Гайды28.09.20269 мин чтения

Безопасная аренда скинов CS2: трейд-ссылка, Steam Guard и защита от API-скама

Как арендовать скин CS2 и не отдать свои предметы мошенникам: где взять трейд-ссылку, зачем мобильный аутентификатор Steam Guard, как проверить оффер по коду, распознать ботов-двойников и что делать при краже API-ключа.

Безопасная аренда скинов держится на трёх привычках: правильная трейд-ссылка в профиле, подключённый мобильный аутентификатор Steam Guard и внимательное чтение каждого обмена перед подтверждением. Мошенники в Steam редко взламывают что-то сложное — они подменяют офферы, пишут от имени поддержки и выпускают на чужой аккаунт API-ключ. Разберём, как выглядят наши обмены и по каким признакам отличить чужие.

Трейд-ссылка: где взять и почему она важна

Трейд-ссылка — адрес вашего инвентаря для обменов: по ней к вам приходит оффер с арендованным скином. Steam выдаёт её в настройках приватности обменов. Откройте в Steam инвентарь → «Предложения обмена» → «Кто может отправлять мне предложения обмена?» — ссылка на обмен находится внизу страницы, в блоке для сторонних сайтов. Скопируйте её целиком, без пробелов, и вставьте в Профиль на сайте — там же её можно поменять.

• Своя. Ссылка должна вести на тот же аккаунт Steam, с которого вы вошли на сайт. Оформить аренду на чужой аккаунт нельзя.
• Действующая. Если вы создали в Steam новую ссылку, старая перестаёт работать, и оффер до вас не дойдёт. Обновите её в профиле сразу — особенно если аренда уже оплачена.
• С открытыми обменами. Обмены на аккаунте не должны быть заблокированы Steam: ограничение аккаунта или отсутствие Steam Guard закрывают и аренду.

Трейд-ссылка — не пароль: зная её, можно только прислать вам предложение обмена, забрать по ней ничего нельзя. Но если к вам повалились странные офферы, создайте в Steam новую ссылку и замените её в профиле: старая перестанет работать для всех, у кого она была.

Зачем для аренды мобильный аутентификатор Steam Guard

Для аренды мобильный аутентификатор Steam Guard должен быть подключён больше 7 дней. Без него Steam не отдаёт обмен сразу, а удерживает его — до 15 дней. Аренде с коротким фиксированным сроком такая задержка не подходит, поэтому без аутентификатора аренду мы не оформляем, а текст отказа прямо называет причину.

Аутентификатор — ещё и последний рубеж защиты. Каждый обмен, в котором вы что-то отдаёте, приходится подтверждать в приложении Steam, и в подтверждении видно, кому и что уходит. Мошеннику мало подсунуть поддельный оффер — ему нужно, чтобы вы нажали «Подтвердить», не глядя.

Как проверить входящий оффер при аренде

Наши обмены устроены просто, и настоящий оффер всегда соответствует одному из четырёх сценариев. Выдача без залога приходит с нашего аккаунта проката сразу после оплаты, на принятие — 10 минут. При аренде с залогом лот покупается на площадке и едет к вам напрямую, поэтому обмен может прийти от аккаунта продавца — это нормально. Статус любой аренды виден в разделе «Моя аренда».

Отсюда простое правило: обмен, в котором у вас просят что-то сверх арендованного скина — другой предмет, деньги, скин «на проверку» или «для верификации», — не наш, даже если ник и аватар отправителя выглядят знакомо.

Код проверки в оффере на возврат

Текст оффера на изъятие подделать легко, код — нет. В комментарии к нашему обмену стоит «Code …» из 8 знаков, и он совпадает с кодом в «Моей аренде» рядом с кнопкой «Вернуть». У каждой аренды код свой, при повторной отправке оффера он остаётся прежним, а заранее узнать его постороннему неоткуда. Проверяйте так:

1. Заходите в оффер не из входящих, а кнопкой «Вернуть» в «Моей аренде»: она ведёт ровно на наш обмен.
2. Сверьте все 8 знаков кода в комментарии с кодом в кабинете.
3. Убедитесь, что с нашей стороны в обмене пусто, а с вашей — только арендованный скин.
4. Подтверждайте в мобильном аутентификаторе только после этих трёх проверок.

На принятие оффера на возврат есть сутки от первого оффера. Отклонили по ошибке — не раньше чем через 15 минут придёт новый, с тем же кодом, но сутки от отказа не продлеваются. Как устроен возврат целиком и когда размораживается залог — в статье о возврате арендованного скина.

Фальшивая поддержка и боты-двойники

Двойник — это аккаунт Steam с тем же ником и аватаром, что у настоящего бота или сотрудника сайта. Его задача — чтобы вы приняли его обмен или выполнили его просьбу, решив, что пишет сервис. Настоящая поддержка у нас одна — чат на сайте и контакты в подвале. Наш бот в Steam появляется у вас в друзьях только после того, как вы сами нажали «Подключить Steam» в профиле; он присылает уведомления и ничего не просит. Telegram-бот тоже подключается только из профиля.

