很惊讶于本吧这么多人被骗饰品或者被盗取账号依然没有专门的防盗贴，而且不止小白，连几千小时的老油条也被盗号过。本帖意在提高防骗意识，纯教学防骗。

太长不看版：
1、绑定Steam手机令牌（五位随机码），这是基础中的基础
2、Steam社区市场是最安全的官方交易场所
3、陌生人加Steam好友要警惕，若提出想要购买你的饰品并向你发送不明链接，不要点击，直接拉黑删好友
4、不要使用Steam账号登录任何可疑的网站，若已登录请立即修改密码、取消设备授权、注销API Key并更新交易URL
5、不要信任所谓的“大商”、“中介”，再次重申本吧吧务组不支持、不承认、不推荐任何所谓的“中介”
6、拒绝任何形式的“先钱”、“先货”交易，如今最不值钱的就是信用
7、使用第三方平台交易时严格按照平台指定的步骤进行操作
8、最重要的，不贪小便宜

正片：
首先来解释几个名词
1、API Key
这是Steam免费提供的一种接口，对于饰品相关来说，通过API可以查询你的交易报价内容（交易物品、留言等）以及【取消】和【拒绝】交易报价（记住通过API无法主动【发起】报价），API劫持诈骗核心之一

手机新版steam

ps如果不需要uu加速器，尽量直挂，不然会要求你在网页上再登录一次

迟了，已经被盗了

2、手机令牌
Steam手机令牌是Steam手机应用（App Store及各大应用市场可下载）最重要的一项功能，它是保护账号安全的最终防护手段，没有令牌你买卖饰品将会受到很大限制，比如交易暂挂。注意令牌不是绑定手机、下载手机应用就开启了的，要自己在手机应用里手动开启令牌功能。
上一楼就有开启令牌
3、交易URL
有人会问，既然通过API不能主动发起报价，非好友之间也无法直接发起报价，那骗子小号是如何向自己发送报价的呢？这就要提到交易URL了。Steam的机制规定非好友之间无法直接发起报价，但是通过特定的交易URL，他人就可以在尚未添加好友的情况下向你发送报价，API劫持诈骗核心之一

手机新版查看方式

4、确认
保护库存安全的最终防护手段。你在Steam市场出售、发起己方有物品的交易报价（若己方没有东西不需要确认），都需要在Steam手机应用侧边栏的“确认”一项里进行最终确认，防止库存被恶意盗取。确认功能只能在绑定了令牌的手机上使用，即使骗子盗了你的号，确认仍要号主本人进行，换句话说，自己是否被骗取决于【你自己】【但是如果骗子劫持了你的账号，可以通过steam市场出售你的饰品，1美元以下可以不需确定】

常见骗术介绍：
1、【API劫持】
这是目前最为常见的骗术之一。顾名思义，API Key被骗子恶意劫持，通常是由于玩家使用Steam账号登录了钓鱼网站造成的。此时你的账号、API以及交易URL全在骗子手上，等的就是你用手机进行确认的那一步。若API Key被劫持，骗子就可获取你的交易信息，别人向你发起报价，骗子通过被劫持的API在一瞬间拒绝掉真正的报价，并通过小号换上对方的昵称、头像，向你发送伪造的假报价，在确认阶段稍微不注意核实就接受了假报价，导致被骗
P.S. 理论上来讲，点击钓鱼网站链接但不登录是不会有事的，除非你手贱去登录。但保不齐哪天骗术又升级了，所以只是点击链接也请视为API已被劫持
行骗过程：
1、骗子添加好友，声称想要购买你的某一件饰品（理由很多，包括但不限于：你中奖了，快去XX领奖、跟你组队打游戏、新网站送你XX余额等等）2、骗子声称可以走第三方交易平台，但要求你先去“检查物品参数是否为他想要”，向你发送不明链接3、点击钓鱼网站并登录后Steam账号被盗取，API和交易URL因此泄露，此后通过报价进行交易就会被骗
4、【①交易对象向你发送正常报价，②此时你的账号除了令牌、确认都在骗子手上，骗子拒绝掉，③同时用小号伪装成交易对象（如头像、昵称）向你发送一个一模一样的假报价】
5、【或①你向交易对象发送正常报价，②此时你的账号除了令牌、确认都在骗子手上，不等你确认，骗子立马取消掉你发送的原报价，并用你的账号向骗子的高仿号发起假报价】
5、确认时不认真核对对方信息，接受了假报价，饰品被骗
或：
在个人主页留言板下留下信息，声称想要购买你的某一件饰品（理由很多，包括但不限于：你中奖了，快去XX领奖、跟你组队打游戏、新网站送你XX余额等等），附带不明链接

API劫持变种：
部分玩家会遇到以下情况：自己的头像变为VAC、好友被清空，“Steam客服”声称立即将被VAC封禁，但给你时间“转移有价值的库存”，急忙转移库存却发现饰品不翼而飞。此种骗术主动引诱你进行交易，而这时你的账号几乎就是被骗子控制，并在交易时下手补救措施：
更改账号密码、取消设备授权、注销API、更新交易URL，在完成上述要求前不要进行任何交易行为

如何判断自己遭到API劫持？
1、向他人发送报价怎么都发不出去，均显示已取消
2、上面说过，通过API可以拒绝掉真正的交易报价，那么就在交易时查看报价历史里是否有被非本人取消/拒绝掉的报价，若有，那么你的账号就遭到了API劫持。你可以找一位好友试着向你发起报价（发起前请确保好友自己没被API劫持），如果你在报价历史发现了不是被自己拒绝的原报价，那么你已经遭到了API劫持（警告：部分API劫持会忽略掉价值低的报价，可能测试不出来，真正交易时则凶相毕露）
3、骗子可以模仿真正交易对象的昵称、头像甚至Steam等级，但有一点是几乎不可能模仿的：Steam注册时间（除非骗子为了钓你这条大鱼特意找了个注册时间相同的账号）。在第三方平台交易时平台会提醒你真正交易对象的注册时间，发起/接受报价时也能看到对方的注册时间，若两者不一致，这说明很有可能已经遭受API劫持，请立即中止交易。

差不多这些了，还有一些Dota老哥也用不上，再讲讲网易buff平台

网易buff是，网易和v社合作搞定第三方饰品交易平台，很多饰品在buff上买比steam平台更便宜，比如大圣至宝就便宜了将近55块，英雄澎湃游戏里卖35，buff只要3块钱不到