Steam API 密钥骗局与假交易报价：Rust 玩家的防身指南

Steam API 密钥骗局从设计上就是悄无声息的。你的皮肤还在库存里，你的密码照样能用，在你进行一次真实交易之前，一切看起来都没问题。然后你的报价消失了，一份几乎一模一样的报价从一个扮成你交易对象的账号发来，你在手机上不假思索地确认了。皮肤就到了陌生人手里。

Rust 玩家是天然的目标，因为我们当中太多人每周都在和机器人交易，用于赌博充值、市场出售和提现。这篇指南讲这个骗局怎么运作，账号一开始是怎么被攻破的，能识破它的检查，以及如果它已经发生在你身上该怎么办。

API 密钥骗局是怎么运作的

Steam Web API 密钥是一种开发者凭据。正规的开发者用它来构建读取 Steam 数据的工具。落到坏人手里，注册在你账号上的密钥，能让某人在你的交易报价创建时就监视它们，并自动作出反应。攻击通常是这样进行的：

1. 你通过一个假页面登录 Steam，或者一个恶意程序或浏览器扩展复制了你已登录的会话。现在有人可以在 Steam 网站上冒充你行事了。
2. 他们在你的账号上注册一个 Web API 密钥，或者找到你创建后忘掉的那一个。
3. 他们等待。什么都没被拿走，所以你快速看一眼库存，会发现一切正常。
4. 你发起一次真实的交易，比如在一家 Rust 赌博网站上充值。
5. 一个脚本看到新的报价，把它取消，再从一个伪装成真正交易对象的账号给你发一份替代的报价：同样的名字、同样的头像、同样列出的物品。
6. 你在 Steam App 里确认了替代的报价。皮肤去了骗子那里，而网站的充值就这样超时了。

重要的细节在最后一步。密钥让骗子可以监视并作出反应，但批准一笔交易仍然需要你的手机。这个骗局的每个版本，仍然需要你确认一笔你没有好好检查的交易，而这恰恰是你能把它拦下的地方。

多年来，Valve 增加了密钥注册的阻力，骗子则通过诱骗玩家自己批准各个步骤来适应。凡是要求你创建、粘贴或确认 API 密钥的网站，都当作怀有敌意。Rust 赌博网站根本不需要它。

账号一开始是怎么被攻破的

假的 Steam 登录页面

经典的途径是一个看起来像 Steam 登录、却把你的信息发给别人的页面。它们躲在免费皮肤赠送、送免费箱子的假赌博网站、让你在比赛中为某支队伍投票的链接，以及真实 Rust 网站的克隆版本后面。

更有迷惑性的变种，是在页面内部画一个假的登录弹窗，连显示着 steamcommunity.com 的假地址栏都画好了。两个快速的测试能识破大多数。试着把弹窗拖到浏览器窗口之外：真正的窗口可以离开，页面画出来的假窗口不能。再留意你的密码管理器：它不会在错误的域名上提示填写登录，不管页面看起来多真。

二维码登录

Steam 允许你用手机 App 扫描二维码登录。骗子滥用这一点，在第三方页面上给你看一个二维码，或者在私信里发一个，要你扫描以登录或领取什么东西。扫描它，就批准了他们在你账号上的登录。只扫描你自己在 Steam 客户端或 steamcommunity.com 上打开的 Steam 登录界面里的二维码。

恶意扩展和下载

承诺验价的浏览器扩展、交易辅助工具、免费皮肤工具、游戏外挂，以及朋友发来让你试玩他们游戏的文件，都是常见的载体。其中有些会窃取你浏览器的会话数据，这让别人无需知道你的密码、也无需看到 Steam Guard 验证码，就能使用你已登录的 Steam 会话。只从你自己查证过的来源安装软件，移除你不用的扩展，并对消息里发来的任何文件保持高度怀疑，即使它来自一位账号可能已经被攻破的朋友。

自己把密钥交出去

有些网站和所谓的交易机器人，会要求你粘贴自己的 API 密钥来验证交易或加快速度。别这么做。即使网站没有恶意，你账号上一个有效的密钥，离别人的脚本也只差一次数据库泄露。

五分钟的账号自查

现在就做，之后每当你怀疑自己在不该登录的地方登录过，也要再做一遍。一次做完，因为顺序很重要：你要先切断访问，再清理。

1. 从 Steam 客户端或你自己输入网址打开的 Steam 页面修改 Steam 密码。让它是 Steam 独有的。
2. 在账号设置里打开“管理 Steam Guard”，使用“取消授权所有其他设备”。这会结束其他所有已登录的会话，包括骗子可能在用的那个。
3. 在地址栏里输入 steamcommunity.com/dev/apikey。你应该看到的是注册密钥的表单，而不是一个现有的密钥。如果列出了一个密钥，点击“撤销”。
4. 检查账号上的邮箱地址和手机号是你的，并且邮箱账号上没有你没创建过的转发规则。
5. 浏览一遍你的浏览器扩展，移除任何你不认识或不再使用的。对电脑做一次恶意软件扫描。
6. 如果你的交易链接被公开发布过，就在交易报价设置里创建一个新的，并在你使用的网站上更新。

