ha verificado el número exacto de cuentas activas)\nContados, no citados10,880,610 entradas API en total en el propio grupo Steam de la ASF (5,360,499 sin límite, tal y como muestra Steam): los «millones» de las preguntas frecuentes no son una cifra aproximada, sino un recuento. 88.97% no conllevan Steam prohibición de ningún tipo. Censo completo de las prohibiciones ↗\nInformación que figura en la propia documentación de la herramienta\nASF inicia sesión en las cuentas en modo sin interfaz gráfica y mantiene los juegos en espera para obtener cartas sin iniciar el cliente Steam (según la documentación del proyecto).\nEn la sección de preguntas frecuentes se argumenta que Valve es consciente de la existencia de los «Steam holgazanes» y que «si no les parecieran bien, ya habrían hecho algo al respecto».\nNo se ha informado de ninguna medida coercitiva específica en más de 11 años (según las preguntas frecuentes); las ventas de tarjetas resultantes dentro del Community Market conllevan una comisión combinada de Steam, que asciende a unos 15%.\nEn la sección de preguntas frecuentes se establece un límite máximo recomendado de diez cuentas por operador y se atribuye a Valve: «Esta recomendación se basa en directrices internas de Valve, así como en nuestras propias sugerencias». Valve no ha publicado ninguna directriz de este tipo.\nLímite técnico, según la misma sección de preguntas frecuentes: «Se pueden ejecutar entre 100 y 200 bots con una sola dirección IP y una sola instancia de ASF».\nEl tiempo de juego «farmado» lo registra Valve —«suele actualizarse cada 30 minutos aproximadamente»— y el apartado § 4.C incluye «Falsificar estadísticas de juego (por ejemplo, inflar el número de victorias o derrotas, la XP o el tiempo de juego)» como una acción prohibida.\nFuentes\nWiki oficial de preguntas frecuentes de JustArchi ASF ↗ ArchiSteamFarm repositorio ↗ archivado 2026-09-24 ↗\nLa cláusula sobre automatización es explícita; en las preguntas frecuentes de la ASF se afirma desde hace años que la herramienta se utiliza en millones de cuentas; no se ha informado de ninguna medida coercitiva específica contra ella. La discrepancia entre la norma y su aplicación queda reflejada en los registros; aquí no se establece la razón de dicha discrepancia.\nExposición completaLa economía de las tarjetas: el proceso, la escala, la licencia y quién la regula ↗Lo que una granja tiene que comprar a Valve antes de poder producir una sola tarjeta; las dos líneas del § 4.C que definen la «granja de tarjetas» por sus efectos; por qué cualquier forma de canjear una tarjeta incumple la licencia Valve, mientras que Valve cobra una tarifa en la entrada; el historial de cumplimiento, incluida la oleada de VAC de junio de 2025 y la prohibición en cadena por número de teléfono compartido; y los empleados de Valve y moderadores de la comunidad que se encargaban de gestionar los servicios de intercambio de tarjetas y la lista de prohibidos en torno a Steam.El censo de las prohibicionesNo le preguntamos a Valve qué tamaño tiene la granja. La medimos. ↗10,880,610 cuentas en total (limitadas y no limitadas) leídas del grupo Steam propio de ArchiSteamFarm, al que el software se une automáticamente por defecto al iniciarse por primera vez, a menos que el usuario desmarque la opción de unirse al grupo (lo que incluye tanto a las granjas de bots comerciales como a los jugadores habituales que mantuvieron la configuración predeterminada). 88.97% no tiene ninguna Steam suspensión de ningún tipo; de los 11% que sí la tienen, 99.8% son suspensiones comunitarias meramente simbólicas que nunca impiden seguir operando. Tras cotejarlo con SteamRep, 67.77% de los estafadores de la lista quedan en libertad una vez que se dejan de lado las sanciones del sistema antitrampas. Con desgloses por fecha de registro, ubicación geográfica y permanencia: la escala real, medida, no narrada.\n\nAppendix F — Working ledger\n\nRules ledger: clauses against recorded platforms\n\nElige una regla; el registro muestra las plataformas registradas etiquetadas bajo ella, junto con su dominio principal, el servidor de autenticación declarado y el resultado guardado del filtro de enlaces. Si se trata de una página web bloqueada o de otro dominio para iniciar sesión, sigue la regla hasta llegar a la ruta que queda.\n\n175registros vinculados\na esta norma\n174 dominios principales0 Menciones de C&D\nEXTRACTO DE LA NORMA / SSA § 2.G\nUso comercial y facturación de la cuenta\n“…exploit the Content and Services or any of its parts for any commercial purpose, except as expressly permitted elsewhere in this Agreement (including any Subscription Terms or Rules of Use).”\nSIGUE LOS RESULTADOS\nRegistro de la plataforma 175\nLas cifras a escala son estimaciones de las fuentes.\n\n175 de los discos de «175»\n\nServicio / grupo matriz\tDominio principal / registro\tDominio de autenticación observado / antigüedad\tEscala / respuesta registrada\n\nCasino\n\tcsgoempire.com\n11.3 yearsRegistered 2015-06-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncsgoempirelogin4.com\n6.2 yearsRegistered 2020-07-20\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Roulette\n\trustreaper.com\n23.2 yearsRegistered 2003-06-24\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nrustreaper.com\n23.2 yearsRegistered 2003-06-24\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Casino\n\trustly.com\n12.4 yearsRegistered 2014-05-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nrustly.com\n12.4 yearsRegistered 2014-05-06\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRoulette Casino\n\tcsgofast.com\n11.5 yearsRegistered 2015-03-27\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nsteam-login.authtofast.com\n83 daysRegistered 2026-06-30\nRDAP ↗ · authtofast.com (parent)\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrypto Casino\n\tduelbits.com\n6.6 yearsRegistered 2020-02-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nswitchflips.com\n6.4 yearsRegistered 2020-04-21\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opener\n\tfarmskins.com\n10.5 yearsRegistered 2016-03-23\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nsteam.kobal.cc\n9.7 yearsRegistered 2017-01-07\nRDAP ↗ · kobal.cc (parent)\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tcsgoluck.com\n9.3 yearsRegistered 2017-05-18\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncsgoluck.com\n9.3 yearsRegistered 2017-05-18\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\tinsane.gg\n7.5 yearsRegistered 2019-04-02\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.insane.gg\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tcs2skin.com\n3.5 yearsRegistered 2023-03-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncs2skin.com\n3.5 yearsRegistered 2023-03-06\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tjuice.gg\n7.9 yearsRegistered 2018-10-19\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nletmeinjuice.com\n2.4 yearsRegistered 2024-04-15\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tggdrop.com\n8.6 yearsRegistered 2018-02-23\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nggauth.com\n3.4 yearsRegistered 2023-05-03\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Casino\n\thowl.gg\n9.5 yearsRegistered 2017-03-16\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nhowl.uno\n41 daysRegistered 2026-08-11\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tchicken.gg\n5.7 yearsRegistered 2021-01-11\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nchicken.gg\n5.7 yearsRegistered 2021-01-11\nWHOISFREAKS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tcsgocasino.gg\n2.6 yearsRegistered 2024-02-17\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.csgocasino.gg\n2.6 yearsRegistered 2024-02-17\nWHOISFREAKS ↗ · csgocasino.gg (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Casino\n\thunt.gg\n6.9 yearsRegistered 2019-11-04\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.hunt.gg\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Battles\n\tcsbattle.com\n9.8 yearsRegistered 2016-12-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncsbattle.com\n9.8 yearsRegistered 2016-12-10\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tskinrave.gg\n3.1 yearsRegistered 2023-08-16\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.skinrave.gg\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tcsdouble.gg\n261 daysRegistered 2026-01-03\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncsdouble.gg\n261 daysRegistered 2026-01-03\nWHOISFREAKS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Roulette\n\trustchance.com\n8.0 yearsRegistered 2018-10-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nhgfuihd.com\n7.6 yearsRegistered 2019-01-27\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Automation\n\tcobaltlab.tech\n3.5 yearsRegistered 2023-03-30\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncobaltauth.com\n1.7 yearsRegistered 2025-01-07\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Roulette\n\traided.gg\n171 daysRegistered 2026-04-03\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.raided.gg\n171 daysRegistered 2026-04-03\nIP2WHOIS ↗ · raided.gg (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Casino\n\trustneo.gg\n1.3 yearsRegistered 2025-06-20\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nrustneo.gg\n1.3 yearsRegistered 2025-06-20\nIP2WHOIS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tsplits.gg\n3.7 yearsRegistered 2023-01-23\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nsplits.gg\n3.7 yearsRegistered 2023-01-23\nIP2WHOIS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Upgrader\n\tupgrader.pro\n1.2 yearsRegistered 2025-07-02\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nupgauth.space\n38 daysRegistered 2026-08-14\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tskin.fans\n8.2 yearsRegistered 2018-07-13\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.skinfans.com\nRegistry date unavailableRegistry date unavailable\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\thotpizza.one\n1.8 yearsRegistered 2024-12-07\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nhotpizza.one\n1.8 yearsRegistered 2024-12-07\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tg4skins.com\n10.1 yearsRegistered 2016-08-09\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.g4s.to\nRegistry date unavailableRegistry date unavailable\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Gambling\n\ttf2royal.com\n4.1 yearsRegistered 2022-08-17\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ntf2auth.com\n5.2 yearsRegistered 2021-07-27\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Gambling\n\ttf2hunt.com\n8.7 yearsRegistered 2018-01-13\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nrstspcl.com\n6.1 yearsRegistered 2020-08-08\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Gambling\n\ttf2.bet/coinflip\n8.4 yearsRegistered 2018-05-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ntf2.bet\n8.4 yearsRegistered 2018-05-06\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\topenstars.gg\n131 daysRegistered 2026-05-13\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nopenstars.gg\n131 daysRegistered 2026-05-13\nIP2WHOIS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\tskins.com\n25.1 yearsRegistered 2001-08-08\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.skins.com\n25.1 yearsRegistered 2001-08-08\nRDAP ↗ · skins.com (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Market\n\twhite.market\n9.6 yearsRegistered 2017-03-01\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nwhite.market\n9.6 yearsRegistered 2017-03-01\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Market\n\tmoon.market\n7.6 yearsRegistered 2019-02-27\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nmoon.market\n7.6 yearsRegistered 2019-02-27\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Market\n\tcsfloat.com\n5.2 yearsRegistered 