事情过去快一个月了，现在回想起那个凌晨，我手指还止不住抖。刚加完班回到家，习惯性打开Steam想玩两把《CS2》，却发现密码死活不对。我以为是记错了，点了“找回密码”，邮箱里收到了重置链接。点进去，要求输入一个Steam手机令牌验证码——可我特么从来没绑过手机令牌啊。
脑袋“嗡”的一声明白了：账号被偷了，而且对方绑了他的令牌。这意味着，就算我用邮箱重置密码，他也随时可以用他的令牌挡我回来；或者说，我连邮箱都没用了，因为他可能已经把邮箱也改了。我赶紧去翻邮箱，果然，两小时前收到过一封更改邮箱和绑定手机令牌的确认信，而我正在加班，根本没有注意到。
那种头皮发麻的感觉，懂的人自然懂
我当时坐在椅子上，手心全是汗。那个账号跟了我快十年，库里有三百多个游戏，CSGO的饰品加起来小几万。我不敢往下想，先把电脑断网，然后拿出手机，登上Steam官方App，发现账号已经登不上去了。我又试着用家庭监护、用网页重置密码、用手机号找回——全都被那个陌生令牌挡在外面。最后我瘫在椅子上，看着屏幕上的“请输入Steam令牌验证码”发呆。
唯一的路：Steam客服工单
我知道只能找Steam客服，但问题在于，对方绑了令牌，我必须证明账号是我的，而且要让客服相信我说的才是真话。我深吸一口气，开始收集材料：
- 注册邮箱的完整截图，包括最早收到的Steam邮件（2015年注册那封还在）；
- 所有购买记录，支付宝和Steam截图的对比（我习惯把数字版游戏的电子发票存在一个文件夹里）；
- CSGO的Trade History截图，以及几笔大的饰品交易记录；
- 我当时绑定的手机号（但对方已经解绑了，不过购买时留下的地址和姓名是有用的）。
我连上Steam客服的专用页面（help.steampowered.com），选择了“我账号被盗”的选项，然后开始写工单。我没有用模板，而是把自己的情况详细写了出来：账号注册时间、常用登录地点、最近一次正常登录是什么时候、被盗的预警邮件时间、以及我提供不了令牌验证码的原因——因为对方绑了他的。我特别附上了几张购买凭证的截图，并且用画图工具标出了我的Steam ID和购买时间。
等待的两天，心里像吊着块石头
提交工单后，Steam客服通常会在1-3天内回复。但那两天我几乎每个小时都在刷新邮箱，既怕客服回我“资料不足”，更怕对方趁机把我的饰品全部转走。我在SteamRep查了一下，发现我这个账号的steamrep已经被标记为“可疑”了——应该是对方拿了账户在搞诈骗。我赶紧用手机登不了账号，只能用另一台电脑创个小号，去Steam论坛上看类似经历。看到好几个人说客服会要求提供最后用的CD-key，但我库里大部分是直接购买的数字版，根本没有key。我又跑去翻之前买过的实体盒装游戏，还好找到了一张《羞辱2》的CD-key照片。
第二天下午，客服终于回信了。内容很官方：“我们收到了你的申诉，但需要更多信息证明账户所有权。”他们要求我提供最近一次使用的CD-key，或者某个指定游戏的购买凭证。我立刻把那张《羞辱2》的照片附上，又特意翻出了当年在第三方网站购买的几个游戏截图（就是那种直接用Steam礼品卡送的）。我把所有能证明我身份的材料一口气都回复过去，语气尽量保持冷静，但说实话，那段话我写了三遍才敢发，怕多写引起客服反感。
找回账号的那一刻
又过了一天，凌晨一点，手机突然震了。邮箱提示“你的Steam账号已恢复”。我几乎是跳起来打开电脑，输入新密码，登录——熟悉的界面出来了！对方的令牌已经被客服移除，我赶紧抢着绑上了自己的手机令牌，又把邮箱换成了一个全新的、并开启了二步验证。第一件事就是检查库存：CSGO的饰品全都在，只是有几个皮肤的展柜被改了。我长舒一口气，瘫在椅子上，这时候才发觉后背全是汗。
过了几天冷静下来，我把整个经过梳理了一遍。说真的，如果我没有留着几年前的购买记录和实体CDkey，如果我没有第一时间发现邮箱里的那封更改邮件，如果Steam客服不是那么严谨，这个号可能就彻底回不来了。但最让我后怕的是，对方是怎么绕过我的邮箱验证的？后来我才回想起来，大概一周前我收到过一个“Steam抽奖活动”的钓鱼链接，我当时没多想就点了，还输了账号密码——那就是祸根。
现在我的Steam账号绑了手机令牌，邮箱也绑了双重验证，而且我每隔一段时间就会去看看登录记录。看到很多朋友在群里抱怨账号被盗却找不回，我总会多说一句：做完这些你也未必百分之百安全，但至少下次再有人想绑他的令牌的时候，你还有机会跟他拼一拼。