一天之后，再查一次 API 密钥页面。你撤销之后又回来的密钥，意味着有人依然有访问权限，所以请重复这些步骤，并联系 Steam 客服。

识读一份可能是假的交易报价

冒充的机器人复制的是容易复制的东西。显示名称和头像几秒钟就能改。Steam ID、个人资料链接、Steam 等级和账号年龄，则没那么容易伪造，这才是你要检查的。

• 完整地打开报价。用 Steam 客户端或 steamcommunity.com，而不是只看手机通知。
• 从报价内部点进对方的个人资料。把等级、账号年龄和个人资料链接，与网站为它的机器人显示的内容比较。冒充者通常是新账号或刚买来的账号。
• 核对安全码，如果网站在报价留言和屏幕上都印了的话。
• 逐行检查物品。充值时，只有你选的东西离开。提现时，完全没有东西离开。
• 对第二份报价保持怀疑。如果一份报价消失了，几秒钟后冒出一份新的，那就把新的当作有敌意的，从头检查。
• 读手机上的确认。点进去，批准之前先查看对象和物品。

有一个症状值得单独写一行。如果你的交易报价在你没碰的情况下被取消，就假定你的账号已被攻破，在做任何其他交易之前先跑一遍上面的自查。我们的指南安全充值与提现皮肤有一份针对充值和提现报价的完整清单。

Discord 上的假客服和假管理员

第二大类骗局绕开了技术，直接对你下手。在 Rust 和 CS2 圈子里最常见的一种，起于一条消息，说有人误举报了你的账号，你需要和一位 Steam 管理员谈谈来澄清。这位管理员是个骗子，起了个令人信服的名字，头像用着 Valve 的标志，对话以索要你的登录信息、Steam Guard 验证码、屏幕共享或一笔用来核验你物品的交易告终。

Steam 客服通过 help.steampowered.com 工作。Valve 的工作人员不会在 Discord 上联系玩家处理封禁或举报，任何真正的人也不需要你的密码或验证码。

赌博网站的客服也会被同样地冒充。你在网站的公共聊天或 Discord 里抱怨一笔卡住的提现，几分钟内就可能收到一位客服私信，说愿意帮你。骗子盯着公共频道，等的就是这个。真正的网站客服通过站内在线聊天或工单系统回复，不会要你发送皮肤或加密货币来解决任何问题。

Rust 玩家最常遇到的骗局

如果你定期给库存估值，验价这个切入点值得仔细看看。我们的讲解Rust 皮肤价格是怎么形成的展示了，如何只用 Steam 市场页面给物品估值，不涉及任何扩展。

如果它已经发生在你身上

这里速度比什么都重要，因为一个被攻破的账号，在你弄清发生了什么的时候，可能再被洗劫一遍。

1. 马上做上面的账号自查：密码、取消授权所有其他设备，然后撤销任何 API 密钥。
2. 用该账号 Steam 个人资料上的“举报玩家”，举报收到你物品的那个账号。
3. 通过 help.steampowered.com 向 Steam 客服提交工单，说明发生了什么，附上日期和交易详情。
4. 通过赌博网站自己的在线聊天告诉它的客服，哪个机器人被冒充了，什么时候。网站通常无法撤销 Steam 交易，但它们想知道自己的机器人正被复制。
5. 修改所有共用同一个密码的其他账号的密码，从你的邮箱开始。

对追回要现实一点。Steam 的政策是，通过交易丢失的物品一般不会恢复。任何联系你、提出收费帮你找回被盗皮肤的人，都是在上演清单上的下一个骗局。

让你远离名单的习惯

这一切都不需要技术技能。归结起来，就是几个你重复到自动为止的习惯：通过你自己创建的书签进入网站，保持 Steam Guard 手机验证器开启，永远不要在任何地方粘贴 API 密钥，永远不要扫描你没有主动要求的二维码，确认之前完整地读每一份交易报价。把每一条未经请求的私信都当作有敌意的。

账号安全也是我们给网站打分的一部分。我们的评分方法在六项标准里给了信任与安全最大的权重，而评测栏目里的每篇评测，都列出了我们测试的域名，让你可以核对自己是否在真正的网站上。

被骗子偷走皮肤，感觉可能很像在一轮坏运气里输掉它们，想赢回来的冲动也同样强烈。如果你发现自己为了弥补被盗而加码充值，请先休息一下，读读我们的理性赌博页面，里面列出了免费的支持服务。