Seorang hacker dengan username “Drbrix” telah menemukan suatu metode, yang memungkinkan pengguna Steam mengisi Wallet sebanyak yang ia mau tanpa modal.
Untungnya Drbrix merupakan seorang white hat hacker dan mempublikasikan cara tersebut pada Hackerone. Hackerone merupakan sebuah platform bagi para hacker untuk mencari keuntungan dengan menguji keamanan sebuah platform digital lain, mulai dari website, aplikasi, dan program sejenisnya.
Apabila seseorang menemukan celah dari keamanan sebuah platform digital, maka mereka akan melaporkan hal tersebut kepada perusahaan terkait. Dan sebagai imbalannya, perusahaan tersebut akan memberikan imbalan berupa uang. Anda dapat melihat isi laporannya di sini.
Lalu seperti apakah cara bug tersebut bekerja? Pengguna terlebih dahulu mengganti alamat email mereka dengan menambahkan akhiran “amount100”. Lalu pengguna bisa menambahkan dana di Steam wallet via Smart2Pay. Lalu pengguna cukup mencegat request penambahan dana pada API Smart2Pay. Setelah itu, pengguna cukup mengganti lagi alamat email yang telah ditandai “amount100”, sesuai dengan nominal yang dikehendaki.
Drbrix menyatakan bahwa hanya dengan modal US$1 saja, pengguna bisa menggandakan saldo mereka dalam beberapa jam atau hari. Ia juga menyerahkan akun Steam yang ia pakai untuk membuktikan hal tersebut. “Saya rasa dampaknya sangat jelas, peretas dapat menggandakan uang dan merusak Steam market, menjual game key dengan harga murah, dlsb.” Kata Drbrix pada akhir temuannya.
Posting mengenai metode tersebut diunggah pada tanggal 9 Agustus 2021 dan langsung ditanggapi oleh Jon P, selaku staff dari Valve. Ia menyatakan, “Terima kasih atas laporan Anda. Kami membenarkan hal tersebut dapat terjadi seperti yang telah dideskripsikan, dan kami sedang menindaknya.”
Sebagai bentuk terima kasih, Valve memberikan imbalan kepada Drbrix sebesar US$7,5 ribu atau sekitar Rp107 juta.
Namun sampai saat ini, Valve tidak pernah membeberkan informasi lebih lanjut mengenai eksploitasi ini. Dan apakah ada oknum yang berhasil mengeksploitasi metode tersebut atau tidak, hanya Valve yang tahu.