2021-07-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncsgofloat.com\n11.0 yearsRegistered 2015-09-29\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Market\n\tskin.land\n4.7 yearsRegistered 2022-01-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.skin.land\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Market\n\thaloskins.com\n2.8 yearsRegistered 2023-12-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nhaloskins.com\n2.8 yearsRegistered 2023-12-10\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCorporate Market\n\tbuff.163.com\n29.0 yearsRegistered 1997-09-15\nRDAP ↗ · 163.com (parent)\nOpen Steam Link Filter ↗Filter status is a separate check\t\nbuff.163.com\n29.0 yearsRegistered 1997-09-15\nRDAP ↗ · 163.com (parent)\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Marketplace\n\tmarket.csgo.com\n26.6 yearsRegistered 2000-02-07\nRDAP ↗ · csgo.com (parent)\nOpen Steam Link Filter ↗Filter status is a separate check\t\ndota2.net\n14.9 yearsRegistered 2011-10-29\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRegulated Market\n\tskinport.com\n8.0 yearsRegistered 2018-09-05\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nskinport.app\n6.3 yearsRegistered 2020-06-20\nRDAP ↗\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMarketplace/Swap\n\tskinflow.gg\n3.8 yearsRegistered 2022-11-26\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.skinflow.gg\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Market\n\tskin.place\n6.0 yearsRegistered 2020-09-23\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.skin.place\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Swap\n\tskinsmonkey.com\n5.7 yearsRegistered 2021-01-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nskinsmonkey.com\n5.7 yearsRegistered 2021-01-06\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCorporate Market\n\tskinbaron.de\nRegistry date unavailableRegistry date unavailable\nOpen Steam Link Filter ↗Filter status is a separate check\t\nskinbaron.com\n10.7 yearsRegistered 2015-12-22\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Market\n\trust.tm\nRegistry date unavailableRegistry date unavailable\nOpen Steam Link Filter ↗Filter status is a separate check\t\ndota2.net\n14.9 yearsRegistered 2011-10-29\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Swap\n\tpirateswap.com\n6.0 yearsRegistered 2020-09-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nlogin.pirateswap.com\n6.0 yearsRegistered 2020-09-22\nRDAP ↗ · pirateswap.com (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Marketplace\n\tmannco.store\n8.6 yearsRegistered 2018-03-02\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nmannco.store\n8.6 yearsRegistered 2018-03-02\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Swap\n\tskinswap.com\n9.9 yearsRegistered 2016-11-14\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.skinswap.com\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Market\n\texeskins.com\n2.1 yearsRegistered 2024-08-14\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nexeskins.com\n2.1 yearsRegistered 2024-08-14\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Market\n\tbalticskins.com\n153 daysRegistered 2026-04-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nbalticskins.com\n153 daysRegistered 2026-04-21\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Swap\n\tcs.trade\n8.9 yearsRegistered 2017-11-14\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncs.trade\n8.9 yearsRegistered 2017-11-14\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\trapidskins.com\n4.5 yearsRegistered 2022-03-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.rapidskins.com\n4.5 yearsRegistered 2022-03-11\nRDAP ↗ · rapidskins.com (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\ttradeit.gg\n9.1 yearsRegistered 2017-08-21\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nconnect-tradeit.com\n4.6 yearsRegistered 2022-02-23\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\t49skins.com\n3.4 yearsRegistered 2023-04-19\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.49skins.com\n3.4 yearsRegistered 2023-04-19\nRDAP ↗ · 49skins.com (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\tskinvault.gg\n3.4 yearsRegistered 2023-05-06\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.skinvault.gg\n3.4 yearsRegistered 2023-05-06\nIP2WHOIS ↗ · skinvault.gg (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Trading\n\taim.market\n3.3 yearsRegistered 2023-05-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\naim.market\n3.3 yearsRegistered 2023-05-22\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Sell Portal\n\tskinout.gg\n5.6 yearsRegistered 2021-02-27\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.skinout.gg\n5.6 yearsRegistered 2021-02-27\nIP2WHOIS ↗ · skinout.gg (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkins Trading\n\tntskins.com\n230 daysRegistered 2026-02-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nntskins.com\n230 daysRegistered 2026-02-03\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Portal\n\tgamerpay.gg\n6.0 yearsRegistered 2020-10-02\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ngamerpay.gg\n6.0 yearsRegistered 2020-10-02\nWHOISFREAKS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Scrap Swap\n\tscrap.tf\n14.0 yearsRegistered 2012-09-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nscrap.tf\n14.0 yearsRegistered 2012-09-03\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Cashout\n\tmarketplace.tf\n14.0 yearsRegistered 2012-09-19\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nmarketplace.tf\n14.0 yearsRegistered 2012-09-19\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Cashout\n\tskins.cash\n10.5 yearsRegistered 2016-03-30\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nskinscash.live\n6.8 yearsRegistered 2019-12-05\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tcsgo.net\n14.2 yearsRegistered 2012-07-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\ncn2.easylot.net\n10.0 yearsRegistered 2016-09-03\nRDAP ↗ · easylot.net (parent)\nSEPARATE DOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCommunity Hub\n\tcybershoke.net\n6.8 yearsRegistered 2019-11-18\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.cybershoke.net\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMatchmaker Hub\n\tfastcup.net\n14.6 yearsRegistered 2012-02-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.fastcup.net\n14.6 yearsRegistered 2012-02-16\nRDAP ↗ · fastcup.net (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Analytics\n\tleetify.com\n7.6 yearsRegistered 2019-03-01\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nleetify.com\n7.6 yearsRegistered 2019-03-01\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Analytics\n\tscope.gg\n7.8 yearsRegistered 2018-12-10\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nscope.gg\n7.8 yearsRegistered 2018-12-10\nIP2WHOIS ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Tools\n\ttradeupspy.com\n6.5 yearsRegistered 2020-03-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.tradeupspy.com\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMarketplace\n\tcs.deals\n9.8 yearsRegistered 2016-12-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\napi.cs.deals\n9.8 yearsRegistered 2016-12-03\nRDAP ↗ · cs.deals (parent)\nOWN SUBDOMAINReturn hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Price DB\n\tpricempire.com\n6.6 yearsRegistered 2020-01-30\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\npricempire.com\n6.6 yearsRegistered 2020-01-30\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMass Blackmarket\n\tFSB Market\n7.2 yearsRegistered 2019-07-27\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nFSB Market\n7.2 yearsRegistered 2019-07-27\nRDAP ↗\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nReady-Account Hub\n\tz2u.com\n26.9 yearsRegistered 1999-11-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nwww.z2u.com\n26.9 yearsRegistered 1999-11-10\nRDAP ↗ · z2u.com (parent)\nSAME HOSTSame hostname captured2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Gambling\n\tcsgoroll.com\n11.6 yearsRegistered 2015-02-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nwww.csgoroll.com\nRegistry date unavailableRegistry date unavailable\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrypto Casino\n\trollbit.com\n11.9 yearsRegistered 2014-11-08\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nrbsnin.com\n3 daysRegistered 2026-09-18\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nLicenced Casino\n\t500.casino\n5.9 yearsRegistered 2020-11-08\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRoulette/Slots\n\tcsgobig.com\n11.4 yearsRegistered 2015-04-12\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tcasedrop.com\n14.8 yearsRegistered 2011-12-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Casino\n\tbanditcamp.com\n12.2 yearsRegistered 2014-06-27\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tskinbox.com\n18.8 yearsRegistered 2007-12-20\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\ttastydrop.com\n6.1 yearsRegistered 2020-08-29\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRoulette Casino\n\tcsgopolygon.gg\n6.5 yearsRegistered 2020-03-28\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tmagicdrop.ru\n10.3 yearsRegistered 2016-05-16\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedConsent required2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nDice Casino\n\tcsdice.com\n3.8 yearsRegistered 2022-11-23\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nUpgrader Casino\n\tskinodds.com\n1.2 yearsRegistered 2025-06-26\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\tcsgowin.com\n12.0 yearsRegistered 2014-09-18\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrash Casino\n\tcsgorun.net\n7.3 yearsRegistered 2019-06-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\topenskins.com\n3.6 yearsRegistered 2023-02-26\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Gambling\n\trustbet.com\n7.6 yearsRegistered 2019-02-07\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedConsent required2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\tcsgomagic.com\n9.4 yearsRegistered 2017-05-01\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nUpgrader/Contract\n\tcsgobounty.com\n11.5 yearsRegistered 2015-03-26\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\tezskins.com\n27.5 yearsRegistered 1999-03-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\trustcases.com\n7.2 yearsRegistered 2019-06-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedConsent required2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\tcsgoreaper.com\n11.1 yearsRegistered 2015-08-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tcsgocases.com\n12.3 yearsRegistered 2014-06-08\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Upgrader\n\tcsgo-skins.com\n11.2 yearsRegistered 2015-07-27\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tcsgonet.com\n8.8 yearsRegistered 2017-12-05\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\twtfskins.com\n9.0 yearsRegistered 2017-10-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Casino\n\tflamecases.com\n10.0 yearsRegistered 2016-09-18\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrypto Casino\n\tgamedom.com\n11.7 yearsRegistered 2015-01-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Battles\n\tskin.club\n9.0 yearsRegistered 2017-09-04\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nsc-auth.net\n7.5 yearsRegistered 2019-04-02\nRDAP ↗\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tdaddyskins.com\n9.9 yearsRegistered 2016-10-19\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedConsent required2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Gambling\n\trustix.gg\n1.7 yearsRegistered 2025-01-16\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Upgrade\n\tskins.club\n4.2 yearsRegistered 