Подмена трейд-оффера и Steam API Scam: как не потерять скины CS2

Вы отправляете скин покупателю или боту, открываете подтверждение на телефоне и видите знакомые имя и аватарку. Но предмет получает другой аккаунт. Так выглядит подмена трейд-оффера в Steam: мошенник рассчитывает, что вы узнаете картинку и не проверите получателя.

Эту схему часто называют Steam API Scam. Однако искать только чужой API-ключ недостаточно: злоумышленник может использовать доступ к аккаунту или активной сессии. Защита начинается с проверки самого обмена, а при подозрении на взлом нужно закрыть посторонний доступ.

Что такое Steam API Scam и подмена трейд-оффера

Трейд-оффер - предложение обмена с конкретным получателем и списком предметов. Подмена означает, что вместо ожидаемой сделки вам предлагают подтвердить другую. В типичном сценарии исходное предложение отменяется, а похожее связывает ваши скины с аккаунтом-двойником.

Отсутствие API-ключа не доказывает, что аккаунт безопасен. При доступе к аккаунту или компьютеру злоумышленнику не обязательно использовать API. Поэтому совет «удали ключ и продолжай обмен» не решает проблему полностью.

Самый заметный сигнал - вы не отменяли сделку, но она исчезла, а затем возникло почти идентичное предложение. Это повод остановиться. Повторный оффер может иметь и техническую причину, однако принимать его без новой проверки нельзя.

• Получатель не совпадает. Имя и аватарка знакомые, но ссылка профиля или SteamID отличаются от указанных в вашей сделке.
• Изменилось содержимое. В исходном обмене были встречные предметы, а в подтверждении вы отдаёте свои скины без них.
• Операции появляются сами. Вы видите предложения, которых не создавали, или отмены, которых не делали.
• Вас торопят. Собеседник требует немедленно принять новый обмен из-за «ошибки бота», «таймера» или «риска блокировки».
• Профиль изменён без вас. Появились чужое описание, угроза бана или указание связаться с «сотрудником».

Старый аккаунт, высокий уровень и комментарии «+rep» не заменяют проверку личности. Мошенник может использовать чужой взломанный профиль. Совпадение аватарки тем более ничего не подтверждает.

Проверяйте финальное предложение, которое сейчас подтверждаете. Удачная проверка предыдущего оффера не распространяется на новый.

1. Откройте исходную сделку самостоятельно. Используйте знакомый адрес площадки или переписку с реальным контрагентом, а не новую ссылку из подозрительного сообщения.
2. Сверьте профиль. Сопоставьте получателя со страницей участника, указанной в сделке. Если доступен SteamID64, сравните весь числовой идентификатор. Ник и пользовательский адрес профиля могут меняться.
3. Проверьте обе стороны обмена. Какие предметы уходят от вас и что приходит взамен? Совпадают ли количество, состояние и нужные версии скинов?
4. Прочитайте мобильное подтверждение. Не подтверждайте несколько операций подряд по привычке. При расхождении отмените действие.
5. После отмены перепроверьте всё заново. Объяснение «бот перезапустился» не делает следующий оффер автоматически правильным.

Steam не добавляет деньги на кошелёк по обещанию в комментарии к обмену. Фраза «после принятия получите 15 000 рублей» в сообщении - не часть механизма расчётов Steam.

При продаже через стороннюю площадку оффер действительно может быть односторонним: оплата учитывается вне Steam. Но сам Steam такой платёж не гарантирует. Здесь особенно важно сверить заказ и получателя; нельзя считать любой оффер без встречных предметов безопасным только потому, что вы ожидали продажу.

Если есть признаки постороннего доступа, приостановите все операции. При подозрении на заражение компьютера выполняйте восстановление с другого доверенного устройства.

1. В Steam проверьте авторизованные устройства и используйте выход со всех устройств.
2. Установите новый уникальный пароль. Проверьте безопасность привязанной почты и смените её пароль, если он мог попасть посторонним.
3. Отзовите неизвестный или раскрытый Steam Web API Key.
4. Проверьте устройство антивирусом и удалите подозрительные приложения и расширения. До этого не вводите новые пароли на нём.
5. Проверьте данные аккаунта, мобильный аутентификатор и недавние операции. Не отключайте Steam Guard по просьбе постороннего.

