Das FBI hat Ermittlungen gegen Cyberkriminelle eingeleitet, die über manipulierte Indie-Spiele auf Steam Schadsoftware verbreitet haben. Die Malware zielte auf Kryptowährungen und sensible Zugangsdaten ab. Die US-Bundespolizei ruft betroffene Spieler auf, sich zu melden und die Ermittlungen zu unterstützen.
Diese Spiele sind betroffen
Die Ermittler haben bislang sieben mit Malware verseuchte Steam-Spiele identifiziert: BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi und Tokenova. Die Titel waren zwischen Mai 2024 und Januar 2026 auf der Plattform aktiv. Valve hat die meisten davon bereits aus dem Store entfernt und betroffene Käufer informiert.
Bei den infizierten Spielen handelte es sich überwiegend um kleine Indie-Titel aus verschiedenen Genres. Sie sahen aus und spielten sich zunächst wie normale Spiele. Die Schadsoftware wurde teilweise erst nach der Veröffentlichung über Updates eingeschleust, was die automatisierten Sicherheitsprüfungen von Steam umging.
Kryptowährungen im sechsstelligen Bereich gestohlen
Die Malware übermittelte Steam-Zugangsdaten, Browserpasswörter, E-Mail-Logins und Wallet-Adressen für Kryptowährungen an die Angreifer. Der bekannteste Fall betrifft das kostenlose Jump-and-Run BlockBlasters. Der Twitch-Streamer Raivo Plavnieks verlor während eines Charity-Streams für seine Krebsbehandlung über 32.000 Dollar aus seiner Krypto-Wallet, nachdem er das Spiel gestartet hatte.
Blockchain-Ermittler ZachXBT schätzt, dass die Angreifer insgesamt rund 150.000 Dollar von etwa 261 Steam-Accounts erbeuteten. Sicherheitsforscher von VX-Underground gehen sogar von 478 Opfern aus. Bei BlockBlasters waren laut Steam-Statistiken maximal sieben Spieler gleichzeitig aktiv, was zeigt, dass selbst wenig populäre Titel erheblichen Schaden anrichten können.
FBI bittet Opfer um Mithilfe
Die Seattle-Niederlassung des FBI hat eine eigene Website eingerichtet, auf der Betroffene ein Formular ausfüllen können. Die Behörde fragt dabei nach Details zur Nutzung der Spiele: Wie wurden die Titel entdeckt? Hat jemand auf sie aufmerksam gemacht? Gab es finanzielle Verluste?
Neben Namen und Adresse werden auch die mit dem Steam-Konto verknüpfte E-Mail-Adresse sowie bei Kryptoverlusten die Wallet-Adresse abgefragt. Die Angaben sind freiwillig, und das FBI verspricht vertrauliche Behandlung. Betroffene könnten laut der Behörde Anspruch auf Entschädigung haben. Wer Informationen hat, kann sich auch per E-Mail an Steam_Malware@fbi.gov wenden.
Valve arbeitet mit den Ermittlern zusammen
Steam-Betreiber Valve kooperiert nach eigener Aussage eng mit dem FBI. Die Plattform hat betroffene Nutzer gewarnt und empfohlen, Antivirenprogramme laufen zu lassen, installierte Software zu überprüfen und im Zweifelsfall das Betriebssystem neu zu installieren.
Der Fall wirft Fragen zur Sicherheit auf Steam auf. Die Plattform zählt über 132 Millionen monatlich aktive Nutzer und mehr als 117.000 Spiele. Die schiere Menge an neuen Veröffentlichungen macht eine manuelle Prüfung unmöglich. Automatisierte Sicherheitschecks können von findigen Angreifern umgangen werden, etwa indem die Schadsoftware erst nachträglich per Update eingespielt wird.
Nicht der einzige Steam-Skandal
Für Valve kommt die FBI-Ermittlung zu einem ungünstigen Zeitpunkt. Erst kürzlich wurde das Unternehmen vom Bundesstaat New York wegen seiner Lootbox-Praktiken verklagt. Generalstaatsanwältin Letitia James sieht darin eine Form von Glücksspiel, die besonders Minderjährige gefährdet. Eine weitere Klage aus derselben Richtung läuft ebenfalls.
Spieler, die eines der genannten Spiele heruntergeladen haben, sollten ihre Systeme gründlich überprüfen. Besonders wichtig: Passwörter für Steam, E-Mail und andere Dienste ändern sowie Krypto-Wallets auf verdächtige Aktivitäten kontrollieren. Bei finanziellen Verlusten empfiehlt sich die Meldung beim FBI.
