Steam 账号被劫持，高价买入 Dota 饰品

说来奇怪，我的 Steam 账号不但设置了手机令牌，邮箱也用的 iCloud 且开启了两步验证，密码也是用的 1password 生成的强密码，应该来说安全措施能上的都拉满了，然而昨天凌晨的时候收到了邮件，显示我买入了 20 多件 Dota 饰品，我甚至都没有玩过 Dota ，点进市场一看是高价买入低价饰品，还好我没有绑定信用卡，余额也就 70 多，虽然全给我霍霍完了但也损失不大。

向 Valve 申述被各种糊弄，总之就是我们很抱歉你的账号被劫持了但我们不能恢复你的损失。70 块钱损失了也就损失了，关键是我想知道我的账号是怎么被劫持的？整个过程中我的手机令牌屁都没放一个，邮箱也没收到任何登录请求。最近我也没有点击任何 steam 相关的链接，甚至我的号被劫持的时候我电脑还登着 steam 。除了修改密码，更换令牌，取消 API 外想不到其他方式来阻止下一次账号被劫持了，感觉盗号者就直接绕开了密码和令牌的。

刚刚看了很多，无论国内还是国外都有大量这样被盗余额的案例，还有更惨的老哥自己的高价值饰品被低价卖出，而且这种情况似乎很早就出现了（我看的最早的一个案例是 16 年的），Valve 对这种账号安全问题给我的感觉就是直接摆烂。

我的 steam 游戏都是通过挂刀获得的余额购买的，看来以后 steam 不能留太多余额了，随用随充。