Если доступ потерян, откройте справку Steam и выберите помощь со входом. Обратиться за восстановлением можно и после смены мошенником почты или телефона. Сохраните подтверждения владения аккаунтом и передавайте их только через официальный процесс поддержки.

На доверенном устройстве вручную откройте адрес официальной страницы ключа:

Если отображается ключ, который вы не создавали, отзовите его через кнопку Revoke My Steam Web API Key или соответствующую команду в вашей локализации. Если вместо ключа предлагается регистрация, создавать его «для проверки» не нужно.

Само наличие ключа не доказывает взлом: он мог быть создан вами для приложения. Но если ключ раскрыт, назначение непонятно или вы обнаружили чужие операции, его следует отозвать. Название домена рядом с ключом не является гарантией надёжности.

После отзыва не копируйте новый ключ в сомнительный сервис. И помните: отзыв ключа не заменяет завершение чужих сессий и проверку компьютера.

Для обменов CS2 действует Trade Protection. Полученные через защищённый обмен предметы имеют защитный период 7 дней. Проверяйте срок и статус конкретной операции в Steam, а не дату из переписки с покупателем.

Сначала восстановите контроль над аккаунтом. Затем откройте историю обменов и раздел возврата защищённых сделок. Если операция доступна для возврата, внимательно прочитайте итоговое предупреждение.

• Возврат затрагивает все защищённые обмены за последние 7 дней, а не только выбранную подозрительную сделку.
• Предметы возвращаются предыдущим владельцам.
• Аккаунт, инициировавший возврат, получает ограничение обменов и Торговой площадки на 30 дней. Контрагенты не получают это ограничение только из-за вашего возврата.

После окончания защиты этот механизм недоступен. Он также не заменяет возврат денег, отправленных вне Steam, и не распространяется автоматически на операции Торговой площадки. Поддержка отдельно помогает восстановить аккаунт, но обычное обращение о краже не означает, что предметы будут восстановлены вручную.

Сохраните время сделки, профиль получателя, номер предложения, переписку и номер заказа на площадке. Пожалуйтесь на аккаунт через Steam и сообщите о подмене поддержке сервиса, где оформляли сделку. Публично не выкладывайте API-ключи, cookies, коды Steam Guard и данные восстановления.

Никому не платите за «активацию Trade Protection» и не отправляйте второй скин для «подтверждения возврата».

Подмена обмена часто начинается раньше самой сделки: со страницы входа, приглашения на турнир или установленного расширения. Даже ссылка от знакомого требует проверки - его аккаунт могли украсть.

Фишинговый сайт может нарисовать убедительное окно Steam прямо внутри страницы. Проверяйте настоящий адрес браузера, а не адресную строку на картинке. Сам по себе HTTPS означает защищённое соединение с открытым доменом, но не подтверждает, что домен принадлежит Steam.

Поддельный QR-вход тоже опасен: человек может разрешить чужой вход, не набирая пароль. Сканируйте код только для входа, который начали сами на проверенной странице, и читайте информацию о запросе в мобильном приложении.

Обычная авторизация через Steam не означает передачу сайту вашего пароля или права подтверждать любые сделки. Просьба скопировать cookies, выполнить код в консоли браузера или установить «фикс обмена» - причина прекратить действие.

Сообщения «вас ошибочно пожаловались», «инвентарь будет заблокирован» и «переведите скины на безопасный аккаунт» рассчитаны на страх. Настоящая поддержка не требует передавать предметы собеседнику из Steam Chat или Discord для проверки.

Если вы ищете торговую площадку, используйте обзоры сайтов у нас на сайте для знакомства с условиями. Но известное название сервиса не защищает от его сайта-двойника и не отменяет проверку конкретного трейда.

Защита от подмены трейда - это проверка конкретного получателя и контроль доступа к Steam. Не подтверждайте обмен по одному знакомому нику, не доверяйте «безопасным переводам» из чатов и не считайте удаление API-ключа полной очисткой аккаунта. Если подозрительная сделка уже завершилась, действуйте сразу: восстановите контроль и проверьте доступность возврата в истории обменов.