2022-07-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\tcsgohouse.org\n146 daysRegistered 2026-04-28\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedConsent required2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tskinrave.net\n216 daysRegistered 2026-02-17\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tbloodycase.gg\n19 daysRegistered 2026-09-02\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nClicker/Upgrade\n\tcsgoclicker.com\n8.3 yearsRegistered 2018-05-17\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Roulette\n\trustbet.gg\n4.0 yearsRegistered 2022-09-30\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tcs-drop.com\n262 daysRegistered 2026-01-02\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Roulette\n\thellstore.net\n11.7 yearsRegistered 2015-01-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Casino\n\trustloot.com\n354 daysRegistered 2025-10-02\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCase Opening\n\tcsgo-case.com\n10.3 yearsRegistered 2016-05-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Casino\n\tcsgogem.com\n9.9 yearsRegistered 2016-10-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrypto Casino\n\trainbet.com\n8.8 yearsRegistered 2017-11-26\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nservices.rainbet.com\nRegistry date unavailableRegistry date unavailable\nOWN SUBDOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Casino\n\trustclash.com\n5.4 yearsRegistered 2021-05-09\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrash Casino\n\t12cs.fail\n181 daysRegistered 2026-03-24\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Gambling\n\twww.tf2easy.com\n6.3 yearsRegistered 2020-06-02\nRDAP ↗ · tf2easy.com (parent)\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Gambling\n\ttf2blaze.com\n7.6 yearsRegistered 2019-01-28\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCrypto Casino\n\tshuffle.com\n30.1 yearsRegistered 1996-07-31\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\tbuff.market\n5.9 yearsRegistered 2020-10-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\tavan.market\n8.3 yearsRegistered 2018-05-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTrading Engine\n\tcs.money\n11.0 yearsRegistered 2015-09-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.dota.trade\nRegistry date unavailableRegistry date unavailable\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Market\n\tuuskins.com\n2.6 yearsRegistered 2024-01-29\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMass Market\n\tyoupin898.com\n6.1 yearsRegistered 2020-08-27\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\tc5game.com\n10.5 yearsRegistered 2016-03-20\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Marketplace\n\twaxpeer.com\n7.3 yearsRegistered 2019-05-20\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nwaxpeer.com\n7.3 yearsRegistered 2019-05-20\nRDAP ↗\nSAME HOSTHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nBot Trading\n\tcs.money\n11.0 yearsRegistered 2015-09-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nauth.dota.trade\nRegistry date unavailableRegistry date unavailable\nSEPARATE DOMAINHost in supplied OpenID URL2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nUS Marketplace\n\tdmarket.com\n30.2 yearsRegistered 1996-07-03\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nOfficial Market\n\tsteamcommunity.com/market\n20.3 yearsRegistered 2006-05-28\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNot an external login site2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTrading Platform\n\tlootfarm.com\n11.9 yearsRegistered 2014-10-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRust Market\n\trustskins.com\n7.6 yearsRegistered 2019-01-31\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCS2 Market\n\tkrakatoa.com\n26.4 yearsRegistered 2000-05-15\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nP2P Marketplace\n\tshadowpay.com\n10.1 yearsRegistered 2016-08-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nChinese Powerhouse\n\tigxe.cn\n15.0 yearsRegistered 2011-09-06\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nAutomated Swap\n\tswap.gg\n9.6 yearsRegistered 2017-01-29\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCash-out Portal\n\tbitskins.com\n11.2 yearsRegistered 2015-07-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Automation\n\ttf2mart.com\n1.1 yearsRegistered 2025-08-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Auctions\n\tskinbid.com\n10.2 yearsRegistered 2016-06-29\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSkin Rental\n\tlootbear.com\n8.7 yearsRegistered 2018-01-16\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Valuation\n\tbackpack.tf\n14.4 yearsRegistered 2012-05-09\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTF2 Botnet\n\tstntrading.eu\nRegistry date unavailableRegistry date unavailable\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nInstant Cashout\n\tskinwallet.com\n18.0 yearsRegistered 2008-09-14\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nDota 2 Market\n\tdota2market.com\n12.2 yearsRegistered 2014-07-24\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nServer Network\n\txplay.gg\n5.3 yearsRegistered 2021-06-13\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMatchmaking Portal\n\tesportal.com\n26.8 yearsRegistered 1999-12-20\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nLATAM Hub\n\tgamersclub.com.br\n11.2 yearsRegistered 2015-06-29\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Tools\n\tepidemic.gg\n4.9 yearsRegistered 2021-11-03\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Index\n\tcs2stash.com\n3.5 yearsRegistered 2023-03-05\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Index\n\tcsgoskins.gg\n6.8 yearsRegistered 2019-12-21\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Index\n\tsteamanalyst.com\n12.6 yearsRegistered 2014-02-21\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nTrading Exchange\n\tsteamcardexchange.net\n13.3 yearsRegistered 2013-05-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Tracker\n\tdotabuff.com\n14.2 yearsRegistered 2012-06-22\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSaaS Tracker\n\ttracker.gg\n8.9 yearsRegistered 2017-10-12\nIP2WHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nAccount Exchange\n\tfunpay.com\n17.0 yearsRegistered 2009-09-06\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nGrey Market\n\tplayerauctions.com\n26.3 yearsRegistered 2000-06-13\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nAccount Portal\n\teldorado.gg\n8.0 yearsRegistered 2018-09-12\nWHOISFREAKS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMass Key Market\n\tg2a.com\n24.8 yearsRegistered 2001-12-09\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nMass Key Market\n\tkinguin.net\n16.8 yearsRegistered 2009-12-17\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nVirtual Services\n\tg2g.com\n31.1 yearsRegistered 1995-08-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nAccount Broker\n\tplayerup.com\n19.3 yearsRegistered 2007-05-30\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSmurf Shop\n\tsmurfhub.net\n2.7 yearsRegistered 2023-12-26\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSmurf Shop\n\tsmurfaccounts.com\n5.3 yearsRegistered 2021-05-18\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedVerification challenge2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRank Shop\n\tbuycsgorank.com\n6.2 yearsRegistered 2020-07-09\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSmurf Shop\n\tcsgosmurfkings.com\n9.3 yearsRegistered 2017-06-08\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nSmurf Shop\n\tsmurfstore.co\n8.6 yearsRegistered 2018-03-03\nWHOIS ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCard Leveling\n\tsteamlvlup.com\n9.9 yearsRegistered 2016-11-10\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCard Leveling\n\tsteamlevels.com\n10.6 yearsRegistered 2016-02-19\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite returned an error2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCard Leveling\n\tlevelsteam.com\n79 daysRegistered 2026-07-04\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedCheck timed out2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nCard Leveling\n\tsteamlevelu.com\n6.0 yearsRegistered 2020-09-05\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRank Boosting\n\teloking.com\n12.2 yearsRegistered 2014-07-02\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRank Boosting\n\tboosteria.org\n11.9 yearsRegistered 2014-10-20\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nBoosting SaaS\n\tovergear.com\n14.4 yearsRegistered 2012-04-20\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedLogin not resolved2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nBoosting SaaS\n\tblazingboost.com\n14.2 yearsRegistered 2012-06-23\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nRank Boosting\n\tdota2boost.com\n2.9 yearsRegistered 2023-10-11\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedWebsite did not load2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\n\nBoosting SaaS\n\tbuyboost.com\n22.4 yearsRegistered 2004-04-30\nRDAP ↗\nOpen Steam Link Filter ↗Filter status is a separate check\t\nRoute not confirmedNo visible Steam sign-in2026-09-19 · capture ↗\n\tNo sourced measurementSee dated evidence\nEl argumento de la investigaciónNorma seleccionada / análisis y comentarios+\nCarga de la prueba\n\nLa investigación pone de relieve la discrepancia entre las restricciones al uso comercial y los servicios aquí registrados. Clasifica cada actividad y comprueba si existe algún permiso expreso antes de considerarla un incumplimiento contractual. Las tarifas del Mercado Comunitario no se aplican a todas las transacciones comerciales externas.\n\nQué es y qué no es un registro etiquetado\n\nUn registro se marca cuando el expediente contiene una observación fechada que hace que la plataforma entre en el ámbito de aplicación de la cláusula tal y como está redactada. Una marca no equivale a una infracción confirmada, y no se ha presentado en el registro ningún permiso expreso Valve para ninguna de las plataformas aquí enumeradas. Cuando una plataforma cuenta con una autorización, su publicación resuelve la entrada.\n\nFuentes y metodologíaEstimaciones, definiciones y ámbito de aplicación+\n\nLas cifras anteriores se refieren a la regla seleccionada. Los tipos de registros agrupan cada plataforma una sola vez; las etiquetas completas aparecen en los detalles de la plataforma. La búsqueda y los filtros se aplican dentro de esa regla. Las fechas de registro proceden de la instantánea guardada de RDAP / WHOIS. Los subdominios utilizan la fecha de creación del dominio principal. La antigüedad por sí sola no establece un funcionamiento continuo ni una ruta de autenticación. Los nombres de host de autenticación actuales proceden de solicitudes OpenID guardadas, con una marca de tiempo UTC; las comprobaciones sin resolver no reutilizan etiquetas heredadas. El observador se detiene antes del inicio de sesión en Steam y no comprueba el estado del filtro de enlaces de Steam. Descargar observaciones de la ruta ↗ Descargar los resultados del registro ↗\n\nExplora el archivo fuente ↗\nApéndice G — De un modelo de denegación al expediente correspondiente\nManual de actuación DSAR: solicitar las pruebas\n\nRecurre al artículo 15 del RGPD para solicitar los datos personales relacionados con la creación de claves API, la recuperación de cuentas y el acceso al servicio de asistencia. Un registro conservado permite comprobar quién inició una acción y en qué se basó la plataforma.\n\n01\nConserva tu cronología.\n\nGuarda los avisos de la cuenta, los tickets, los identificadores de las transacciones y las fechas en UTC. Protege la cuenta y revisa las opciones de recuperación aplicables al juego y a la transacción.