Скам в КС 2: как уводят скины и как защититься

Большинство украденных инвентарей уходит по шести распространённым схемам. У каждой есть признаки, заметные до передачи предметов. В гайде разобраны эти признаки, защита и соответствующие страницы Valve. Поддержка Steam не возвращает переданные предметы, поэтому важны профилактика и 7-дневное окно отката.

Схем 6 описаны ниже
Проверьте сейчас dev/apikey чужой ключ = взлом
Окно отката 7 дней Trade Protection
Цена отката 30 дней запрет торговли

1. Скам с API-ключом

Вы вводите настоящие логин и пароль Steam на фишинговом сайте, и скрипт незаметно регистрирует на аккаунте Steam Web API key. Дальше бот следит за вашими обменами: когда вы отправляете настоящий трейд настоящей площадке, бот отменяет его и мгновенно шлёт внешне идентичный оффер с клона бота площадки. Вы подтверждаете его в телефоне, потому что он выглядит ровно как трейд, который вы сами только что создали.

Признаки

  • Созданный вами трейд отменяется и тут же «повторяется» от бота с тем же аватаром и именем.
  • Аккаунту-партнёру в повторном оффере несколько дней.
  • На аккаунте висит Web API key, который вы не создавали.

Защита

  1. Откройте steamcommunity.com/dev/apikey и войдите, если попросит.
  2. Если на странице есть ключ с незнакомым доменом, нажмите «Revoke My Steam Web API Key». Отзыв ничем не грозит: настоящие ключи нужны разработчикам, а не трейдерам.
  3. Смените пароль Steam и разлогиньте все остальные устройства.
  4. Повторяйте проверку ключа после первого входа на любом новом сайте.

Источники: страница Steam Web API key · условия Steam Web API · возврат украденного аккаунта Steam

2. Фейк-сайты и клоны доменов

Клоны настоящих маркетплейсов с одним изменённым символом в домене, страницы «вы выиграли розыгрыш» и поддельные окна логина, нарисованные внутри самой страницы. Valve прямо называет этот механизм в описании угона: фейковый Steam или сторонний трейд-сайт, которому вы сами отдаёте логин.

Признаки

  • Домен отличается от настоящего на один символ: rn вместо m, заглавная I вместо l, лишний дефис, другое окончание.
  • Форма входа просит пароль Steam где угодно, кроме steamcommunity.com.
  • «Окно браузера» нельзя вытащить за пределы родительской вкладки: оно нарисовано внутри страницы.
  • Сайт сам вас нашёл: комментарий, личное сообщение, инвайт в группу, «выигрыш» в розыгрыше, в котором вы не участвовали.

Защита

  1. Вводите адреса площадок сами или храните закладки; не переходите на страницу входа по ссылкам из чатов.
  2. Перед вводом пароля прочитайте адресную строку по символам: настоящие площадки авторизуют через Steam OpenID, поэтому страница пароля всегда живёт на steamcommunity.com.
  3. Попробуйте перетащить окно логина за пределы окна браузера; фейковое не выйдет за страницу.

Источники: Steam Scam FAQ · возврат украденного аккаунта Steam

3. Фейковые «админы» и гаранты

«Администратор Valve» или «поддержка площадки» пишет первой: ваши предметы «задублированы» или «на них жалоба», поэтому их требуют передать на «защищённый аккаунт» для проверки. В частной сделке может появиться «проверенный гарант», который на деле является вторым аккаунтом скамера. Scam FAQ Valve описывает обе схемы: «аккаунты проверки» оставляют предметы себе и блокируют вас, а сделке по правилам Steam гарант не нужен.

Признаки

  • Кто-то сам пишет вам о ваших предметах, торопит и грозит баном.
  • Просьба передать предметы «на проверку» под любым предлогом.
  • «Покупатель» с прямой оплатой на PayPal или карту вне площадки: перевод потом отзывают чарджбэком, когда скин уже ушёл.
  • Стены +rep-комментариев как доказательство честности; Scam FAQ прямо пишет, что они легко накручиваются.

Защита

  1. Сотрудники Valve никогда не просят передать предметы. Любой, кто просит, скамер; жалуйтесь через профиль и блокируйте.
  2. Для сделок с незнакомцами используйте маркетплейс с эскроу вместо доверия: сравнение площадок.

Источники: Steam Scam FAQ · Recommended Trading Practices

4. Развод с откатом Trade Protection

С 15 июля 2025 года каждый переданный предмет КС 2 остаётся Trade Protected 7 дней, и отправитель может откатить все свои защищённые обмены за последние 7 дней; откатившему дают 30-дневный запрет торговли, его партнёрам ничего. Скамеры превратили страховку в оружие: вам «продают» скин прямым трейдом, забирают деньги криптой или подарочной картой и откатывают обмен. Предмет возвращается к ним; деньги к вам не возвращаются.

Признаки

  • Незнакомец продаёт скин ниже рынка прямым трейдом с оплатой вне площадки «прямо сейчас».
  • Оплату принимают только безвозвратной: крипта, подарочные карты, переводы «друзьям».
  • Продавец уговаривает не обращать внимания на жёлтый щит Trade Protected на предметах.

