Steam 遊戲暗藏惡意程式偷加密貨幣 FBI 公開 8 款涉事作品
約 8,000 部裝置據報中招，下載過淨係刪 game 都唔夠
FBI 點名 8 款遊戲
FBI 西雅圖分部正追查一批藏有惡意程式嘅 Steam 遊戲，公開呼籲曾經下載以下作品嘅人提供資料：BlockBlasters、Chemia、Dashverse、DashFPS、Lampy、Lunara、PirateFi 同 Tokenova。當局相信，主要攻擊時段由 2024 年 5 月去到 2026 年 1 月；刑事訴狀涵蓋嘅涉嫌活動就延續至 2026 年 2 月。
呢度有條重要界線要講清楚：刑事訴狀只稱遊戲經一間「熱門數碼發行軟件公司」推出，冇直接寫 Steam。之所以可以同 Steam 調查對照，係因為訴狀提到嘅 BlockBlasters、Dashverse、Lunara 同 PirateFi，亦出現喺 FBI 官方 Steam 惡意程式受害者頁。換句話講，Steam 關聯有充分公開資料支持，但唔應寫成訴狀親自確認咗平台身份。
當局指控約 8,000 部裝置中招
美國當局指控，21 歲佛羅里達州男子 Zyaire Wilkins 涉嫌出資購買惡意程式，再協助宣傳呢批遊戲。佢已經俾聯邦調查人員拘捕，案件仍未審結，現階段所有指控都未經法庭裁定。當局話，涉案集團推出 8 款帶有惡意程式嘅遊戲，感染約 8,000 部裝置，未經授權存取大約 80 個加密錢包，涉嫌偷走至少 22 萬美元加密貨幣。
數字睇落有少少古怪：8,000 部機入面，約 80 個錢包有損失，命中率大約 1%。刑事訴狀提供咗合理解釋——涉案人士涉嫌用 bot 喺 Discord、Telegram、X 同 LinkedIn 搵持有大量加密貨幣嘅人，再主動游說佢哋下載遊戲。惡意 game 負責廣撒網，社交平台訊息就挑高價值目標，兩邊夾埋先令攻擊有效。
點解裝咗遊戲就可能失守
加密貨幣玩家好多時會喺打機嗰部 Windows PC 同時開 browser wallet、交易所、Discord 同電郵，方便就方便，但攻擊者一入到部機，亦一次過掂到最有價值嗰堆資料。BlockBlasters 嘅獨立鑑證報告顯示，相關程式會收集 Steam 帳戶資料、檢查防毒軟件，再聯絡遙距控制 server 下載或啟動其他 payload；報告亦發現一份特定目標名單。
遊戲檔案係感染入口，後續 payload 仲可以偷 browser cookie、登入憑證同錢包資料。就算 Steam 已經移除作品，甚至玩家已經 uninstall，落咗去其他資料夾嘅程式、失竊嘅 session token 同已複製嘅資料，都唔會跟住自動消失。平台上架唔等於每次更新都值得無條件信任，細型免費遊戲再配合陌生人主動邀請，尤其要小心。
下載過應該點處理
如果曾經安裝上述任何一款遊戲，先截圖記低下載日期、Steam ID、可疑訊息同交易紀錄，跟住中斷嗰部 PC 嘅網上連線。唔好再用疑似中招嘅電腦登入電郵、Steam、交易所或者錢包。更新 Windows Defender 定義後做完整掃描同 Offline scan；一旦發現感染、掃描結果含糊，或者部機曾經擺過高價值錢包，乾淨重裝 Windows 會穩陣得多。
密碼要喺另一部可信裝置更改，優先處理電郵、密碼管理器、Steam、Discord、交易所同雲端帳戶，同時登出其他 session，再開啟雙重認證。Microsoft 嘅建議同樣係先清理惡意程式，之後先改密碼，避免新密碼再次俾人截走。記住唔好重用舊密碼，亦要檢查電郵有冇多咗轉寄規則或者陌生登入。
如果嗰部 PC 曾經存放軟件錢包 seed phrase 或私鑰，就要當佢哋可能已經外洩。用乾淨裝置或硬件錢包建立全新錢包，再將剩餘資產轉走；單靠改錢包 app 密碼或者撤銷 token 授權，阻止唔到攞到 seed phrase 嘅人重新控制舊錢包。轉帳前先核對地址，亦唔好相信聲稱收費追回失款嘅陌生人。
Uber Eats 禮品卡只係追查線索
案情最搶眼嘅花絮，係調查人員指涉案 Bitcoin 錢包曾經經 Bitrefill 購買超過 150 張數碼禮品卡，主要用喺 Uber Eats。當局向 Uber 索取資料後，發現部分訂單送到 Wilkins 家庭住址同大學居所，繼而把網上身份同真人連起來。呢條線索雖然搶眼，但事件亦提醒玩家，看似正常嘅遊戲下載一樣可以成為感染源頭。
FBI 受害者表格接受美國以外地址，國家選項亦包括香港。下載過相關遊戲、收到可疑邀請或者發現錢包異常嘅人，可以經官方表格交資料。案件之後要睇法庭點處理指控，同埋 Valve 會唔會交代上架及更新檢查有咩改善。
參考來源
- Tom's Hardware — Florida Man arrested after stealing $220,000 in crypto using malware hidden in Steam Games — 8,000 devices infected — original report
- FBI：Seeking Victim Information in Steam Malware Investigation — FBI 官方受害者頁，列出 8 款遊戲、主要攻擊時段同報料方法。
- 美國司法部：Federal Criminal Complaint — 案件原始刑事訴狀，用嚟核對指控內容同平台稱呼。
- Local 10：Feds accuse Broward man in video game malware conspiracy — 當地傳媒跟進拘捕、Signal 對話、禮品卡同地址追查資料。
- BlockBlasters Forensic Report — 技術鑑證報告，交代惡意檔案、遙距 server、Steam 資料收集同目標名單。
- Microsoft：Troubleshoot detecting and removing malware — 官方惡意程式掃描、Offline scan 同重設電腦指引。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
