少来点黑盒日经贴！steam被骗率最高的骗术

最近高考完一大批人涌入steam，也有不少盒友一直对steam防骗不上心，导致被骗，本人疲于科普，所以想在小黑盒写篇文章，遇到有困惑的盒友也方便引用贴出，翻了翻小黑盒的帖子不够细致（哈哈当然我也会偷很多懒）本贴将基于贴吧老哥fps168于2019年底在CSGO吧发布的置顶防骗指南加以补充和完善。主讲API这套骗术，相信我，只要你接触steam有一段时间，必定会碰到某些情况

目前还没有经过老哥的转载或引用授权，这个16级的橙牌老东西现在还没回复我，上次活跃是在今年五月问要不要更新防骗贴，但是实在忍不住了先写为快，如果后续老哥回复说不准我再删了找时间重新来过（懒 如果没啥问题后续也欢迎盒友补充，会一直更新版本 由于骗局大部分跟CSGO这款游戏有关也许我会在后面补充专题（找时间更），不玩这款游戏的朋友呢可以不用看，目前图片能搬我就搬了，新版steam的地方大差不差，有需要我会自己再截

为什么要来骗我？

首先是上文提到的你是否有玩CSGO这款游戏，大部分呢是玩了并且公开了自己的库存（机器人扫描），这里面又有些人库存价值还行，因此会选择来投放诈骗信息，有些人库存就几十块或者根本就不玩CSGO这款游戏，其实也是有骗的价值的。无论是你所拥有的游戏，steam账号等级，用户年限，余额，卡牌等等或者只是单纯啥也没有的也值得一骗，毕竟电商平台卖号还有几毛钱呢，总之不要掉以轻心，你有没有上述行为只是用于给账号价值定位而已，而骗子广撒网，却不需要太多额外成本。“为啥啊，你被骗过吗？”

专有名词

1、API key

这是Steam免费提供的一种接口，对于饰品相关来说，通过API可以查询你的交易报价内容（交易物品、留言等）以及【取消】和【拒绝】交易报价（记住通过API无法主动【发起】报价），API劫持诈骗核心之一

如何查看API Key

手机查看key的方式类似，通过钱包等地方调到steam客服界面即可，毕竟steam本质上也就是个浏览器

2、手机令牌

Steam手机令牌是Steam手机应用（App Store及各大应用市场可下载）最重要的一项功能，它是保护账号安全的最终防护手段，没有令牌你买卖饰品将会受到很大限制，比如交易暂挂。注意令牌不是绑定手机，下载手机应用就开启了的，要自己在手机应用里手动开启令牌功能

3、交易URL

有人会问，既然通过API不能主动发起报价，非好友之间也无法直接发起报价，那骗子小号是如何向自己发送报价的呢？这就要提到交易URL了。Steam的机制规定非好友之间无法直接发起报价，但是通过特定的交易URL，他人就可以在尚未添加好友的情况下向你发送报价，API劫持诈骗核心之一

4、确认

保护库存安全的最终防护手段。你在Steam市场出售、发起的交易报价，都需要在Steam手机应用侧边栏的“确认”一项里进行最终确认，防止库存被恶意盗取。确认功能只能在绑定了令牌的手机上使用，即使骗子盗了你的号，确认仍要号主本人进行，换句话说，自己是否被骗取决于你自己

新版手机steam更新后可以极大程度防止这类诈骗，后面会讲

常见骗术介绍

1、【API劫持】

这是目前最为常见的骗术之一。顾名思义，API Key被骗子恶意劫持，通常是由于玩家使用Steam账号登录了钓鱼网站造成的。此时你的账号、API以及交易URL全在骗子手上，等的就是你用手机进行确认的那一步。若API Key被劫持，骗子就可获取你的交易信息，别人向你发起报价，骗子通过被劫持的API在一瞬间拒绝掉真正的报价，并通过小号换上对方的昵称、头像，向你发送伪造的假报价，在确认阶段稍微不注意核实就接受了假报价，导致被骗