\n\nSteam Información sobre protección comercial ↗\n02\nSolicita los datos que se han conservado.\n\nSolicita las marcas de tiempo, las direcciones IP de origen, los eventos clave del ciclo de vida, las confirmaciones de seguridad y las acciones de recuperación relacionadas con la cuenta. Incluye los eventos de acceso al servicio de asistencia y los destinatarios cuando esos datos te conciernan.\n\n03\nGuarda el albarán de entrega.\n\nUtiliza el canal de contacto de privacidad de Valve. El plazo de respuesta habitual es de un mes; si fuera necesario prorrogarlo hasta dos meses más, deberá justificarse dicha prórroga en el plazo de ese primer mes.\n\nValve vía de contacto sobre privacidad ↗ archivado 2026-09-21 ↗\n04\nCompara la respuesta.\n\nCompara los registros con tu cronología. Pregunta por los motivos de las omisiones y, si es necesario, recurre a la vía de reclamación ante la autoridad supervisora. Conserva la respuesta tal y como la hayas recibido.\n\nÁmbito de aplicación / Artículo 15\n\nEl derecho de acceso abarca los datos personales conservados, incluidos los que figuran en los registros. No garantiza el acceso a todos los documentos internos, registros reconstruidos ni datos sin censurar sobre terceras personas. Solicita una copia legible y que te expliquen los motivos de cualquier restricción.\n\nDirectrices del EDPB sobre el acceso, apartados 2 y 4 a 6 ↗ · Artículos 12, 15 y 77 del RGPD ↗ archivado 2026-09-20 ↗\n\nSolicitud de acceso del interesadoRGPD / Artículo 15\nSeguridad de la cuenta y registros de acceso\n\nSustituye los campos entre corchetes antes de enviar el formulario.\n\nTo: Valve Privacy Team\nSubject: Article 15 GDPR request — account security records\n\nAccount / SteamID: [YOUR ACCOUNT IDENTIFIER]\nRelevant period (UTC): [START] to [END]\nRelated support tickets: [TICKET REFERENCES]\n\nI request a copy of the personal data concerning me that you retain for this period, including:\n\n1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.\n\n2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.\n\n3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.\n\n4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.\n\nPlease also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.\n\nWhere processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.\n\nPlease provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.\n\nPlease acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.\n\nName: [YOUR NAME]\nDate: [DATE]\nQué puede ofrecer una dirección IP de un centro de datos\nUna discrepancia es un indicio que hay que investigar.\n\nUna solicitud de clave API procedente de la red de un centro de datos, como en el ejemplo del proveedor de alojamiento web planteado en esta investigación, puede resultar relevante si se compara con los registros de inicio de sesión, las confirmaciones y la cronología del usuario. Una dirección IP por sí sola no identifica al autor ni anula automáticamente todas las defensas. La prueba de que un autor malintencionado haya facilitado el consentimiento registrado podría poner en duda la validez de dicho consentimiento; otras bases jurídicas y cuestiones de responsabilidad requieren un análisis por separado.\n\nConsulta la denuncia archivada sobre la prohibición y el RGPD →\nApéndice H — Análisis del archivo de Wayback Machine · Estadísticas de asistencia publicadas\nVolumen de asistencia técnica. Tiempos de respuesta publicados.\nContexto y límites de la fuente\n\nValve publica estadísticas diarias de asistencia en store.steampowered.com/stats/support. Los archivos de Wayback Machine conservan instantáneas históricas de esta página desde 2018 hasta 2026. La relación entre el volumen y el número de empleados que se desprende de estas cifras no es compatible con una revisión humana de cada ticket en los tiempos de respuesta publicados.\n\nCompara las cifras de apoyo archivadas de Valve en las instantáneas guardadas. La metodología explica qué es lo que esas cifras pueden y no pueden medir.\n\nVolumen frente al tiempo de respuesta publicado (2018 → 2026)\nDos colas en un servicio de atención al cliente, según se desprende de 21 capturas archivadas.\n\nValve publica las cifras de asistencia en directo en store.steampowered.com/stats/support. Cada punto que aparece a continuación corresponde al límite inferior Valve tal y como figuraba en esa página el día en que Internet Archive la capturó, y no es una estimación nuestra. Ambas series representan la misma medida en la misma unidad, por lo que deben situarse en un mismo eje y pueden compararse directamente entre sí.\n\nSolicitudes de reembolso — dinero Valve disponibleSeguridad y recuperación de la cuenta — la cuenta que has perdido\n0 h\n2 h\n4 h\n6 h\n8 h\n10 h\nno captures · 38 months\n2019\n2020\n2021\n2022\n2023\n2024\n2025\n2026\n8 h 44 m\naccount recovery\n52 m\nrefunds\n15 m — one capture only\n49-55 minEl límite inferior del reembolso en cada captura desde febrero de 2018 hasta agosto de 2026. A lo largo de ocho años y medio, varía en menos de seis minutos, mientras que el volumen diario de reembolsos varía en un factor de nueve.\n2,4 h → 8,7 hEl límite inferior de la recuperación de cuentas se sitúa en torno a las 2,4 horas en todos los registros hasta diciembre de 2022, salvo en uno. En los tres registros de 2026, Valve publica 10,9 h, 5,8 h y 8,7 h.\n×2,8 → ×13Cuánto más lenta es la recuperación que los reembolsos, según las propias cifras publicadas por Valve. Se mantiene estable durante cinco años y luego la diferencia aumenta: la cola que se ha ralentizado es aquella en la que es el usuario, y no Valve, quien corre con los gastos.\n\nFuente: 21 capturas de Wayback Machine de store.steampowered.com/stats/support, de 2018-02-03 a 2026-08-10; extracción en VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json. Lee los límites junto con las cifras: el gráfico representa el inferior límite del rango de Valve impresiones. El límite superior publicado es peor en ambos casos: los reembolsos oscilaron entre 1,5 horas y 1,5 días, y la recuperación, entre 7,0 horas y 3,6 días. Se archivaron dos capturas en una edición localizada de la misma página Valve — 2018-11-03 en checo, 2020-03-25 en francés — y están marcadas como (cs) y (fr) en la tabla; sus cifras aparecen aquí con las palabras de las unidades traducidas y los números tal y como se publicaron, y las cadenas de texto originales se conservan en el archivo de extracción. Cada captura publicó un tiempo de respuesta para ambas colas, y ningún punto de ninguna de las líneas está interpolado. La única cifra de recuperación de 15 minutos, 2020-10-21, está señalada en el gráfico y se ha dejado tal cual: aparece solo en una captura y ninguna otra captura se encuentra dentro de un orden de magnitud de ella. No existe ningún registro entre 2022-12-08 y 2026-02-01; ese vacío de 38 meses en el registro aparece sombreado y no se traza ninguna línea a través de él. Estas cifras describen los tiempos de respuesta publicados. No muestran lo que ocurre en el interior de un ticket, y Valve no ha publicado ninguna cifra de personal con la que compararlas.\n\nAbrir cada captura como una tabla\nTodas las capturas archivadas, tal y como se publicaron\nCaptura\tReembolsos / día\tRespuesta sobre el reembolso\tRecuperación / día\tRespuesta de recuperación\n2018-02-03\t98,788\tDe 50,12 minutos a 1,52 horas\t25,662\tDe 2,51 horas a 1,80 días\n2018-05-07\t60,494\tDe 53,83 minutos a 1,47 días\t24,226\tDe 2,45 horas a 2,22 días\n2018-08-02\t69,084\tDe 50,27 minutos a 1,59 horas\t28,953\tDe 2,44 horas a 22,17 horas\n2018-11-03 (cs)\t63,410\tDe 49,28 minutos a 1,54 horas\t33,910\tDe 2,42 horas a 1,31 días\n2019-02-01\t76,305\tDe 50,13 minutos a 1,52 horas\t35,164\tDe 2,44 horas a 2,04 días\n2019-05-18\t78,951\tDe 51,03 minutos a 3,12 horas\t27,514\tDe 2,46 horas a 20,39 horas\n2019-09-07\t78,941\tDe 50,65 minutos a 1,66 horas\t28,812\tDe 2,42 horas a 13,59 horas\n2019-12-13\t69,589\tDe 50,77 minutos a 1,55 horas\t25,322\tDe 2,45 horas a 1,13 días\n2020-03-25 (fr)\t139,278\tDe 49,45 minutos a 1,53 horas\t32,302\tDe 2,48 horas a 3,62 días\n2020-06-26\t278,504\tDe 48,98 minutos a 2,29 horas\t20,343\tDe 2,39 horas a 6,99 horas\n2020-10-21\t107,633\tDe 50,80 minutos a 1,54 horas\t20,688\tDe 15,33 minutos a 8,62 horas\n2021-03-20\t158,956\tDe 50,80 minutos a 1,64 horas\t25,760\tDe 2,34 horas a 11,62 horas\n2021-06-26\t547,907\tDe 51,93 minutos a 6,73 horas\t29,728\tDe 2,40 horas a 15,63 horas\n2021-10-10\t170,103\tDe 51,88 minutos a 3,25 horas\t23,989\tDe las 2,39 horas a las 13,05 horas\n2022-01-31\t354,386\tDe 53,65 minutos a 8,09 horas\t24,391\tDe 2,42 horas a 15,29 horas\n2022-05-09\t172,555\tDe 51,83 minutos a 1,65 horas\t23,289\tDe 2,41 horas a 16,90 horas\n2022-09-05\t153,453\tDe 53,67 minutos a 4,15 horas\t23,594\tDe 2,45 horas a 1,22 días\n2022-12-08\t181,075\tDe 54,83 minutos a 6,67 horas\t27,111\tDe 2,46 horas a 18,89 horas\n2026-02-01\t317,762\tDe 50,30 minutos a 1,52 horas\t47,197\tDe las 10.91 horas a las 21.30 horas\n2026-05-09\t246,776\tDe 50,12 minutos a 1,52 horas\t35,264\tDe 5,81 horas a 15,60 horas\n2026-08-10\t373,244\tDe 52,05 minutos a 2,07 horas\t45,319\tDe 8,73 horas a 16,52 horas\nOBSERVACIÓN CLAVE:\nA lo largo de 21 capturas de Wayback En el intervalo comprendido entre 2018-02-03 y 2026-08-10, las solicitudes diarias de reembolso oscilaron entre 60,494 (mayo de 2018) hasta 547,907 (Junio de 2021) — un 9,1× de diferencial. La cifra de 2026 es 373,244 (+278% respecto a la de febrero de 2018).\nA lo largo de esos mismos nueve años, el límite inferior publicado para el tiempo de respuesta de las devoluciones nunca se alejó de un 49–55 minutos banda: un movimiento total de menos de seis minutos, mientras que la carga de trabajo subyacente se multiplicó por nueve.\nSi una persona dedicara tan solo 5 segundos a leer cada ticket, procesar 373,244 tickets al día (cifra actual) le llevaría 22 agentes que trabajan las 24 horas del día, los 7 días de la semana solo para abrirlas y cerrarlas; en su momento álgido (547,907, junio de 2021) esa cifra asciende a 32.\nSi el tiempo de respuesta publicado reflejara el tiempo de tramitación por ticket (aprox. 52 min/ticket), la plantilla simultánea necesaria sería del orden de 13,500 agentes al volumen actual y ~20,000 en el pico. No se ha encontrado ninguna cifra contrastada sobre el número de empleados de Valve; por lo tanto, aquí no se ha tenido en cuenta.\nA continuación: la relación entre volumen y número de empleados no es compatible con una revisión humana de cada ticket en los tiempos de respuesta publicados. Las cifras concuerdan con una primera revisión en gran medida automatizada; no se ha publicado qué proporción se somete a revisión humana.\nPor qué es importante para el cumplimiento del RGPD\n\nEl artículo 22 del RGPD prohíbe la toma de decisiones individuales exclusivamente automatizadas que tengan efectos jurídicos significativos, sin que se conceda el derecho a una revisión humana previa solicitud. Si las decisiones de asistencia (cierre de tickets, acciones en la cuenta, denegación de solicitudes de datos) se toman íntegramente mediante scripts automatizados, cada una de esas decisiones que «afecte de manera significativa» al usuario podría infringir el artículo 22.\n\nEntrada HT-2YBP-F7JP-D4VB (Apartado 18) se cerró al cabo de tres días con una remisión tipo y sin que se abordara el fundamento jurídico citado. A partir del expediente no se puede determinar si alguien lo revisó; esa es una cuestión que la autoridad de control puede plantear a Valve en virtud del artículo 22 y del artículo 15, apartado 1, letra h).\n\nFuente: instantáneas de Wayback Machine de store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) — datos extraídos a VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 instantáneas, 2018-2026). Nota: el tiempo de respuesta de «~52 min» es el límite inferior de la categoría de reembolsos; la respuesta en materia de seguridad de la cuenta osciló entre 2,4 y 16,5 horas en las mismas instantáneas. 