Защита

  1. Считайте жёлтый щит кнопкой отмены на 7 дней в чужих руках: никогда не платите вне площадки за предмет из прямого трейда.
  2. Покупайте и продавайте через маркетплейсы, которые держат деньги до конца защитного окна; именно поэтому честные выплаты приходят примерно на 8-й день.
  3. Если аккаунт угнали, этот механизм остаётся последней защитой: откатите защищённые обмены в течение 7 дней.

Источники: Trade Protected Items FAQ · хронология изменений трейдов CS2

5. QR-фишинг и угон логина

Мобильное приложение Steam входит в аккаунт по QR-коду со страницы логина. Фишеры сами открывают настоящий вход Steam, а вам показывают свой QR на фейковой странице голосования, розыгрыша или турнира. Вы сканируете и подтверждаете, и они входят в ваш аккаунт, ни разу не увидев пароль.

Признаки

  • Любой сайт или «друг», просящий отсканировать QR-код, чтобы проголосовать, подтвердить или что-то получить.
  • Запрос подтверждения входа в Steam Guard, который вы не запускали; в запросе видны устройство и местоположение.
  • Сообщения «проголосуй за мою команду», часто с уже угнанного аккаунта друга.

Защита

  1. Сканируйте QR для входа только на странице логина Steam, которую открыли сами.
  2. Перед подтверждением читайте строку с устройством и местоположением в приложении.
  3. Отклоняйте запросы, которые не запускали, затем меняйте пароль и разлогинивайте другие устройства.

Источники: приложение Steam (вход по QR) · Steam Guard FAQ · возврат украденного аккаунта Steam

6. Фальшивое эскроу и площадки-пустышки

Не клон известного сайта, а «оригинальный» маркетплейс или «гарант-сервис» в Discord, созданный ради депозитов. Вы передаёте скины боту, баланс появляется в базе данных, а вывод не работает или сайт исчезает. Бывает и реальная площадка, закрывающаяся вместе с вашим балансом. BitSkins закрылся в июне 2026-го с отключённым выводом; это задокументировано в нашем досье.

Признаки

  • Молодой домен, нет страницы комиссий, нет истории компании, горстка отзывов.
  • Депозит уходит трейдом на аккаунт, похожий на личный, а не на подписанного бота площадки.
  • Вывод «временно недоступен», хотя депозиты открыты; агрессивные бонусы за пополнение.

Защита

  1. Перед любым депозитом читайте досье площадки: статус и флаги закрытия, комиссии, KYC, балл Trustpilot с числом отзывов, дату проверки. Все досье.
  2. Сначала маленький депозит, один вывод, и только потом крупные суммы.
  3. Считайте любой баланс на площадке необеспеченным долгом частной компании; это урок BitSkins наглядно показал.

Источники: наши досье площадок (факты проверены по каждой) · объявление о закрытии BitSkins

Если уже попались: первый час

  1. Отзовите чужой Web API key на steamcommunity.com/dev/apikey.
  2. Смените пароль и разлогиньте все устройства; если доступ потерян, начните с восстановления аккаунта.
  3. Если предметы ушли защищёнными обменами за последние 7 дней, откатите их из истории обменов. Вы получите 30-дневный запрет торговли, а предметы вернутся. Как работает откат.
  4. Пожалуйтесь на скамера через его профиль Steam. Порядок жалобы.
  5. Учитывайте ограничение: «Поддержка Steam не восстанавливает предметы, покинувшие аккаунт, ни по какой причине». Окно Trade Protection является единственным способом отката. Item Restoration Policy.

FAQ

Вернёт ли поддержка Steam скины после скама?

Нет. Item Restoration Policy Valve прямо говорит: предметы, покинувшие аккаунт, не восстанавливаются ни по какой причине, потому что они быстро переходят из рук в руки, а возврат означал бы дублирование. Единственный откат запускаете вы сами: отмена Trade Protected обменов в течение 7 дней.

Безопасен ли вход «через Steam» на сайтах маркетплейсов?

Сам механизм OpenID безопасен: сайт не видит ваш пароль, вы вводите его только на steamcommunity.com. Опасность в поддельных окнах входа, имитирующих эту страницу. Перед вводом проверьте, что в адресной строке steamcommunity.com и что окно можно перетащить за пределы страницы.

Я отозвал API-ключ. Аккаунт теперь чист?

Отзыв останавливает ботов, следящих за трейдами, но у фишера остаётся ваш пароль. Смените его, разлогиньте все устройства и проверьте почту с номером телефона на аккаунте. Если было вредоносное ПО, всё это не поможет, пока машина не проверена антивирусом или не переустановлена.

Почему маркетплейсы держат выплату около 8 дней?

Потому что предмет, полученный покупателем, можно отозвать откатом обмена в течение 7 дней. Площадки выпускают деньги, когда окно отката закрылось и продажа стала окончательной. Некоторые площадки мгновенной продажи платят сразу и берут риск отката на себя, закладывая его в котировку.

Что читать дальше