스팀에서 악성 게임이 발견됐다는 주장이 제기돼 보안 논란이 불거졌다.

문제의 게임은 ‘블록블래스터즈(BlockBlasters)’라는 2D 플랫포머로, 7월 30일 출시 당시에는 문제없는 평범한 게임이었다. 하지만 보안 연구자들에 따르면 8월 30일 업데이트에서 암호화폐 지갑 정보를 훔치는 코드가 추가되었다고 한다.

이번 사건은 라트비아 출신 트위치 스트리머 Raivo Plavnieks(닉네임 RastaLandTV)의 사례로 크게 주목을 받았다. 그는 자신의 X(구 트위터)를 통해 4기 육종암 치료비 마련을 위해 기부 방송을 진행하던 중 블록블래스터즈를 다운로드했고, 곧바로 암호화폐 지갑이 털려 약 3만 2,000달러(약 4,463만 원)를 잃었다고 밝혔다.

아울러 해외 매체 블리핑컴퓨터(BleepingComputer)에 따르면 보안 조사관 ZachXBT는 이번 사건으로 최소 261개 계정에서 약 15만 달러(약 2억 923만 원)가 탈취된 것으로 보인다고 주장했으며, 보안 그룹 vx-underground는 피해자가 478명에 달한다고 보고했다. 악성코드는 배치 스크립트와 Python 백도어를 활용해 이용자의 스팀 로그인 정보, IP, 그리고 암호화폐 지갑 데이터를 수집한 후 명령·제어 서버로 전송한 것으로 분석됐다.

한편, 스팀은 통상적으로 출시 전 게임 빌드를 3~5영업일간 검토하고, 게임이 제대로 실행되는지, 상점 페이지와 기능이 일치하는지, 스팀 지갑을 통한 결제만 사용되는지를 확인한다고 안내해 왔다.

아울러 2023년 10월 24일부터는 출시된 앱에 새 빌드를 적용하거나 스팀웍스 계정에 새 사용자를 추가할 때 SMS 확인 코드를 요구하고 있다.