Скам в КС 2: как уводят скины и как защититься

Почти каждый угнанный инвентарь уходит по одной из шести схем, и у каждой есть признак, который виден до того, как предметы покинут аккаунт. Здесь описаны все шесть — с защитой по шагам и ссылками на страницы Valve. Главное правило сразу: поддержка Steam не возвращает предметы, покинувшие аккаунт, ни по какой причине, поэтому у вас есть только профилактика и 7-дневное окно отката.

Схем 6 описаны ниже
Проверьте сейчас dev/apikey чужой ключ = взлом
Окно отката 7 дней Trade Protection
Цена отката 30 дней запрет торговли

1. Скам с API-ключом

Вы вводите настоящие логин и пароль Steam на фишинговом сайте, и скрипт незаметно регистрирует на аккаунте Steam Web API key. Дальше бот следит за вашими обменами: когда вы отправляете настоящий трейд настоящей площадке, бот отменяет его и мгновенно шлёт внешне идентичный оффер с клона бота площадки. Вы подтверждаете его в телефоне, потому что он выглядит ровно как трейд, который вы сами только что создали.

Признаки

  • Созданный вами трейд отменяется и тут же «повторяется» от бота с тем же аватаром и именем.
  • Аккаунту-партнёру в повторном оффере несколько дней.
  • На аккаунте висит Web API key, который вы не создавали.

Защита

  1. Откройте steamcommunity.com/dev/apikey и войдите, если попросит.
  2. Если на странице есть ключ с незнакомым доменом, нажмите «Revoke My Steam Web API Key». Отзыв ничем не грозит: настоящие ключи нужны разработчикам, а не трейдерам.
  3. Смените пароль Steam и разлогиньте все остальные устройства.
  4. Повторяйте проверку ключа после первого входа на любом новом сайте.

Источники: страница Steam Web API key · условия Steam Web API · возврат украденного аккаунта Steam

2. Фейк-сайты и клоны доменов

Клоны настоящих маркетплейсов с одним изменённым символом в домене, страницы «вы выиграли розыгрыш» и поддельные окна логина, нарисованные внутри самой страницы. Valve прямо называет этот механизм в описании угона: фейковый Steam или сторонний трейд-сайт, которому вы сами отдаёте логин.

Признаки

  • Домен отличается от настоящего на один символ: rn вместо m, заглавная I вместо l, лишний дефис, другое окончание.
  • Форма входа просит пароль Steam где угодно, кроме steamcommunity.com.
  • «Окно браузера» нельзя вытащить за пределы родительской вкладки: оно нарисовано внутри страницы.
  • Сайт сам вас нашёл: комментарий, личное сообщение, инвайт в группу, «выигрыш» в розыгрыше, в котором вы не участвовали.

Защита

  1. Вводите адреса площадок сами или храните закладки; не переходите на страницу входа по ссылкам из чатов.
  2. Перед вводом пароля прочитайте адресную строку по символам: настоящие площадки авторизуют через Steam OpenID, поэтому страница пароля всегда живёт на steamcommunity.com.
  3. Попробуйте перетащить окно логина за пределы окна браузера; фейковое не выйдет за страницу.

Источники: Steam Scam FAQ · возврат украденного аккаунта Steam

3. Фейковые «админы» и гаранты

«Администратор Valve» или «поддержка площадки» пишет первой: ваши предметы «задублированы» или «на них жалоба», нужно передать их на «защищённый аккаунт» для проверки. Или в частной сделке появляется «проверенный гарант» — второй аккаунт скамера. Scam FAQ Valve называет обе схемы по именам: «аккаунты проверки» оставляют предметы себе и блокируют вас, а сделке, укладывающейся в правила Steam, гарант не нужен вовсе.

Признаки

  • Кто-то сам пишет вам о ваших предметах, торопит и грозит баном.
  • Просьба передать предметы «на проверку» под любым предлогом.
  • «Покупатель» с прямой оплатой на PayPal или карту вне площадки: перевод потом отзывают чарджбэком, когда скин уже ушёл.
  • Стены +rep-комментариев как доказательство честности; Scam FAQ прямо пишет, что они легко накручиваются.

Защита

  1. Сотрудники Valve никогда не просят передать предметы. Любой, кто просит, скамер; жалуйтесь через профиль и блокируйте.
  2. Для сделок с незнакомцами используйте маркетплейс с эскроу вместо доверия: сравнение площадок.

Источники: Steam Scam FAQ · Recommended Trading Practices

4. Развод с откатом Trade Protection

С 15 июля 2025 года каждый переданный предмет КС 2 остаётся Trade Protected 7 дней, и отправитель может откатить все свои защищённые обмены за последние 7 дней; откатившему дают 30-дневный запрет торговли, его партнёрам ничего. Скамеры превратили страховку в оружие: вам «продают» скин прямым трейдом, забирают деньги криптой или подарочной картой и откатывают обмен. Предмет возвращается к ним; деньги к вам не возвращаются.

Признаки

  • Незнакомец продаёт скин ниже рынка прямым трейдом с оплатой вне площадки «прямо сейчас».
  • Оплату принимают только безвозвратной: крипта, подарочные карты, переводы «друзьям».
  • Продавец уговаривает не обращать внимания на жёлтый щит Trade Protected на предметах.