2021-06-26 es el máximo histórico (547,907 solicitudes de reembolso), no un punto medio monótono: el volumen se multiplicó por ~6 entre 2020 y 2021, luego descendió parcialmente antes de recuperarse hasta alcanzar las 373 000 en 2026.\nApéndice I — Alcance del conjunto de datos · recuentos que pueden reproducirse\nCuenta los registros. Comprueba el ámbito.\nContexto y límites de la fuente\n\nCuenta los registros y, a continuación, comprueba las afirmaciones: todas las cifras que aparecen a continuación pueden volver a calcularse a partir de los archivos publicados.\n\nExamina los conjuntos de datos subyacentes, reproduce los recuentos y distingue las filas de origen de los incidentes únicos.\n\nEl archivo CSV principal contiene 40,448 filas. De ellos, 36,516 proceden del canal de phishing «Discord-AntiScam». El resto 3,932 Las filas abarcan GitHub, revisiones, resultados de búsqueda, contenido de foros y otras fuentes, lo que ofrece un índice exhaustivo de los temas planteados por la comunidad y los informes de seguridad.\n\nEn ese archivo CSV, 1,690 filas están clasificadas bajo la etiqueta de colección «Vulnerabilidades de seguridad sin parchear», que recoge incidencias históricas de los usuarios y divulgaciones de vulnerabilidades. El seguimiento de estos informes implica revisar la cronología específica de cada versión y el historial público de parches de cada hilo.\n\nEl archivo de búsqueda de registros 16,319 es una versión independiente y seleccionada, con su propio manifiesto, diseñada para la exploración local precisa de reclamaciones de usuarios e informes de incidentes específicos.\n\nPara crear un registro de auditoría fiable, cada registro comunicado por los usuarios debe verificarse cotejándolo con los plazos de compilación documentados y los registros históricos de parches.\n\nLos registros de la colección de la Parte II, por separado 231,829 identificadores únicos de anuncios, incluyendo 33,509 en la categoría de registro automatizado y 198,320 marcado como transferencias no verificadas. El SHA-256 del archivo de entrada coincide con la medición conservada. Estas cifras describen los intentos de publicación y las transferencias observadas, más que los valores de las transacciones finalizadas o los totales de robos verificados, lo que pone de relieve la necesidad de disponer de registros primarios de la plataforma para medir el impacto económico exacto. Lista de medidas y hash ↗\n\nCSV avanzado ↗ · Índice del archivo con función de búsqueda ↗ · Revisar los registros originales ↗\n\nApéndice J — Acerca de esta investigación\nValve no publica ningún historial de medidas coercitivas. Hemos construido uno.\n\nIndependiente. Sin ánimo de lucro. Elaborado exclusivamente a partir de datos públicos. Presentado a las autoridades reguladoras.\n\n88.97%La flota de vehículos autónomos no se ve afectada: no hay prohibición de ningún tipo\n67.77%de los 51,732 estafadores condenados que quedan en libertad\n$26.8M+Límite mínimo de gasto en tienda para la flota no limitada\n3.6%dominios de juegos de azar bloqueados por el filtro de enlaces de Valve\n8 añosde incidentes de seguridad registrados\n\nDe qué se trata. Un informe forense sobre la plataforma Steam de Valve Corporation: su historial de cumplimiento normativo, su economía basada en la acumulación de tarjetas, su marco jurídico y la infraestructura de autenticación que utilizan los operadores de juegos de azar a través del relé OpenID propio de Steam. Todas las cifras pueden verificarse a partir de dos fuentes: la propia API pública de Valve y los conjuntos de datos publicados junto con esta investigación.\n\nA quién va dirigido. Las autoridades reguladoras con competencia sobre Valve —la autoridad de control del RGPD en los Países Bajos, la FinCEN, la SEC, el coordinador de servicios digitales de la DSA, la UOKiK y cualquier organismo encargado de hacer cumplir la ley que investigue los flujos financieros vinculados a Steam—. También para periodistas, investigadores y cualquier usuario al que se le haya bloqueado la cuenta de forma permanente, se le haya denegado un reembolso o se le haya sustraído el inventario, y al que se le haya comunicado que no existe posibilidad de recurso.\n\nLa única exigencia. Valve conserva estos datos con total fidelidad —incluidos los motivos de la prohibición, el espacio de identificación completo y en tiempo real—. Es capaz de ejecutar cualquier consulta de este expediente en cuestión de segundos y ha decidido no publicar nada de ello. La pregunta para cualquier autoridad competente es sencilla: ¿Por qué no?\n\nLo que los autores no afirman. Durante este trabajo no se completó ningún inicio de sesión en Steam en ninguna plataforma de terceros. Una URL de OpenID facilitada establece los parámetros de la solicitud, no un inicio de sesión completado. El hecho de que exista un dominio registrable independiente no constituye, por sí solo, prueba de evasión. Las fechas de registro son límites mínimos respecto a cuándo podría haber aparecido por primera vez un host en una solicitud de OpenID; no demuestran un uso continuado. Los autores no afirman lo que Valve sabía o pretendía: cada afirmación sobre Valve está vinculada a un documento público con fecha o a una observación con fecha. Cuando no ha sido posible respaldar una afirmación con un documento fuente, se ha eliminado.\n\nQuiénes somos\n\nPhishDestroy — Investigadores independientes. Sin afiliación alguna con Valve Corporation ni con ninguna de las plataformas aquí mencionadas. Se utilizó una cuenta Steam con el único fin de documentar la solicitud en virtud del RGPD a la que se hace referencia en la sección 18.\n\nAviso legal\n\nInvestigación de interés público, sin ánimo de lucro y descentralizada. Todos los datos se facilitan «tal cual», sin garantía alguna. Esta publicación no constituye una resolución judicial.\n\nDE DOMINIO PÚBLICO\nLicencias\n\nTodos los derechos cedidos a la humanidad. Se permite reproducir, adaptar y publicar sin necesidad de citar la fuente. Acceso desde la región de la OFAC: prohibido. Licencia completa y aviso legal →",
    "headings": [
      {
        "level": 2,
        "id": "briefing-heading",
        "text": "La norma. El récord. Las preguntas sin respuesta."
      },
      {
        "level": 2,
        "id": null,
        "text": "Carta abierta a la Comisión de Juegos de Azar del Estado de Washington"
      },
      {
        "level": 3,
        "id": "wsgc-public-address-title",
        "text": "Diez días se convirtieron en diez años.Vuelve a abrir el expediente."
      },
      {
        "level": 2,
        "id": null,
        "text": "El sitio está bloqueado. La ruta de inicio de sesión no lo está."
      },
      {
        "level": 3,
        "id": null,
        "text": "Figura 3.1 — Las dos rutas, representadas gráficamente."
      },
      {
        "level": 3,
        "id": null,
        "text": "La trampa del panorama general: el filtro de enlaces es una farsa de cumplimiento normativo, no un escudo"
      },
      {
        "level": 3,
        "id": null,
        "text": "Si se bloquea el dominio principal y no se bloquea el host de autenticación, la ruta de inicio de sesión queda abierta, y así permanece durante años."
      },
      {
        "level": 3,
        "id": null,
        "text": "Antecedentes: qué es Steam y por qué es importante en este contexto"
      },
      {
        "level": 3,
        "id": null,
        "text": "Lo que hizo Valve: el bloqueo de dominios"
      },
      {
        "level": 3,
        "id": null,
        "text": "Qué es un dominio proxy"
      },
      {
        "level": 3,
        "id": null,
        "text": "El punto crítico: el servidor de autenticación se envía a Steam en cada solicitud"
      },
      {
        "level": 3,
        "id": null,
        "text": "Lo que esto demuestra"
      },
      {
        "level": 3,
        "id": null,
        "text": "Dentro de Steam, la lista de Valve es la única lista."
      },
      {
        "level": 3,
        "id": null,
        "text": "Desactivación de la protección del filtro de enlaces"
      },
      {
        "level": 3,
        "id": null,
        "text": "El navegador web Big Picture filtra cookies de inicio de sesión y revela información confidencial (lo que podría dar lugar a la apropiación de cuentas)"
      },
      {
        "level": 3,
        "id": null,
        "text": "Qué significa esto para un menor que tiene instalado un antivirus"
      },
      {
        "level": 3,
        "id": null,
        "text": "La antigüedad del dominio.Fecha de la observación."
      },
      {
        "level": 2,
        "id": null,
        "text": "Se ha cerrado un punto final. El seguimiento público ha perdido una clave."
      },
      {
        "level": 3,
        "id": null,
        "text": "La era anterior al apagón"
      },
      {
        "level": 3,
        "id": null,
        "text": "Tras el cambio"
      },
      {
        "level": 2,
        "id": null,
        "text": "Una sesión. Más acceso del que el usuario percibe."
      },
      {
        "level": 3,
        "id": null,
        "text": "1. Autenticación de nivel superior insuficiente"
      },
      {
        "level": 3,
        "id": null,
        "text": "2. Ausencia del principio del mínimo privilegio"
      },
      {
        "level": 3,
        "id": null,
        "text": "3. Fallos en la gestión de sesiones"
      },
      {
        "level": 3,
        "id": null,
        "text": "4. El bloqueo a nivel de dominio de los servidores de autenticación era técnicamente viable"
      },
      {
        "level": 3,
        "id": "integration-paradox-title",
        "text": "Valve se compila siguiendo estas reglas todos los días. En este caso, no se ha compilado según ellas."
      },
      {
        "level": 4,
        "id": null,
        "text": "Ámbitos detallados de GitHub frente a Valve Steam API web"
      },
      {
        "level": 2,
        "id": null,
        "text": "Simulador interactivo de vulnerabilidades y secuestros de sistemas"
      },
      {
        "level": 2,
        "id": null,
        "text": "Los puntos finales que hay detrás de la secuencia."
      },
      {
        "level": 2,
        "id": null,
        "text": "Una casilla marcada. ¿De quién es esa acción?"
      },
      {
        "level": 3,
        "id": null,
        "text": "Cómo Valve logró finalmente neutralizar la «sustitución comercial» — y por qué se necesitaron siete años de soluciones provisionales"
      },
      {
        "level": 4,
        "id": null,
        "text": "Tiempo de espera para cambiar de avatar y nombre (febrero de 2024)"
      },
      {
        "level": 4,
        "id": null,
        "text": "Inversión de tendencia de 7 días en CS2 (julio de 2025)"
      },
      {
        "level": 4,
        "id": null,
        "text": "Notificación push obligatoria para la API (diciembre de 2023)"
      },
      {
        "level": 4,
        "id": null,
        "text": "Banners con la antigüedad y el nombre de la cuenta (2022-2024)"
      },
      {
        "level": 2,
        "id": null,
        "text": "Su reglamento. Las plataformas registradas."
      },
      {
        "level": 3,
        "id": "enforcement-focus-title",
        "text": "Unas mismas normas. Una aplicación desigual."
      },
      {
        "level": 4,
        "id": null,
        "text": "Automatización"
      },
      {
        "level": 4,
        "id": null,
        "text": "Uso comercial"
      },
      {
        "level": 4,
        "id": null,
        "text": "VPN y ocultación de la ubicación"
      },
      {
        "level": 4,
        "id": null,
        "text": "Ocultación de enlaces"
      },
      {
        "level": 4,
        "id": null,
        "text": "¿Quién revisa la decisión cuando el servicio de asistencia cierra el caso?"
      },
      {
        "level": 2,
        "id": null,
        "text": "Una API de automatización. Una norma contra la automatización."
