API 密钥钓鱼骗局拆解：报价被掉包的全过程

这是第三方饰品交易里最高发、也最迷惑的骗局——官方安全提示把它排在第一位。理解它的链条，你就明白为什么 API 密钥只准绑在平台自己的框里。

骗局链条还原

1. 骗子发来一个钓鱼链接：伪装成 Steam 站点的「登录送饰品」「优惠活动」「开箱网站」「国服预约」页面。
2. 你输入了 Steam 账号密码与手机令牌验证码。
3. 骗子拿着凭证立刻登录真正的 Steam，给你的账号创建一个 API 密钥。
4. 凭这个密钥，骗子能同步看到你收到的所有交易报价，还能拒绝报价。
5. 你在平台正常交易，官方机器人发来报价 → 骗子用密钥自动拒绝 → 骗子发来一个一模一样的假报价（昵称、头像、验证码、附言全仿冒）。
6. 你没去验证中心，肉眼比对没发现破绽，确认交易——饰品进了骗子口袋。

自查：你的 API 密钥还是不是你的

1. 登录 Steam 网站，进入个人资料下方的「API 密钥」注册页查看密钥归属。
2. 显示「没有注册密钥」但你明明绑过 → 已被注销，账号大概率失守。
3. 显示一个不是你注册的密钥 → 立即处理，见下面止损步骤。

止损四步

1. 注销陌生密钥：在 Steam 的 API 密钥页面立即撤销删除。
2. 改 Steam 密码：连同邮箱密码一起改。
3. 检查平台侧绑定：把平台里的 API 密钥更新为自己重新注册的。
4. 核查近期订单：有报价异常或物品流失的，截图联系在线客服与 Steam 支持。

预防只有两条

• 不用 Steam 账号登录任何不明网页链接，认准 Steam 官网域名再输密码。
• 平台绑定 API 密钥后，隔段时间去 Steam 侧复查一次密钥归属——这是绝大多数人从来不做的动作，也是骗子能长期得手的原因。