Steam 账号被劫持，高价买入 Dota 饰品

说来奇怪，我的 Steam 账号不但设置了手机令牌，邮箱也用的 iCloud 且开启了两步验证，密码也是用的 1password 生成的强密码，应该来说安全措施能上的都拉满了，然而昨天凌晨的时候收到了邮件，显示我买入了 20 多件 Dota 饰品，我甚至都没有玩过 Dota ，点进市场一看是高价买入低价饰品，还好我没有绑定信用卡，余额也就 70 多，虽然全给我霍霍完了但也损失不大。

向 Valve 申述被各种糊弄，总之就是我们很抱歉你的账号被劫持了但我们不能恢复你的损失。70 块钱损失了也就损失了，关键是我想知道我的账号是怎么被劫持的？整个过程中我的手机令牌屁都没放一个，邮箱也没收到任何登录请求。最近我也没有点击任何 steam 相关的链接，甚至我的号被劫持的时候我电脑还登着 steam 。除了修改密码，更换令牌，取消 API 外想不到其他方式来阻止下一次账号被劫持了，感觉盗号者就直接绕开了密码和令牌的。

刚刚看了很多，无论国内还是国外都有大量这样被盗余额的案例，还有更惨的老哥自己的高价值饰品被低价卖出，而且这种情况似乎很早就出现了（我看的最早的一个案例是 16 年的），Valve 对这种账号安全问题给我的感觉就是直接摆烂。

我的 steam 游戏都是通过挂刀获得的余额购买的，看来以后 steam 不能留太多余额了，随用随充。

我朋友收到一条短信，提示他正在解除手机令牌，72 小时内回复短信输入紧急备用码取消解绑。

你不是也遇到这种诈骗短信了或者其他类似的情况导致你的紧急备用码泄漏了，人家直接用紧急备用码跳过了你的二次验证。

在网吧或者其他地方登陆账号了？记得有人说过是 cookie 被盗了。

好像是 wall paper engine 的漏洞 我前段时间仓库里的东西被人低价挂出去了 也是毫无反应 邮件都没收到

大概率你 cookie 问题。

@mmddisa wallpaperengine 本质是个下载器, 会从创意工坊里下载任何内容, 包括且不限于: 视频, 压缩文件, 可执行二进制文件, 甚至 dll, 换句话说, 你在订阅木马.

@mmddisa #4 转区登号肯定会留下 cookie 的，有 cookie 就不需要任何鉴权

這種情況肯定是考慮本地機器已經中了木馬，直接通過已登錄的 cookies 操作都不用盜號。
可以的話分享下你的壁紙訂閱列表，應用程序類型的。

注意了！ Wallpaper 出现木马，steam 被盗号？_哔哩哔哩_bilibili
https://www.bilibili.com/video/BV1bL411v76n

@mmddisa 出现了找人转去，💖🌞超高危行为💖🌞~~bibo~~💖🌞