Защита

  1. Считайте жёлтый щит кнопкой отмены на 7 дней в чужих руках: никогда не платите вне площадки за предмет из прямого трейда.
  2. Покупайте и продавайте через маркетплейсы, которые держат деньги до конца защитного окна; именно поэтому честные выплаты приходят примерно на 8-й день.
  3. Если аккаунт угнали, тот же механизм — ваш последний рубеж: откатите защищённые обмены в течение 7 дней.

Источники: Trade Protected Items FAQ · хронология изменений трейдов CS2

5. QR-фишинг и угон логина

Мобильное приложение Steam входит в аккаунт по QR-коду со страницы логина. Фишеры сами открывают настоящий вход Steam, а вам показывают свой QR на фейковой странице голосования, розыгрыша или турнира. Вы сканируете и подтверждаете, и они входят в ваш аккаунт, ни разу не увидев пароль.

Признаки

  • Любой сайт или «друг», просящий отсканировать QR-код, чтобы проголосовать, подтвердить или что-то получить.
  • Запрос подтверждения входа в Steam Guard, который вы не запускали; в запросе видны устройство и местоположение.
  • Сообщения «проголосуй за мою команду», часто с уже угнанного аккаунта друга.

Защита

  1. Сканируйте QR для входа только на странице логина Steam, которую открыли сами.
  2. Перед подтверждением читайте строку с устройством и местоположением в приложении.
  3. Отклоняйте запросы, которые не запускали, затем меняйте пароль и разлогинивайте другие устройства.

Источники: приложение Steam (вход по QR) · Steam Guard FAQ · возврат украденного аккаунта Steam

6. Фальшивое эскроу и площадки-пустышки

Не клон известного сайта, а «оригинальный» маркетплейс или «гарант-сервис» в Discord, созданный ради депозитов. Вы передаёте скины боту, баланс появляется в базе данных, а вывод так и не работает, или сайт просто исчезает. Мягкий вариант — настоящая площадка, умирающая вместе с вашим балансом: BitSkins закрылся в июне 2026-го с отключённым выводом, всё задокументировано в нашем досье.

Признаки

  • Молодой домен, нет страницы комиссий, нет истории компании, горстка отзывов.
  • Депозит уходит трейдом на аккаунт, похожий на личный, а не на подписанного бота площадки.
  • Вывод «временно недоступен», хотя депозиты открыты; агрессивные бонусы за пополнение.

Защита

  1. Перед любым депозитом читайте досье площадки: статус и флаги закрытия, комиссии, KYC, балл Trustpilot с числом отзывов, дату проверки. Все досье.
  2. Сначала маленький депозит, один вывод, и только потом крупные суммы.
  3. Считайте любой баланс на площадке необеспеченным долгом частной компании; это урок BitSkins наглядно показал.

Источники: наши досье площадок (факты проверены по каждой) · объявление о закрытии BitSkins

Если уже попались: первый час

  1. Отзовите чужой Web API key на steamcommunity.com/dev/apikey.
  2. Смените пароль и разлогиньте все устройства; если доступ потерян, начните с восстановления аккаунта.
  3. Если предметы ушли защищёнными обменами за последние 7 дней, откатите их из истории обменов. Цена — 30-дневный запрет торговли, взамен предметы вернутся. Как работает откат.
  4. Пожалуйтесь на скамера через его профиль Steam. Порядок жалобы.
  5. Знайте предел: «Поддержка Steam не восстанавливает предметы, покинувшие аккаунт, ни по какой причине». Окно отката — единственный существующий откат. Item Restoration Policy.

FAQ

Вернёт ли поддержка Steam скины после скама?

Нет. Item Restoration Policy Valve прямо говорит: предметы, покинувшие аккаунт, не восстанавливаются ни по какой причине, потому что они быстро переходят из рук в руки, а возврат означал бы дублирование. Единственный откат запускаете вы сами: отмена Trade Protected обменов в течение 7 дней.

Безопасен ли вход «через Steam» на сайтах маркетплейсов?

Сам механизм OpenID безопасен: сайт не видит ваш пароль, вы вводите его только на steamcommunity.com. Опасность в поддельных окнах входа, имитирующих эту страницу. Перед вводом проверьте, что в адресной строке steamcommunity.com и что окно можно перетащить за пределы страницы.

Я отозвал API-ключ. Аккаунт теперь чист?

Отзыв останавливает ботов, следящих за трейдами, но у фишера остаётся ваш пароль. Смените его, разлогиньте все устройства и проверьте почту с номером телефона на аккаунте. Если было вредоносное ПО, всё это не поможет, пока машина не проверена антивирусом или не переустановлена.

Почему маркетплейсы держат выплату около 8 дней?

Потому что предмет, полученный покупателем, можно отозвать откатом обмена в течение 7 дней. Площадки выпускают деньги, когда окно отката закрылось и продажа стала окончательной. Некоторые площадки мгновенной продажи платят сразу и берут риск отката на себя, закладывая его в котировку.

Что читать дальше