贵皮放在库存里，出手并不难。对还有这种货的 CS2 玩家来说，这些东西可以是几千美元的量级。登录、手机令牌和交易确认要是松的，就等于把门开着。
下面按层写 2026 年还在用的盗号和骗皮手法。每一项都能在 Steam 里对上操作。
第一层：这三样没配上，号就还敞着
这三件没有配好，账号就处在能被打的状态。
- 打开手机令牌： 邮箱两步验证已经不够。必须用智能手机上的官方应用。这样就算密码到了别人手里，没有你这台设备，对方也登不进去，也交易不了东西。
- 密码只给 Steam 用，并且足够随机： Steam 密码不要在任何别的网站用过。用密码管理器（比如 Bitwarden、1Password 或 Apple 钥匙串）生成并保存至少 20 位的随机密码。
- 把绑定的邮箱先锁好： Steam 账号能有多安全，取决于绑上去的那个邮箱。Gmail、Outlook 这类要开两步验证，优先用验证器应用，不要用短信。
第二层：API 密钥和登录过的设备
这几项用来挡后台看不见的那种利用，比如 API 密钥骗局。
- 检查并撤销 API 密钥： 打开
https://steamcommunity.com/dev/apikey。如果挂着一把不是你自己创建的密钥（尤其域名是一串随机字符），马上点 “Revoke My Steam Web API Key”。这个页面一个月看一次。 - 注销所有其他设备： 隔一段时间强制所有设备退出。路径是 Steam Settings > Security > “Deauthorize all other devices”。在公共电脑、网吧或朋友的电脑上登过，这一项就更不能省。
- 不要扫不信任的二维码： Steam 手机应用的二维码扫描，只用来在你自己的电脑上登录官方 Steam 客户端。不要扫 Twitch 直播、YouTube 视频，或第三方网站上声称「免费掉落」「快速登录」的码。
第三层：资料和谁能看到你
对方用你公开的信息来找人，也会去做克隆号冒充你的朋友。
- 库存改成私密或仅好友： 如果你有高价货（AWP | 巨龙传说、蝴蝶刀这类），库存公开等于把目标挂出来。爬库存的机器人会找到你，然后往你这里刷消息。路径：Edit Profile > Privacy Settings > Inventory: Friends Only。
- 好友列表改成私密： 对方就看不到你的好友是谁，也就不好做克隆号去冒充他们。
- 关掉 Discord 里服务器成员的私信： 如果用 Discord 做 CS2 交易，到 User Settings > Privacy & Safety，把 “Allow direct messages from server members” 关掉。这一项能滤掉大约 99% 的骗术私信。
第四层：交易当下怎么点
交易进行到一半时你怎么操作，是最后一道。
- 手机确认先读字： Steam 应用让你确认交易时，不要直接点接受。把字读完。
- 对面是谁？（看 Steam 等级和加入日期。）
- 你到底要给出什么？
- 你到底要拿到什么？（对一下磨损档，比如崭新出厂、久经沙场、战痕累累，以及有没有 StatTrak。）
- 登录窗做拖拽测试： 第三方站要你 “Sign in through Steam” 时，抓住弹窗拖一下。如果拖不出主浏览器窗口，那就是假的钓鱼弹窗。不要填资料。
- 不要被拉到平台外面： 对方坚持要用 Skype、一个没人知道的 TeamSpeak 服务器，或者奇怪的「验证网站」来完成交易，立刻取消这笔交易。
- 不要信截图： PayPal 转账、银行余额、加密货币钱包的截图，几秒就能做假。只认你自己另行登录那家机构之后，界面上显示的余额。
隔一段时间要再做的事
安全要靠重复做，配完不能就放着。
- 每个月： 打开 API 密钥页。
- 每个季度： 注销所有其他设备，并更换 Steam 密码。
- 每次都留一点怀疑： 一笔好得不正常的交易，就是骗局。
单子上的项都做过，密码、密钥和确认屏才算关上。交易前仍以确认屏上的等级、加入日期，以及你要交出的东西为准。
