СОДЕРЖАНИЕ
API-скам - одна из самых коварных схем кражи скинов CS2. Её особенность в том, что пострадавший не отдаёт пароль и не теряет доступ к аккаунту. Он продолжает спокойно торговать, сам подтверждает обмен в мобильном приложении - и только потом понимает, что его скины ушли не на сайт, а мошеннику, который выдал себя за бота площадки.
В основе схемы лежит API-ключ Steam - инструмент для разработчиков, который многие игроки вводят на сайтах, не понимая, что именно отдают. Разберём, что это за ключ, какие возможности он даёт, как работает подмена обменов и что сделать прямо сейчас, чтобы защитить инвентарь.
Что такое Steam Web API-ключ
Steam Web API - это интерфейс, через который программы и сайты получают данные из Steam. Чтобы пользоваться им от имени конкретного аккаунта, разработчик создаёт API-ключ - уникальную строку из 32 символов, привязанную к аккаунту.
Ключ создаётся на странице steamcommunity.com/dev/apikey и нужен в первую очередь разработчикам: для ботов, сервисов статистики и интеграций. Обычному игроку, который просто покупает и продаёт скины, собственный API-ключ не нужен вообще.
| Что можно сделать с ключом | Что нельзя сделать с ключом |
|---|---|
| Видеть ваши входящие и исходящие предложения обмена | Войти в аккаунт и сменить пароль |
| Видеть историю обменов и состав сделок | Подтвердить обмен вместо вас в мобильном аутентификаторе |
| Отменять и отклонять ваши предложения обмена | Напрямую забрать предметы из инвентаря |
| Получать данные профиля и инвентаря | Изменить почту или привязанный телефон |
Таблица объясняет, почему владельцы ключа так легко недооценивают риск. Кажется, что раз ключ не даёт доступа к аккаунту, то и украсть ничего нельзя. Но в сочетании с ботом, который следит за вашими обменами, этих возможностей достаточно для подмены сделки.
Как работает API-скам
Схема почти всегда начинается одинаково - с фишингового сайта или поддельного окна входа. Пользователь думает, что авторизуется на знакомой площадке, а на деле отдаёт мошенникам доступ, через который они создают на его аккаунте API-ключ, или вводит ключ сам, потому что «сайт попросил для проверки обменов».
Дальше всё происходит автоматически:
- Мошенник получает ключ и подключает его к своему боту, который отслеживает ваши обмены в реальном времени.
- Вы начинаете обычную сделку на настоящем сайте: продаёте скин или выводите выигрыш, и бот площадки отправляет вам предложение обмена.
- Бот мошенника мгновенно отменяет это предложение через API, вы даже не успеваете его увидеть.
- Через секунду приходит новое предложение с тем же составом предметов, но от аккаунта, который скопировал ник, аватар и уровень оформления бота площадки.
- Вы подтверждаете обмен в мобильном приложении, считая, что это та же сделка, и предметы уходят мошеннику.
Со стороны сделка выглядит совершенно нормально: тот же ник, та же аватарка, те же предметы. Единственная разница - аккаунт получателя. Именно поэтому главный способ защиты - не просто «не вводить ключ», а всегда проверять получателя в мобильном подтверждении.
Признаки, что ваш ключ скомпрометирован
Если хотя бы один пункт из списка ниже вам знаком, считайте, что ключ уже у мошенников, и переходите к действиям из следующего раздела.
- Обмены отменяются сами собой. Предложение от бота сайта исчезает, а через мгновение приходит похожее.
- На странице API-ключа есть ключ, который вы не создавали, особенно с незнакомым доменом в описании.
- Получатель в подтверждении выглядит странно. Низкий уровень, аккаунт создан недавно, а представляется ботом крупной площадки.
- Вам пишут «от поддержки сайта» и просят повторить сделку, потому что «первый обмен не прошёл».
- Вы недавно входили на сайт по ссылке из чата, комментария или сообщения о бесплатном кейсе.
Что сделать прямо сейчас
Даже если вы не замечали ничего подозрительного, проверка займёт пару минут и закроет одну из самых опасных уязвимостей.
- Откройте steamcommunity.com/dev/apikey - вводите адрес вручную, а не переходите по ссылкам. Если вы видите ключ и не создавали его сами, нажмите кнопку отзыва ключа.
- Смените пароль Steam. Если мошенники создали ключ, у них, скорее всего, был доступ к сессии. Новый пароль должен быть уникальным.
- Деавторизуйте все другие устройства в настройках Steam Guard. Это завершит все активные сессии, в том числе украденные.