原作者P.S. 理论上来讲，点击钓鱼网站链接但不登录是不会有事的，除非你手贱去登录。但保不齐哪天骗术又升级了，所以只是点击链接也请视为API已被劫持

笔者补充：很多浏览器都会保存steam的登录信息，自动登录，“因此点进去的那一刻就有可能被劫持了，所以务必不要抱着侥幸心理

行骗过程

1、骗子添加好友，声称想要购买你的某一件饰品（理由很多，包括但不限于：你中奖了，快去XX领奖、跟你组队打游戏、新网站送你XX余额等等）

2、骗子声称可以走第三方交易平台，但要求你先去“检查物品参数是否为他想要”，向你发送不明链接

3、点击钓鱼网站并登录后Steam账号被盗取，API和交易URL因此泄露，此后通过报价进行交易就会被骗

4、【①交易对象向你发送正常报价，②此时你的账号除了令牌、确认都在骗子手上，骗子拒绝掉，③同时用小号伪装成交易对象（如头像、昵称）向你发送一个一模一样的假报价】

5、【或①你向交易对象发送正常报价，②此时你的账号除了令牌、确认都在骗子手上，不等你确认，骗子立马取消掉你发送的原报价，并用你的账号向骗子的高仿号发起假报价】

5、确认时不认真核对对方信息，接受了假报价，饰品被骗

以上新版本手机steam会通过提醒你“最近有取消的报价”来防骗，但是这仍然是最常见的有效骗术之一

或：

在个人主页留言板下留下信息，声称想要购买你的某一件饰品（理由很多，包括但不限于：你中奖了，快去XX领奖、跟你组队打游戏、新网站送你XX余额等等），附带不明链接

如何预防

1、拒绝添加来路不明的Steam好友。若有必要，隐藏库存，关闭留言板有需求再打开，此方法能最大限度防止陌生人向你发送好友申请

2、陌生人发来的任何东西都不要去点击，不管它是链接还是图片

3、不轻易用Steam账号登录第三方网站

4、定期检查自己的API Key，发现任何不是由本人注册的key立马注销，并更改Steam密码

5、定期更换交易URL，更新后老URL将会失效

6、认真核对交易对象信息，比如：账号注册时间、Steam等级，若有不符立即中止交易

7、Steam社区域名由英文单词steam和community组成，牢记其拼写谨防高仿Steam官网，如m写成nn，字母o写成数字0

8、在最后确认报价前，再一次检查报价中的交易对象

补救措施

如果你发现被API劫持，甚至已经被骗走库存

1、立即【更改密码】、【取消设备授权】、【注销API】、【更新交易URL】防止二次受骗，以上四条请务必完成，不要存在侥幸心理

更改密码

取消授权

2、向Steam客服投诉，封掉伪造账号的交易权限

找就不要想着找回来了，因为API劫持而造成的损失找回几率几乎为0。在以前向Steam客服投诉还可以为你复制一份一模一样的库存补偿，但由于此种方法被滥用于恶意复制高端饰品（那些磨损一模一样的咆哮龙狙就这么来的），现在客服不再恢复库存。

以上操作均可在手机上操作

API劫持变种

部分玩家会遇到以下情况：自己的头像变为VAC、好友被清空，“Steam客服”声称立即将被VAC封禁，但给你时间“转移有价值的库存”，急忙转移库存却发现饰品不翼而飞。此种骗术主动引诱你进行交易，而这时你的账号几乎就是被骗子控制，并在交易时下手

更改账号密码、取消设备授权、注销API、更新交易URL，在完成上述要求前不要进行任何交易行为

如何判断自己已经被API劫持

1、向他人发送报价怎么都发不出去，均显示已取消

2、上面说过，通过API可以拒绝掉真正的交易报价，那么就在交易时查看报价历史里是否有被非本人取消/拒绝掉的报价，若有，那么你的账号就遭到了API劫持。你可以找一位好友试着向你发起报价（发起前请确保好友自己没被API劫持），如果你在报价历史发现了不是被自己拒绝的原报价，那么你已经遭到了API劫持（警告：部分API劫持会忽略掉价值低的报价，可能测试不出来，真正交易时则凶相毕露）

3、骗子可以模仿真正交易对象的昵称、头像甚至Steam等级，但有一点是几乎不可能模仿的：Steam注册时间（除非骗子为了钓你这条大鱼特意找了个注册时间相同的账号）。在第三方平台交易时平台会提醒你真正交易对象的注册时间，发起/接受报价时也能看到对方的注册时间，若两者不一致，这说明很有可能已经遭受API劫持，请立即中止交易。

最后

关于steam骗局也是老生常谈了，无论怎么被骗，只要有操作权，注销API，改交易URL，改密码，取消授权都是必要操作！原文较老，有缺失遗漏，需要更改的地方请大胆提出！我写这个文章也是为了以后遇到人被骗了方便直接丢给他看，没别的其他特殊需求

最近骗术比较降智，直接发救援码给骗子，目前我已遇到2个盒友中招，还有一定要留意自己的邮箱是否短时间内有大量市场交易通知，通常这是被洗余额的表现，以上操作通用