• Вам пишут от имени «поддержки TradeLab», хотя вы никуда не обращались, и торопят: «аккаунт заблокируют», «оффер сгорит через минуту».
• Просят войти по ссылке из переписки. Вход на наш сайт идёт только через Steam: логин и пароль вводятся на странице самого Steam, в обычной вкладке с адресной строкой steamcommunity.com.
• Просят пароль, код Steam Guard, код из почты или API-ключ.
• Просят передать скин «на проверку», «для верификации» или «в залог» обменом.
• Ник и аватар совпадают, а профиль другой: свежая дата регистрации, низкий уровень, другая ссылка на профиль.

API-скам: как крадут обмены через ключ Steam

У каждого аккаунта Steam можно зарегистрировать Web API-ключ — это инструмент для разработчиков, страница steamcommunity.com/dev/apikey. Мошенники получают доступ к аккаунту через поддельную страницу входа и регистрируют ключ от вашего имени. С ним они видят ваши обмены в реальном времени и могут их отменять. Схема такая: к вам приходит настоящий оффер, мошенник его тут же отменяет и присылает копию с аккаунта-двойника — с тем же ником, аватаром и теми же предметами. Вы подтверждаете в приложении, и предмет уходит мошеннику.

Ключ даёт доступ к вашим обменам целиком, включая комментарии, поэтому при украденном ключе даже код проверки защищает хуже — его можно подсмотреть и скопировать. Главная защита здесь — не дать ключу появиться и регулярно проверять, что его нет. Признаки, что ключ уже у мошенника:

• офферы сами отменяются или исчезают из входящих, а следом приходит «такой же»;
• в подтверждении в приложении Steam отправитель не тот, что был минуту назад: другой уровень, дата регистрации или ссылка на профиль;
• на странице steamcommunity.com/dev/apikey есть ключ, который вы не создавали.

Что делать, если ключ украли

1. Откройте steamcommunity.com/dev/apikey. Если там есть ключ, а вы его не регистрировали, отзовите его кнопкой на этой же странице.
2. Смените пароль Steam, а если есть сомнения в почте, привязанной к аккаунту, — начните с неё.
3. В настройках Steam Guard деавторизуйте все другие устройства: так закроются все чужие сессии.
4. На нашем сайте в профиле завершите все сессии, кроме текущей, — и повторите это на втором сайте, если пользуетесь и маркетом, и арендой.
5. Пока всё не проверено, открывайте наши офферы только кнопкой «Вернуть» из «Моей аренды» и сверяйте отправителя в приложении перед каждым подтверждением.

Если скин уже ушёл по поддельному офферу, не тяните: пока у обмена идёт защита Steam, его можно отменить через поддержку Steam. Учтите цену такой отмены: Steam отменяет сразу все ваши подходящие обмены, включая аренды, и на 30 дней запрещает аккаунту обмен и продажу. Если среди отменённых окажется обмен возврата по аренде с залогом, замороженный залог за этот скин останется нам.

Что мы никогда не просим

• Пароль от Steam, коды Steam Guard и коды из почты. Вход идёт на стороне Steam — мы логин и пароль не видим и не храним.
• API-ключ Steam. Ни для аренды, ни для покупки он не нужен.
• Передать скин «на проверку» или отдать в оффере на возврат что-то сверх арендованного скина.
• Приватный ключ или сид-фразу кошелька: для вывода хватает адреса.
• Срок действия и код карты: для вывода на карту нужен только её номер.

Кто-то просит это от нашего имени — значит, это не мы. Не продолжайте переписку, отклоните подозрительные обмены и напишите в поддержку через чат на сайте. Короткие ответы по безопасности есть и в разделе «Частые вопросы».

Частые вопросы

Нужен ли API-ключ Steam, чтобы арендовать скин?

Нет. Для аренды нужны вход через Steam, трейд-ссылка в профиле и мобильный аутентификатор. Любой, кто просит API-ключ от имени сервиса, — мошенник.

Почему аренду не оформить без мобильного аутентификатора?

Без аутентификатора, подключённого больше 7 дней назад, Steam задерживает обмены, а аренде с коротким сроком задержка не подходит. Поэтому такую аренду мы не оформляем; деньги при отказе не списываются.

Как понять, что оффер на возврат прислали мы?

В комментарии стоит код из 8 знаков, который совпадает с кодом в «Моей аренде» рядом с кнопкой «Вернуть». С нашей стороны в обмене пусто, с вашей — ровно арендованный скин. Нет кода или он другой — не принимайте.

Я уже подтвердил подозрительный обмен. Что делать?

Проверьте страницу API-ключа и отзовите чужой ключ, смените пароль Steam, деавторизуйте другие устройства и обратитесь в поддержку Steam насчёт отката обмена. Если обмен касался аренды, сразу напишите нам с номером аренды.

Перед первой арендой проверьте три вещи: трейд-ссылка в профиле ведёт на ваш аккаунт, мобильный аутентификатор подключён больше недели, на странице API-ключа Steam пусто. Как устроена аренда целиком — в главной статье об аренде скинов CS2. Если пришёл обмен, который вызывает сомнения, или код не совпадает, не принимайте его и напишите в поддержку через чат на сайте — разберём по номеру аренды.