      },
      {
        "level": 3,
        "id": null,
        "text": "La falacia del «desarrollador de videojuegos»"
      },
      {
        "level": 4,
        "id": null,
        "text": "La contradicción de la automatización"
      },
      {
        "level": 4,
        "id": null,
        "text": "Un puesto del lado del servidor en el flujo comercial"
      },
      {
        "level": 2,
        "id": null,
        "text": "Se exigían diez días. Había que rendir cuentas de diez años."
      },
      {
        "level": 3,
        "id": "letter-company",
        "text": "VALVE CORPORATION"
      },
      {
        "level": 3,
        "id": null,
        "text": "Diez días.¿Y luego qué?"
      },
      {
        "level": 3,
        "id": null,
        "text": "Sigue al servidor de retorno indicado."
      },
      {
        "level": 3,
        "id": "washington-record-heading",
        "text": "Dos plazos. Una norma de aplicación sin respuesta."
      },
      {
        "level": 4,
        "id": null,
        "text": "Valve concede a los sitios web de apuestas un plazo de 10 días"
      },
      {
        "level": 4,
        "id": null,
        "text": "Washington presiona Valve"
      },
      {
        "level": 4,
        "id": null,
        "text": "Valve rechaza la acusación"
      },
      {
        "level": 4,
        "id": null,
        "text": "Las rutas observadas en septiembre de 2026"
      },
      {
        "level": 4,
        "id": null,
        "text": "Dieciocho meses después de que Valve respondiera, el organismo regulador seguía considerándolo una intención."
      },
      {
        "level": 3,
        "id": null,
        "text": "La década del preaviso de 10 días: auditoría forense de supervivencia de los 23 emplazamientos señalados"
      },
      {
        "level": 4,
        "id": null,
        "text": "Desde avisos con 10 días de antelación hasta conglomerados con sede en el extranjero: un volumen de negocio de varios miles de millones de dólares"
      },
      {
        "level": 2,
        "id": null,
        "text": "El nombre de host ya figura en la solicitud."
      },
      {
        "level": 3,
        "id": null,
        "text": "Precedentes documentados y comunicados"
      },
      {
        "level": 3,
        "id": null,
        "text": "Lo que indica y lo que no indica una fecha de inscripción"
      },
      {
        "level": 3,
        "id": null,
        "text": "Auditoría comparativa: Normas de cumplimiento de la API"
      },
      {
        "level": 2,
        "id": "market-thesis-heading",
        "text": "La diferencia de precio «off-Steam»"
      },
      {
        "level": 2,
        "id": null,
        "text": "La diferencia de precios es cuantificable."
      },
      {
        "level": 3,
        "id": null,
        "text": "Lo que refleja la cifra en dólares"
      },
      {
        "level": 3,
        "id": null,
        "text": "Muchos locales indican un valor en dólares superior a Steam."
      },
      {
        "level": 3,
        "id": null,
        "text": "Steam sigue a la cabeza en cuanto al número de ofertas."
      },
      {
        "level": 3,
        "id": null,
        "text": "El ecosistema comercial está a la vista de todos."
      },
      {
        "level": 2,
        "id": null,
        "text": "¿Quién puede restablecer las medidas de seguridad?"
      },
      {
        "level": 3,
        "id": null,
        "text": "Un ticket de recuperación que desactivó la seguridad de la cuenta y una pérdida declarada de $10,000"
      },
      {
        "level": 3,
        "id": null,
        "text": "Más allá del inventario."
      },
      {
        "level": 3,
        "id": "theft-ledger-title",
        "text": "Valve abrió la puerta dos veces, con treinta y tres meses de diferencia. Nunca se cerró."
      },
      {
        "level": 4,
        "id": null,
        "text": "Lo que refleja el libro mayor y que ningún caso concreto muestra por sí solo."
      },
      {
        "level": 3,
        "id": null,
        "text": "La confidencialidad debe ir acompañada de la responsabilidad técnica."
      },
      {
        "level": 2,
        "id": null,
        "text": "Sigue el rastro del dinero. Separa las transacciones."
      },
      {
        "level": 3,
        "id": null,
        "text": "Donde realmente circula el dinero."
      },
      {
        "level": 3,
        "id": null,
        "text": "Clasifica primero la actividad y, a continuación, la obligación."
      },
      {
        "level": 3,
        "id": null,
        "text": "Realizar un seguimiento de los ingresos, la información y la asistencia."
      },
      {
        "level": 2,
        "id": null,
        "text": "La Ley de Servicios Digitales: dejar constancia de los conocimientos"
      },
      {
        "level": 3,
        "id": null,
        "text": "Un plazo de diez días."
      },
      {
        "level": 3,
        "id": null,
        "text": "La ventana temporal del DSA."
      },
      {
        "level": 3,
        "id": null,
        "text": "La duración requiere un historial de notificaciones."
      },
      {
        "level": 3,
        "id": null,
        "text": "de la facturación anual a nivel mundial"
      },
      {
        "level": 2,
        "id": null,
        "text": "Menores de edad: un inicio de sesión con «Steam» no constituye una verificación de edad"
      },
      {
        "level": 3,
        "id": null,
        "text": "Identifica el operador y los datos."
      },
      {
        "level": 3,
        "id": null,
        "text": "Registra el proceso desde el inicio de sesión hasta el ingreso."
      },
      {
        "level": 2,
        "id": null,
        "text": "La solicitud. La respuesta. La comparación que falta."
      },
      {
        "level": 3,
        "id": null,
        "text": "Los registros existen; el interesado no los ha recibido."
      },
      {
        "level": 2,
        "id": null,
        "text": "El acuerdo de suscripción frente a la propia arquitectura de la plataforma"
      },
      {
        "level": 3,
        "id": null,
        "text": "El límite máximo del mercado y la prohibición de uso comercial"
      },
      {
        "level": 3,
        "id": null,
        "text": "La vulnerabilidad de la clave API como un problema de diseño de la plataforma, más que como una negligencia por parte del usuario"
      },
      {
        "level": 3,
        "id": null,
        "text": "Valve recibe el nombre de host de autenticación en cada inicio de sesión"
      },
      {
        "level": 3,
        "id": null,
        "text": "La tendencia observada en las reclamaciones archivadas"
      },
      {
        "level": 3,
        "id": null,
        "text": "Un tribunal que evaluara este expediente no interpretaría la SSA de forma aislada."
      },
      {
        "level": 2,
        "id": null,
        "text": "Las conclusiones. Los documentos que solicitamos."
      },
      {
        "level": 2,
        "id": null,
        "text": "Memorándum probatorio — material facilitado por la Fuente 1"
      },
      {
        "level": 2,
        "id": null,
        "text": "La censura que aparece en el PDF generado es meramente estética: el texto ocultado sigue pudiendo extraerse."
      },
      {
        "level": 2,
        "id": null,
        "text": "Documentación de apoyo y correspondencia jurídica"
      },
      {
        "level": 2,
        "id": null,
        "text": "Documentos primarios seleccionados"
      },
      {
        "level": 3,
        "id": "receipt-heading-gh-01",
        "text": "Claves de hardware, solicitadas en 2016"
      },
      {
        "level": 3,
        "id": "receipt-heading-gh-02",
        "text": "Informes de fallos sin una opción de exclusión efectiva"
      },
      {
        "level": 3,
        "id": "receipt-heading-gh-03",
        "text": "Se ha notificado un uso indebido de un ticket de autenticación a Valve"
      },
      {
        "level": 3,
        "id": "receipt-heading-rd-01",
        "text": "44 compras en el mercado objeto de litigio"
      },
      {
        "level": 3,
        "id": "receipt-heading-rd-02",
        "text": "Una suspensión definitiva y la imposibilidad de recurrir"
      },
      {
        "level": 3,
        "id": "receipt-heading-rd-03",
        "text": "Un reinicio de la recuperación y una pérdida declarada de $10,000"
      },
      {
        "level": 2,
        "id": null,
        "text": "ArchiSteamFarm y la cláusula de automatización"
      },
      {
        "level": 2,
        "id": null,
        "text": "Rules ledger: clauses against recorded platforms"
      },
      {
        "level": 3,
        "id": "ledger-title",
        "text": "Uso comercial y facturación de la cuenta"
      },
      {
        "level": 3,
        "id": "lw-register-title",
        "text": "Registro de la plataforma 175"
      },
      {
        "level": 4,
        "id": null,
        "text": "Carga de la prueba"
      },
      {
        "level": 4,
        "id": null,
        "text": "Qué es y qué no es un registro etiquetado"
      },
      {
        "level": 2,
        "id": null,
        "text": "Manual de actuación DSAR: solicitar las pruebas"
      },
      {
        "level": 3,
        "id": null,
        "text": "Conserva tu cronología."
      },
      {
        "level": 3,
        "id": null,
        "text": "Solicita los datos que se han conservado."
      },
      {
        "level": 3,
        "id": null,
        "text": "Guarda el albarán de entrega."
      },
      {
        "level": 3,
        "id": null,
        "text": "Compara la respuesta."
      },
      {
        "level": 3,
        "id": null,
        "text": "Seguridad de la cuenta y registros de acceso"
      },
      {
        "level": 3,
        "id": null,
        "text": "Una discrepancia es un indicio que hay que investigar."
      },
      {
        "level": 2,
        "id": null,
        "text": "Volumen de asistencia técnica. Tiempos de respuesta publicados."
      },
      {
        "level": 3,
        "id": null,
        "text": "Dos colas en un servicio de atención al cliente, según se desprende de 21 capturas archivadas."
      },
      {
        "level": 2,
        "id": null,
        "text": "Cuenta los registros. Comprueba el ámbito."
      },
      {
        "level": 2,
        "id": null,
        "text": "Valve no publica ningún historial de medidas coercitivas.\nHemos construido uno."
