Защита инвентаря CS2 от Steam API Scam: как не потерять скины и отозвать ключи

Скам через Steam API — самый распространенный способ кражи скинов в Counter-Strike 2. Мошенники не угоняют логин и пароль, а перехватывают ваши собственные трейды прямо в момент подтверждения.

Как устроен механизм перехвата через API

Атака происходит незаметно для владельца инвентаря:

1. Фишинговая ссылка: Вы авторизуетесь через Steam на фейковом сайте («проголосуй за команду на FACEIT», «забери бесплатный кейс»).
2. Тайный выпуск ключа: Скрипт получает доступ к вашей веб-сессии и генерирует Steam Web API Key в настройках вашего профиля.
3. Перехват оффера: Как только вы отправляете скин реальному покупателю на CSFloat или Skinport, бот мошенника видит это событие через API за долю секунды.
4. Клонирование профиля: Бот автоматически отменяет исходный обмен, создает бота-клона с аватаркой и никнеймом вашего покупателя и присылает поддельный трейд.
5. Ошибка в Steam Guard: Вы открываете мобильный аутентификатор, бегло смотрите на похожую аватарку и нажимаете «Подтвердить». Скин улетает мошеннику.

3 главных признака взломанного API

• Офферы в Steam отменяются сами собой без вашего участия.
• В окне подтверждения Steam Guard профиль покупателя имеет 0 уровень Steam или дату регистрации «сегодня».
• В сообщениях друзьям появляются фишинговые рассылки от вашего имени.

Экстренный протокол очистки аккаунта

1. Перейдите напрямую на steamcommunity.com/dev/apikey. Если там зарегистрирован чужой домен, немедленно нажмите Отозвать ключ Steam Web API.
2. Смените пароль от аккаунта Steam — это обнулит все действующие токены входа.
3. В настройках Steam Guard нажмите «Выйти на всех других устройствах».
4. В настройках предложений обмена сгенерируйте новый Trade URL.
5. Всегда сверяйте дату создания аккаунта получателя перед подтверждением трейда в мобильном приложении!