Steam游戏藏木马，黑客盗走22万美元加密货币

美国佛罗里达州一名21岁男子Zyaire Wilkins近日被捕，他被指控从2024年5月到2026年2月期间，伙同他人制作并上架了8款内含恶意软件的Steam游戏，借此感染了约8000台设备，并控制了80个加密货币钱包，盗走至少22万美元。这些游戏包括BlockBlasters、Chemia、Dashverse/DashFPS、Lampy、Lunara、PirateFi和Tokenova等，虽然起诉书未明确说明游戏是否直接上传到Steam平台，但FBI此前已就相关游戏发布过“Steam恶意软件调查”的受害者信息征集。

这类操作其实并不新鲜：恶意游戏伪装成正常产品，通过Discord、Telegram、X/Twitter甚至LinkedIn等社交平台推广，诱导用户下载。一旦安装，木马就会窃取用户电脑中的私密信息，并直接清空加密货币钱包。去年就有报道提到，其中一款叫BlockBlasters的游戏曾导致超过15万美元损失，受害者中甚至包括一位为癌症治疗筹款的游戏主播。

对普通玩家来说，这事最直接的影响是：即便在Steam这种相对封闭的平台，也不能完全信任所有游戏。尤其是那些看起来像小作坊出品、宣传却铺天盖地的免费或低价游戏，背后可能藏着盗币脚本。如果你在Steam上看到名字奇怪、评论可疑的新游戏，最好先观望一下，别急着下载。另外，加密货币玩家更要警惕，别在游戏设备上存大量私钥或登录热钱包。

FBI这次是通过追踪嫌疑人的加密货币地址，发现他曾在Bitrefill上用币购买超过150张礼品卡（包括Uber Eats外卖卡），进而查到手机号和住址，最终在7月14日将其逮捕。这个破案路径也提醒我们：链上交易虽然匿名，但一旦与现实身份挂钩，追查起来并不难。整体来看，这件事给平台和用户都敲了警钟——游戏下载渠道的安全审核还有很大漏洞，而普通玩家需要更谨慎地对待“免费游戏”的诱惑。