      }
    ],
    "links": [
      "https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896",
      "https://store.steampowered.com/agreement/?l=english",
      "https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json",
      "https://blog.counter-strike.net/expresstrade/",
      "https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/",
      "https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling",
      "https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling",
      "https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist",
      "https://store.steampowered.com/oldnews/22883",
      "https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883",
      "https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json",
      "https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club",
      "https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json",
      "https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg",
      "https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json",
      "https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com",
      "https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json",
      "https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com",
      "https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html",
      "https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com",
      "https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json",
      "https://blog.csfloat.com/how-floatdb-tracks-items/",
      "https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json",
      "https://hackerone.com/reports/291750",
      "https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750",
      "https://hackerone.com/reports/1079561",
      "https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json",
      "https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence.html#support-records",
      "https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/",
      "https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/",
      "https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/",
      "https://www.chromium.org/developers/design-documents/safebrowsing/",
      "https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/",
      "https://www.chromium.org/developers/how-tos/api-keys/",
      "https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/",
      "https://github.com/Homebrew/homebrew-cask/issues/193814",
      "https://testsafebrowsing.appspot.com/",
      "https://datatracker.ietf.org/doc/rfc6749/",
      "https://docs.cloud.google.com/docs/authentication/api-keys",
      "https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf",
      "https://developer.apple.com/news/?id=02202019a",
      "https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a",
      "https://dev.twitch.tv/docs/authentication/validate-tokens/",
      "https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589",
      "https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589",
      "https://store.steampowered.com/news/posts/?enddate=1788390000",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851",
      "https://skinvault.gg/blog/cs2-trade-protection-explained/",
      "https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact",
      "https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/",
      "https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC",
      "https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146",
      "https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740",
      "https://steamcommunity.com/discussions/forum/1/4202490424033360096/",
      "https://steamcommunity.com/dev/apikey",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461",
      "https://steamcommunity.com/discussions/forum/1/3807266184852932971/",
      "https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2",
      "https://store.steampowered.com/news/group/4/view/3314112260640237775",
      "https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325",
      "https://blog.dota2.com/2020/05/trading-cooldown/",
      "https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html",
      "https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179",
      "https://store.steampowered.com/online_conduct",
      "https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct",
      "https://store.steampowered.com/subscriber_agreement/",
      "https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/",
      "https://steamcommunity.com/dev/apiterms",
      "https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms",
      "https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36",
      "https://phishdestroy.io/steam_dossier/es/social_graph.html",
      "https://phishdestroy.io/steam_dossier/es/security_timeline.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf",
      "https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json",
      "https://x.com/csgobig",
      "https://www.facebook.com/csgobigofficial/",
      "https://500.casino/",
      "https://csgolounge.com/",
      "https://csgocasino.gg/",
      "https://x.com/CSGOatsecom",
      "https://x.com/CSGOSweep/status/937420902538543106",
      "https://x.com/Wild",
      "https://x.com/csgopot",
      "https://x.com/csgodiamondscom",
      "https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter",
      "https://x.com/CSGODouble",
      "https://x.com/csgo_massive",
      "https://www.facebook.com/csgostrongfree/",
      "https://www.facebook.com/CSNCOM/",
      "https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends",
      "https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies",
      "https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report",
      "https://phishdestroy.io/steam_dossier/es/elite_skins.html",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json",
      "https://pricempire.com/cs2-marketplaces",
      "https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json",
      "https://www.steamanalyst.com/marketplace",
      "https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace",
      "https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B",
      "https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json",
      "https://phishdestroy.io/steam_dossier/es/skin_atlas.html",
      "https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence.html#case-support-recovery",
      "https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/",
      "https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/",
      "https://store.steampowered.com/privacy_agreement/",
      "https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/",
      "https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/",
      "https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/",
      "https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/",
      "https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/",
      "https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/",
      "https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/",
      "https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022",
      "https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022",
      "https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/",
      "https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022",
      "https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022",
      "https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/",
      "https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/",
      "https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov",
      "https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/",
      "https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json",
      "https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack",
      "https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked",
      "https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked",
      "https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng",
      "https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng",
      "https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through",
      "https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through",
      "https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf",
      "https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf",
      "https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673",
      "https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng",
      "https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng",
      "https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng",
      "https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng",
      "https://phishdestroy.io/steam_dossier/es/legal_analysis.html",
      "https://partner.steamgames.com/doc/features/auth#website",
      "https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth",
      "https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa",
      "https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png",
      "https://datenschutz.hamburg.de/beschwerde",
      "https://edpb.europa.eu/",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json",
      "https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d",
      "https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d",
      "https://phishdestroy.io/steam_dossier/es/index#exhibit-gallery-section",
      "https://github.com/ValveSoftware/steam-for-linux/issues/4521",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html?source=GitHub&record=484",
      "https://github.com/ValveSoftware/steam-for-linux/issues/6459",
      "https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html?source=GitHub&record=467",
      "https://github.com/ValveSoftware/Source-1-Games/issues/3857",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html?source=GitHub&record=768",
      "https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/",
      "https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html?source=Reddit&record=4533",
      "https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html?source=Reddit&record=4766",
      "https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/",
      "https://phishdestroy.io/steam_dossier/es/steam_evidence_archive.html?source=Reddit&record=4592",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json",
      "https://phishdestroy.io/steam_dossier/es/card_economy.html",
      "https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ",
      "https://phishdestroy.io/steam_dossier/es/card_economy.html#scale",
      "https://phishdestroy.io/steam_dossier/es/card_economy.html#licence",
      "https://phishdestroy.io/steam_dossier/es/enforcement_audit.html",
      "https://github.com/JustArchiNET/ArchiSteamFarm",
      "https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm",
      "https://rdap.verisign.com/com/v1/domain/csgoempire.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgoempire.com",
      "https://rdap.verisign.com/com/v1/domain/csgoempirelogin4.com",
      "https://rdap.verisign.com/com/v1/domain/rustreaper.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustreaper.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustreaper.com.json",
      "https://rdap.verisign.com/com/v1/domain/rustly.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustly.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustly.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgofast.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgofast.com",
      "https://rdap.verisign.com/com/v1/domain/authtofast.com",
      "https://rdap.verisign.com/com/v1/domain/duelbits.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fduelbits.com",
      "https://rdap.verisign.com/com/v1/domain/switchflips.com",
      "https://rdap.verisign.com/com/v1/domain/farmskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ffarmskins.com",
      "https://tld-rdap.verisign.com/cc/v1/domain/kobal.cc",
      "https://rdap.verisign.com/com/v1/domain/csgoluck.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgoluck.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoluck.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/insane.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Finsane.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/insane.gg.json",
      "https://rdap.verisign.com/com/v1/domain/cs2skin.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcs2skin.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs2skin.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/juice.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fjuice.gg",
      "https://rdap.verisign.com/com/v1/domain/letmeinjuice.com",
      "https://rdap.verisign.com/com/v1/domain/ggdrop.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fggdrop.com",
      "https://rdap.verisign.com/com/v1/domain/ggauth.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/howl.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fhowl.gg",
      "https://rdap.radix.host/rdap/domain/howl.uno",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/chicken.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fchicken.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/chicken.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/csgocasino.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgocasino.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgocasino.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/hunt.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fhunt.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/hunt.gg.json",
      "https://rdap.verisign.com/com/v1/domain/csbattle.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsbattle.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csbattle.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/skinrave.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinrave.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinrave.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/csdouble.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsdouble.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csdouble.gg.json",
      "https://rdap.verisign.com/com/v1/domain/rustchance.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustchance.com",
      "https://rdap.verisign.com/com/v1/domain/hgfuihd.com",
      "https://rdap.radix.host/rdap/domain/cobaltlab.tech",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcobaltlab.tech",
      "https://rdap.verisign.com/com/v1/domain/cobaltauth.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/raided.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fraided.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/raided.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/rustneo.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustneo.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustneo.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/splits.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsplits.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/splits.gg.json",
      "https://rdap.identitydigital.services/rdap/domain/upgrader.pro",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fupgrader.pro",
      "https://rdap.radix.host/rdap/domain/upgauth.space",
      "https://rdap.centralnic.com/fans/domain/skin.fans",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskin.fans",
      "https://rdap.nic.one/domain/hotpizza.one",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fhotpizza.one",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/hotpizza.one.json",
      "https://rdap.verisign.com/com/v1/domain/g4skins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fg4skins.com",
      "https://rdap.verisign.com/com/v1/domain/tf2royal.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftf2royal.com",
      "https://rdap.verisign.com/com/v1/domain/tf2auth.com",
      "https://rdap.verisign.com/com/v1/domain/tf2hunt.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftf2hunt.com",
      "https://rdap.verisign.com/com/v1/domain/rstspcl.com",
      "https://rdap.identitydigital.services/rdap/domain/tf2.bet",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftf2.bet",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2.bet.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/openstars.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fopenstars.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/openstars.gg.json",
      "https://rdap.verisign.com/com/v1/domain/skins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.com.json",
      "https://rdap.identitydigital.services/rdap/domain/white.market",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fwhite.market",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/white.market.json",
      "https://rdap.identitydigital.services/rdap/domain/moon.market",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fmoon.market",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/moon.market.json",
      "https://rdap.verisign.com/com/v1/domain/csfloat.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsfloat.com",
      "https://rdap.verisign.com/com/v1/domain/csgofloat.com",
      "https://rdap.identitydigital.services/rdap/domain/skin.land",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskin.land",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.land.json",
      "https://rdap.verisign.com/com/v1/domain/haloskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fhaloskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/haloskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/163.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbuff.163.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/buff.163.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgo.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fmarket.csgo.com",
      "https://rdap.verisign.com/net/v1/domain/dota2.net",
      "https://rdap.verisign.com/com/v1/domain/skinport.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinport.com",
      "https://pubapi.registry.google/rdap/domain/skinport.app",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/skinflow.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinflow.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinflow.gg.json",
      "https://rdap.identitydigital.services/rdap/domain/skin.place",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskin.place",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.place.json",
      "https://rdap.verisign.com/com/v1/domain/skinsmonkey.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinsmonkey.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinsmonkey.com.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinbaron.de",
      "https://rdap.verisign.com/com/v1/domain/skinbaron.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frust.tm",
      "https://rdap.verisign.com/com/v1/domain/pirateswap.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fpirateswap.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/pirateswap.com.json",
      "https://rdap.radix.host/rdap/domain/mannco.store",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fmannco.store",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/mannco.store.json",
      "https://rdap.verisign.com/com/v1/domain/skinswap.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinswap.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinswap.com.json",
      "https://rdap.verisign.com/com/v1/domain/exeskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fexeskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/exeskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/balticskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbalticskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/balticskins.com.json",
      "https://rdap.nic.trade/domain/cs.trade",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcs.trade",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.trade.json",
      "https://rdap.verisign.com/com/v1/domain/rapidskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frapidskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rapidskins.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/tradeit.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftradeit.gg",
      "https://rdap.verisign.com/com/v1/domain/connect-tradeit.com",
      "https://rdap.verisign.com/com/v1/domain/49skins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2F49skins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/49skins.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/skinvault.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinvault.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinvault.gg.json",
      "https://rdap.identitydigital.services/rdap/domain/aim.market",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Faim.market",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/aim.market.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/skinout.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinout.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinout.gg.json",
      "https://rdap.verisign.com/com/v1/domain/ntskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fntskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ntskins.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/gamerpay.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fgamerpay.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/gamerpay.gg.json",
      "https://rdap.nic.tf/domain/scrap.tf",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fscrap.tf",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/scrap.tf.json",
      "https://rdap.nic.tf/domain/marketplace.tf",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fmarketplace.tf",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/marketplace.tf.json",
