O funcionamento dos golpes com chaves da Steam Web API
A economia da comunidade do Steam movimenta cifras astronômicas em transações de itens cosméticos para títulos como Counter-Strike 2, Dota 2 e Team Fortress 2. Para conter roubos de credenciais, a Valve implementou a autenticação em duas etapas via Steam Guard no celular. Em contrapartida, redes criminosas passaram a explorar uma ferramenta oficial destinada a programadores: a Steam Web API.
Diferente dos roubos de conta tradicionais, em que o invasor altera login e senha de forma abrupta, o golpe da API opera em total discrição. A vítima continua jogando e acessando a conta sem perceber que um script malicioso automatizado obteve permissão para monitorar, cancelar e substituir ofertas de troca em questão de milissegundos.
Matriz comparativa: Métodos de roubo em trocas do Steam
Compreender as diferenças entre os golpes ajuda a isolar a ameaça com mais rapidez:
| Vetor de ataque | Ponto de infiltração primário | Como dribla o Steam Guard | Método de desvio dos itens | Visibilidade para o usuário | Ação corretiva emergencial |
|---|---|---|---|---|---|
| Golpe da Steam Web API | Login em sites falsos de apostas, campeonatos ou brindes | Rouba o cookie de sessão e gera uma chave API silenciosa | Cancela a troca original na hora e envia uma oferta de bot clone | Quase invisível (avatar e nome idênticos no app do celular) | Revogar chave API, desautorizar aparelhos, trocar senha e gerar nova URL |
| Phishing de credenciais direto | Links falsos prometendo skins gratuitas | Exige o código do autenticador direto na página falsa | Acessa a conta e vende tudo a preço baixo no mercado da comunidade | Alta (chegam avisos imediatos de novo login) | Abrir chamado no Suporte Steam com comprovantes de titularidade |
| Extensão maliciosa de navegador | Plugins que prometem calcular valor de inventário | Injeta scripts JavaScript no navegador | Altera o destinatário das trocas feitas via web | Limitada ao navegador (o cliente do Steam não é afetado) | Desinstalar extensões suspeitas e limpar histórico/cache |
| Golpe do QR Code no Discord | Códigos QR prometendo Discord Nitro grátis | Usuário escaneia o código pelo app do Steam | O invasor cria uma sessão remota válida | Média (o app avisa sobre nova conexão) | Ir ao Steam Guard e desautorizar todos os aparelhos |
A dinâmica do desvio em milissegundos: Como atuam os bots clone
A maior armadilha do golpe de API é a automação que substitui a transação antes que o usuário perceba:
- Invasão inicial: O usuário entra em um site malicioso e faz login clicando em "Entrar com o Steam". O portal captura os dados de sessão e cria uma chave de API nas configurações da conta.
- Monitoramento constante: O script do golpista envia requisições a cada 500 milissegundos para a API da Valve monitorando se há trocas de saída ativas (
TradeOfferStateActive). - Interceptação da troca: Quando o usuário envia itens para um amigo ou para um bot oficial de um site de comércio conhecido, o script identifica a transação.
- Cancelamento e clonagem:
- Em menos de 200 milissegundos, o script executa um comando de cancelamento da troca legítima (
CancelTradeOffer). - Quase instantaneamente, ele copia a foto de perfil, o apelido e as informações do destinatário pretendido.
- Um bot secundário da quadrilha assume a identidade clonada e envia uma nova proposta idêntica de troca à vítima.
- Em menos de 200 milissegundos, o script executa um comando de cancelamento da troca legítima (
- O erro na confirmação móvel: Ao abrir o aplicativo do Steam no celular, a vítima vê a foto e o nome de quem já esperava. Se confirmar sem checar os detalhes da conta, os itens são transferidos diretamente para os golpistas.
Guia de emergência em 4 etapas para conter a invasão
Caso suas trocas comecem a ser canceladas sozinhas ou desconfie de invasão, siga estas instruções:
-
Checar e revogar a chave da API: Abra no navegador o endereço oficial:
https://steamcommunity.com/dev/apikey- Se você não é desenvolvedor, a página deve exibir um formulário em branco pedindo um "Nome de domínio".
- Se já houver um domínio preenchido (como
localhostou um site estranho), sua conta está ativamente comprometida. - Clique imediatamente em Revogar minha chave da API Web Steam.
-
Desautorizar todos os dispositivos conectados: No programa do Steam no computador, acesse Steam -> Configurações -> Segurança -> Desautorizar todos os outros dispositivos. Isso derrubará qualquer sessão aberta pelo invasor.
-
Trocar a senha principal da conta: Mudar a senha invalida os certificados de autenticação antigos nos servidores da Valve.
-
Gerar um novo URL de Troca: Acesse as configurações de privacidade de trocas:
https://steamcommunity.com/id/me/tradeoffers/privacyNa seção "Sites de terceiros", clique em Criar novo URL. Isso inutiliza links antigos e barra novos rastreamentos do seu inventário.
Regra de ouro ao confirmar trocas no celular
Na tela de confirmação do Steam Guard no smartphone, nunca confie apenas na foto de perfil e no nome do usuário.
Toque no destinatário para abrir os detalhes e confira sempre a Data de cadastro (Member Since) e o Nível Steam (Steam Level). Se estiver negociando com um amigo de longa data com conta de 10 anos e nível 60, mas na tela constar "Nível 0, conta criada há 2 dias", trata-se de um bot clone golpista. Cancele na hora. A Valve não devolve itens perdidos em trocas confirmadas pelo usuário.
Auditor de segurança e API do Steam 365Finds
Para negociar skins com tranquilidade, consulte o Auditor de Segurança e API do Steam da 365Finds. Nossa ferramenta ajuda a verificar se há chaves de API ocultas no seu cadastro, analisa se seu link de troca está seguro e traz uma lista de conferência rápida para neutralizar golpes de bots clone antes de qualquer transferência de valor.