- Проверьте почту. Убедитесь, что на ней включена двухфакторная защита и нет правил пересылки писем, которые вы не создавали.
- Повторно проверьте страницу ключа через какое-то время. Если ключ снова появился, значит, доступ к аккаунту по-прежнему есть у посторонних - повторите шаги и проверьте устройство на вредоносные программы.
Если подмена уже произошла и предметы ушли мошеннику, действовать нужно быстро: в течение 7 дней обмен можно попытаться откатить через Trade Protection.
А как же площадки, которые просят ключ
Справедливый вопрос: некоторые P2P-маркетплейсы раньше просили API-ключ, чтобы автоматически отслеживать, отправил ли продавец предмет покупателю. То есть сам факт запроса ещё не означает, что перед вами мошенники. Но именно этим и пользуются фишинговые сайты: просьба ввести ключ выглядит привычно, и пользователи не задумываются.
Наша позиция простая: для входа, покупки, вывода выигрыша с сайта с кейсами или обмена с ботом API-ключ не нужен никогда. Если сайт просит его при входе, при выводе или «для проверки аккаунта», закрывайте вкладку. Если же вы сознательно пользуетесь крупным P2P-маркетплейсом, который запрашивает ключ для отслеживания сделок, вводите его только на официальном домене, который сверили заранее, и отзывайте ключ, когда перестаёте там торговать.
| Ситуация | Нужен ли API-ключ | Что делать |
|---|---|---|
| Вход на сайт через Steam | Нет | Входить только через настоящий steamcommunity.com |
| Вывод выигрыша с сайта с кейсами | Нет | Указать трейд-ссылку и сверить бота в подтверждении |
| Обмен с ботом площадки | Нет | Сверить получателя в мобильном подтверждении |
| «Проверка аккаунта» или «верификация инвентаря» | Нет | Это мошенничество, закрыть сайт |
| Продажа на отдельных P2P-маркетплейсах | Иногда запрашивают | Только на проверенном официальном домене, затем отозвать |
Проще всего выбирать площадки, которые работают без API-ключа и не просят лишних данных при входе. Подборку проверенных сайтов мы собрали в рейтинге.
Tradeit (Трейдит, Tradeit gg) прошёл личную проверку Rating-CS2.top: обмен скина, пополнение на $25 в криптовалюте и вывод. Читать обзор
- Мин. депозит
- 50 ₽
- Вывод средств
- От 2 минут
- Бонус
- + 5$ на баланс
LIS-SKINS (Лис Скинс) прошёл личную проверку Rating-CS2.top: я продал скины на 871,70 ₽, а деньги (752,28 ₽) потратил на покупку нужного предмета. Читать обзор
- Мин. депозит
- 1 ¢
- Вывод средств
- от 1 минуты
- Год основания
- 2017
Аван Маркет (Avan Market) прошёл личную проверку Rating-CS2.top: продажа скинов на 4395 ₽ с выплатой по СБП и пополнение на 2000 ₽. Читать обзор
- Мин. депозит
- 20 ₽
- Вывод средств
- От 5 минут
- Бонус
- +5% к продаже
Лично проверил SkinSwap: обменял 10 скинов на нож с бесплатным предметом, вывел деньги в USDT и пополнил баланс на 25$. Читать обзор
- Мин. депозит
- 10 ₽
- Вывод средств
- от 5 минут
- Бонус
- Скин до 1$
Проверил Аим Маркет: продал скин CS2 с выводом по СБП, пополнил баланс и купил скины у ботов. Читать обзор
- Мин. депозит
- 100 ₽
- Вывод средств
- от 5 минут
- Год основания
- 2023
Как защититься от подмены, даже если ключ украдут
Ключи утекают не только через сайты: их могут создать мошенники, получившие доступ к сессии через вредоносное расширение или фишинг. Поэтому вторая линия обороны - привычка проверять каждый обмен.
- Сверяйте получателя в мобильном приложении. Steam показывает ник, уровень и дату регистрации аккаунта, которому уходят предметы. Бот крупной площадки не будет аккаунтом, созданным пару дней назад.
- Сравнивайте защитный код или имя бота. Многие сайты показывают их на странице сделки - они должны совпадать с теми, что вы видите в Steam.
- Не спешите подтверждать. Если предложение исчезло и сразу появилось снова, это повод остановиться и проверить ключ, а не подтвердить «пока не пропало».
- Не устанавливайте сомнительные расширения. Расширения с доступом ко всем сайтам способны читать данные страницы Steam, включая сессию.
- Регулярно заглядывайте на страницу API-ключа. Это одна минута, которая может спасти весь инвентарь.