      "https://rdap.identitydigital.services/rdap/domain/skins.cash",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskins.cash",
      "https://rdap.identitydigital.services/rdap/domain/skinscash.live",
      "https://rdap.verisign.com/net/v1/domain/csgo.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgo.net",
      "https://rdap.verisign.com/net/v1/domain/easylot.net",
      "https://rdap.verisign.com/net/v1/domain/cybershoke.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcybershoke.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cybershoke.net.json",
      "https://rdap.verisign.com/net/v1/domain/fastcup.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ffastcup.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/fastcup.net.json",
      "https://rdap.verisign.com/com/v1/domain/leetify.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fleetify.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/leetify.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/scope.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fscope.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/scope.gg.json",
      "https://rdap.verisign.com/com/v1/domain/tradeupspy.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftradeupspy.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeupspy.com.json",
      "https://rdap.identitydigital.services/rdap/domain/cs.deals",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcs.deals",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.deals.json",
      "https://rdap.verisign.com/com/v1/domain/pricempire.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fpricempire.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/pricempire.com.json",
      "https://rdap.identitydigital.services/rdap/domain/lzt.market",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Flzt.market",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/lzt.market.json",
      "https://rdap.verisign.com/com/v1/domain/z2u.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fz2u.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/z2u.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgoroll.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgoroll.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoroll.com.json",
      "https://rdap.verisign.com/com/v1/domain/rollbit.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frollbit.com",
      "https://rdap.verisign.com/com/v1/domain/rbsnin.com",
      "https://rdap.identitydigital.services/rdap/domain/500.casino",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2F500.casino",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/500.casino.json",
      "https://rdap.verisign.com/com/v1/domain/csgobig.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgobig.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgobig.com.json",
      "https://rdap.verisign.com/com/v1/domain/casedrop.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcasedrop.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/casedrop.com.json",
      "https://rdap.verisign.com/com/v1/domain/banditcamp.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbanditcamp.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/banditcamp.com.json",
      "https://rdap.verisign.com/com/v1/domain/skinbox.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinbox.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbox.com.json",
      "https://rdap.verisign.com/com/v1/domain/tastydrop.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftastydrop.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tastydrop.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/csgopolygon.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgopolygon.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgopolygon.gg.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/magicdrop.ru.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fmagicdrop.ru",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/magicdrop.ru.json",
      "https://rdap.verisign.com/com/v1/domain/csdice.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsdice.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csdice.com.json",
      "https://rdap.verisign.com/com/v1/domain/skinodds.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinodds.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinodds.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgowin.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgowin.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgowin.com.json",
      "https://rdap.verisign.com/net/v1/domain/csgorun.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgorun.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgorun.net.json",
      "https://rdap.verisign.com/com/v1/domain/openskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fopenskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/openskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/rustbet.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustbet.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustbet.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgomagic.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgomagic.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgomagic.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgobounty.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgobounty.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgobounty.com.json",
      "https://rdap.verisign.com/com/v1/domain/ezskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fezskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ezskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/rustcases.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustcases.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustcases.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgoreaper.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgoreaper.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoreaper.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgocases.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgocases.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgocases.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgo-skins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgo-skins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo-skins.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgonet.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgonet.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgonet.com.json",
      "https://rdap.verisign.com/com/v1/domain/wtfskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fwtfskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/wtfskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/flamecases.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fflamecases.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/flamecases.com.json",
      "https://rdap.verisign.com/com/v1/domain/gamedom.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fgamedom.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/gamedom.com.json",
      "https://rdap.nic.club/domain/skin.club",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskin.club",
      "https://rdap.verisign.com/net/v1/domain/sc-auth.net",
      "https://rdap.verisign.com/com/v1/domain/daddyskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fdaddyskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/daddyskins.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/rustix.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustix.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustix.gg.json",
      "https://rdap.nic.club/domain/skins.club",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskins.club",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.club.json",
      "https://rdap.publicinterestregistry.org/rdap/domain/csgohouse.org",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgohouse.org",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgohouse.org.json",
      "https://rdap.verisign.com/net/v1/domain/skinrave.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinrave.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinrave.net.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/bloodycase.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbloodycase.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/bloodycase.gg.json",
      "https://rdap.verisign.com/com/v1/domain/csgoclicker.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgoclicker.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoclicker.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/rustbet.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustbet.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustbet.gg.json",
      "https://rdap.verisign.com/com/v1/domain/cs-drop.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcs-drop.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs-drop.com.json",
      "https://rdap.verisign.com/net/v1/domain/hellstore.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fhellstore.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/hellstore.net.json",
      "https://rdap.verisign.com/com/v1/domain/rustloot.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustloot.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustloot.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgo-case.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgo-case.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo-case.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgogem.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgogem.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgogem.com.json",
      "https://rdap.verisign.com/com/v1/domain/rainbet.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frainbet.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rainbet.com.json",
      "https://rdap.verisign.com/com/v1/domain/rustclash.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustclash.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustclash.com.json",
      "https://rdap.identitydigital.services/rdap/domain/12cs.fail",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2F12cs.fail",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/12cs.fail.json",
      "https://rdap.verisign.com/com/v1/domain/tf2easy.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fwww.tf2easy.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2easy.com.json",
      "https://rdap.verisign.com/com/v1/domain/tf2blaze.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftf2blaze.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2blaze.com.json",
      "https://rdap.verisign.com/com/v1/domain/shuffle.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fshuffle.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/shuffle.com.json",
      "https://rdap.identitydigital.services/rdap/domain/buff.market",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbuff.market",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/buff.market.json",
      "https://rdap.identitydigital.services/rdap/domain/avan.market",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Favan.market",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/avan.market.json",
      "https://rdap.identitydigital.services/rdap/domain/cs.money",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcs.money",
      "https://rdap.verisign.com/com/v1/domain/uuskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fuuskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/uuskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/youpin898.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fyoupin898.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/youpin898.com.json",
      "https://rdap.verisign.com/com/v1/domain/c5game.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fc5game.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/c5game.com.json",
      "https://rdap.verisign.com/com/v1/domain/waxpeer.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fwaxpeer.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/waxpeer.com.json",
      "https://rdap.verisign.com/com/v1/domain/dmarket.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fdmarket.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/dmarket.com.json",
      "https://rdap.verisign.com/com/v1/domain/steamcommunity.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsteamcommunity.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/steamcommunity.com.json",
      "https://rdap.verisign.com/com/v1/domain/lootfarm.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Flootfarm.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/lootfarm.com.json",
      "https://rdap.verisign.com/com/v1/domain/rustskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Frustskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/krakatoa.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fkrakatoa.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/krakatoa.com.json",
      "https://rdap.verisign.com/com/v1/domain/shadowpay.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fshadowpay.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/shadowpay.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/igxe.cn.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Figxe.cn",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/igxe.cn.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/swap.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fswap.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/swap.gg.json",
      "https://rdap.verisign.com/com/v1/domain/bitskins.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbitskins.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/bitskins.com.json",
      "https://rdap.verisign.com/com/v1/domain/tf2mart.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftf2mart.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2mart.com.json",
      "https://rdap.verisign.com/com/v1/domain/skinbid.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinbid.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbid.com.json",
      "https://rdap.verisign.com/com/v1/domain/lootbear.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Flootbear.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/lootbear.com.json",
      "https://rdap.nic.tf/domain/backpack.tf",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbackpack.tf",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/backpack.tf.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fstntrading.eu",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/stntrading.eu.json",
      "https://rdap.verisign.com/com/v1/domain/skinwallet.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fskinwallet.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinwallet.com.json",
      "https://rdap.verisign.com/com/v1/domain/dota2market.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fdota2market.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/dota2market.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/xplay.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fxplay.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/xplay.gg.json",
      "https://rdap.verisign.com/com/v1/domain/esportal.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fesportal.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/esportal.com.json",
      "https://rdap.registro.br/domain/gamersclub.com.br",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fgamersclub.com.br",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/gamersclub.com.br.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/epidemic.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fepidemic.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/epidemic.gg.json",
      "https://rdap.verisign.com/com/v1/domain/cs2stash.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcs2stash.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs2stash.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/csgoskins.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgoskins.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoskins.gg.json",
      "https://rdap.verisign.com/com/v1/domain/steamanalyst.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsteamanalyst.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/steamanalyst.com.json",
      "https://rdap.verisign.com/net/v1/domain/steamcardexchange.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsteamcardexchange.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/steamcardexchange.net.json",
      "https://rdap.verisign.com/com/v1/domain/dotabuff.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fdotabuff.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/dotabuff.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/tracker.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ftracker.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tracker.gg.json",
      "https://rdap.verisign.com/com/v1/domain/funpay.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Ffunpay.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/funpay.com.json",
      "https://rdap.verisign.com/com/v1/domain/playerauctions.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fplayerauctions.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/playerauctions.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/eldorado.gg.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Feldorado.gg",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/eldorado.gg.json",
      "https://rdap.verisign.com/com/v1/domain/g2a.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fg2a.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g2a.com.json",
      "https://rdap.verisign.com/net/v1/domain/kinguin.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fkinguin.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/kinguin.net.json",
      "https://rdap.verisign.com/com/v1/domain/g2g.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fg2g.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g2g.com.json",
      "https://rdap.verisign.com/com/v1/domain/playerup.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fplayerup.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/playerup.com.json",
      "https://rdap.verisign.com/net/v1/domain/smurfhub.net",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsmurfhub.net",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/smurfhub.net.json",
      "https://rdap.verisign.com/com/v1/domain/smurfaccounts.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsmurfaccounts.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/smurfaccounts.com.json",
      "https://rdap.verisign.com/com/v1/domain/buycsgorank.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbuycsgorank.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/buycsgorank.com.json",
      "https://rdap.verisign.com/com/v1/domain/csgosmurfkings.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fcsgosmurfkings.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgosmurfkings.com.json",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registry/smurfstore.co.json",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsmurfstore.co",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/smurfstore.co.json",
      "https://rdap.verisign.com/com/v1/domain/steamlvlup.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsteamlvlup.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/steamlvlup.com.json",
      "https://rdap.verisign.com/com/v1/domain/steamlevels.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsteamlevels.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/steamlevels.com.json",
      "https://rdap.verisign.com/com/v1/domain/levelsteam.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Flevelsteam.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/levelsteam.com.json",
      "https://rdap.verisign.com/com/v1/domain/steamlevelu.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fsteamlevelu.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/steamlevelu.com.json",
      "https://rdap.verisign.com/com/v1/domain/eloking.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Feloking.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/eloking.com.json",
      "https://rdap.publicinterestregistry.org/rdap/domain/boosteria.org",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fboosteria.org",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/boosteria.org.json",
      "https://rdap.verisign.com/com/v1/domain/overgear.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fovergear.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/overgear.com.json",
      "https://rdap.verisign.com/com/v1/domain/blazingboost.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fblazingboost.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/blazingboost.com.json",
      "https://rdap.verisign.com/com/v1/domain/dota2boost.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fdota2boost.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/dota2boost.com.json",
      "https://rdap.verisign.com/com/v1/domain/buyboost.com",
      "https://steamcommunity.com/linkfilter/?url=https%3A%2F%2Fbuyboost.com",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/buyboost.com.json",
      "https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD",
      "https://store.steampowered.com/privacy_agreement/#8",
      "https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf",
      "https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support",
      "https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json",
      "https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv",
      "https://phishdestroy.io/steam_dossier/es/license_disclaimer.html"
    ]
  }
}