日前Cloud9戰隊分析師Ivan Kochugov | F_1N在個人頻道上分享了關於Boombl4的趣事，根據他的表述，胖球差點就成為了STEAM社區詐騙的受害者。
該事件發生於IEM成都小組賽晉級賽之前，當時詐騙者試圖得到Boombl4的信任，讓胖球將所有的飾品轉移到他在STEAM上唯一的好友那裡。
“最後一場比賽的前一晚，我和胖球正在為比賽做準備並觀看demo，然後他就從CS遊戲中掉線了。在檢查之後，他發現自己的STEAM賬戶上沒有頭像，還只剩下了一個好友。此外賬戶名也發生了變化，在名稱中出現了Pre-VAC的字樣。列表中唯一僅剩的好友介紹自己是 Steam的管理員，並警告說他的賬號處於VAC封禁前的狀態。當我們和Boombl4一起幡然醒悟並試圖在網上上查找詳細信息時，對方開始問一些問題，比如——你是該賬號的所有者嗎？
之後事件發展得更快：對方宣佈現在將從胖球賬戶中刪除反恐精英，然後遊戲就真的消失了，再往後我們看到了一份聲明，要求胖球必須在24小時內從賬戶中轉移所有皮膚。當然當時我們的神經很緊繃，但我們冷靜地思考後意識到自己不應該點擊任何鏈接，尤其不應該在賬戶上做不必要的動作。與此同時，我們向比賽主辦方尋求幫助。
而這名所謂的STEAM客服則態度強硬，繼續表示有必要緊急將皮膚轉移給朋友或將其放入存儲單元。後來我們發現詐騙者以某種方式獲取了胖球STEAM賬戶的API密鑰，從而可以對其執行各種操作。
最終這件事耗費了我們三個小時的時間。在此期間Boombl4沒有做任何傻事，賬戶的訪問權限最終被歸還了。但我已經夠緊張的了。通過此事我們也得出了結論：如果騙子想強迫你做什麼，那一定是有原因的。不管做什麼，都請三思而後行！”
API是程序背後中最常見的東西，用於程序之間相互通信請求和交換數據。第三方程序（例如交易平臺）需要拿到用戶的Steam API密鑰用於發起報價或檢測報價狀態。這也是為什麼想要通過第三方交易平臺進行交易是必須要綁定Steam API密鑰的原因。可以說有了API 密鑰之後，交易平臺就可以自動發起正確的報價給買賣雙方。
如果API密鑰洩露給了詐騙者，那麼詐騙者同樣可以操作報價，目前所有的API劫持詐騙基本也都是自動化完成的。
在STEAM官網之上，也有應對API劫持的辨別方案：
識別欺詐
對所有交易請求持懷疑態度，尤其是在對方施加壓力的情況下。 即使您認為自己正在與值得信賴的朋友（他們可能被劫持或冒充）或自稱擁有權威地位的人交談，也仍要如此；
將與物品相關的任何異常請求都視為是騙局的開端，即使該請求來自值得信賴的朋友也不例外，因為他們的帳戶可能被劫持或冒充；
請記住，任何通過Discord、Steam聊天或除Steam客服站點以外的任何其他系統就您的物品或帳戶與您交談的人，都不代表Steam，應該被屏蔽；
請勿點擊鏈接、安裝應用程序或向任何人提供您的帳戶憑據。 只要您保證帳戶安全，騙子就無法重定向您的交易；
請務必使用Steam手機驗證器的確認窗口中的所有信息，反覆確認您正在完成的交易是否為您打算完成的交易。
如果API已經洩露，則可以通過STEAM網頁重置自己的API，或者取消STEAM賬號對所有登錄設備的授權。
文章來源: 5EPlay