O que é API scam na Steam: como funciona a troca de trade
API scam é o golpe mais perigoso do trade de skins, porque no momento em que você percebe o que aconteceu, o acesso à sua conta já está com outra pessoa. É diferente de um golpe genérico de Discord ou bot falso — aqui a técnica é bem específica, então vale entender exatamente o mecanismo antes de decidir o que fazer.
Como o golpe troca sua oferta de negociação por uma idêntica sem você perceber, por que só remover a API key não resolve nada e a ordem certa pra reagir se você caiu nele.
O que acontece de verdade
Primeiro, o golpista consegue acesso à conta. Via página de login falsa mandada no Discord, malware no computador ou sessão roubada — o método não importa, importa o fato de já estar dentro.
Depois, ele registra na sua conta uma Web API key e monta uma automação que fica vigiando suas propostas de negociação.
Você começa uma troca normal, de verdade, com alguém confiável. A automação cancela sua oferta original na hora e cria uma visualmente idêntica — mesmos itens, mesmo nick, mesmo avatar, mas partindo de uma conta falsa que ele controla.
Você vê uma proposta familiar, pensa «deu erro e recarregou de novo» e confirma no app do celular. Os itens saem da sua conta, mas não vão pra quem você pensava.
O detalhe que mais importa: a Steam não foi invadida. Toda a confirmação foi feita por você mesmo, com o seu próprio autenticador. É exatamente por isso que reaver os itens é quase impossível.
Por que o nome engana
Por causa da palavra «API», muita gente acha que o problema está na chave e que basta apagá-la. Não é assim, e é um engano perigoso.
A API key é só uma ferramenta de automação conveniente. Quem tem acesso completo à conta faz a mesma coisa sem ela, na mão. E uma chave nova ele cria de novo um minuto depois de você apagar a antiga.
O problema de verdade é a conta ou o aparelho comprometidos. Enquanto isso não é resolvido, mexer só na chave não muda nada.
Sinais de que você já está comprometido
Na página steamcommunity.com/dev/apikey existe uma chave que você não criou.
Uma proposta de negociação cancela e logo chega outra parecida — principalmente se isso se repete.
Nas configurações de segurança aparecem sessões ativas de aparelhos desconhecidos ou de outras cidades.
No e-mail chegam avisos de login que você não fez, ou de mudança de configuração.
No histórico de trocas existem operações que você não lembra de ter feito.
A ordem certa pra reagir
Aqui a sequência importa mais que a velocidade — fazer fora de ordem obriga a repetir tudo.
Primeiro: pare qualquer operação em andamento e saia do aparelho comprometido. Faça o resto do celular ou de um computador limpo, que não é seu de uso normal.
Segundo: rode um antivírus no seu computador. Se tem malware ali, trocar senha por esse aparelho não adianta — a senha nova vaza igual à antiga.
Terceiro: troque a senha do e-mail vinculado à Steam. É por ele que se recupera o acesso, então é o primeiro a proteger.
Quarto: troque a senha da Steam e encerre todas as sessões ativas nas configurações de segurança.
Quinto: revogue a Web API key. Só agora, com o acesso já fechado.
Sexto: confira o histórico de trocas, as propostas ativas e as configurações — veja se apareceu algum vínculo novo.
- Nunca fale o código do Steam Guard pra ninguém, nem pra quem se apresenta como suporte.
- Não continue conversando com a pessoa da negociação suspeita.
- Guarde os links dos perfis, prints e números de troca antes de abrir chamado com o suporte.
Como não cair nisso
A única defesa confiável é não entregar o acesso. Entre nas plataformas pelos seus próprios favoritos, nunca por link mandado em mensagem ou grupo de Discord. Não digite dados da Steam em página que abriu sozinha. Não rode programa mandado no privado, mesmo que venha de gente conhecida.
E o hábito que pega o golpe no último passo: na confirmação do celular, olhe sempre o SteamID permanente do parceiro, nunca o nick e o avatar. Se a proposta cancelou e chegou outra nova, pare e confira tudo de novo do zero. É exatamente nesse momento que o golpe funciona.
Perguntas frequentes
O que é API scam explicando de forma simples?
Um golpe em que alguém com acesso à sua conta troca a sua proposta de negociação por uma visualmente idêntica vinda de um perfil falso, e você mesmo confirma sem perceber.
Basta apagar a API key pra resolver?
Não. A chave é uma ferramenta, não a causa. Enquanto a conta ou o aparelho continuam comprometidos, uma chave nova é criada de novo.
A troca pode mudar depois que eu já confirmei?
Não. A troca acontece antes da confirmação — por isso o conteúdo e o destinatário precisam ser checados exatamente no momento de confirmar no app.
A Steam devolve os itens depois de um API scam?
Quase nunca. Formalmente foi o dono da conta quem confirmou a troca, então a Valve não trata isso como operação não autorizada.
Como sei se existe uma API key que não é minha?
Abra steamcommunity.com/dev/apikey. Se tiver uma chave registrada que você não criou, considere a conta comprometida e siga a ordem de recuperação.
Roubaram minha conta Steam: o que fazer agora, passo a passo
A ordem certa de ação nos primeiros minutos, por que o e-mail vem antes do próprio Steam, e o que a Valve realmente devolve depois — e o que quase nunca volta.
Ler guia
Como saber se um link da Steam é falso antes de clicar
O domínio se lê da direita pra esquerda, o cadeado do navegador não prova nada e a janela de login falsa trava na borda da página. Os testes que separam link real de phishing em segundos.
Ler guia