罹癌实况主 RastalandTV（本名 Raivo Plavnieks）为筹措第四期癌症治疗费用，在直播时打开 Steam 游戏《BlockBlasters》，短短数分钟内，钱包中原本透过 Pump.fun 平台募得的 3.2 万美元加密货币瞬间被转走。事后安全研究人员确认，这款游戏 8 月 30 日推送的更新暗藏 cryptodrainer，累计波及 261 至 478 个帐户，失窃总额超过 15 万美元。
募款悲剧中的安全破口
《BlockBlasters》7 月 30 日合法上架，初期并无异常。开发者在一个月后以更新为名，塞入批次档、Python 后门及名为 StealC 的酬载，让恶意程式在背景扫描玩家电脑，撷取浏览器凭证与加密钱包档案。RastalandTV 当时正依赖观众捐款度过化疗开销，「极度好评」评价与观众热情推荐降低了警戒，结果将辛苦筹措的资金拱手送出。
Valve 审核链断裂
Valve 向来以 Steam Deck 相容性「验证」标章宣传产品品质，然该标章仅象征操作体验，并未涵盖资安检测。平台没有及时拦截恶意更新，直到 9 月 21 日网路讨论发酵才下架游戏。事件暴露 Steam 对动态内容缺乏持续扫描机制，也提醒玩家「看到绿勾不代表档案安全」。
加密资产不可逆的代价
区块链转帐一经上链便难以追回，该特性在募款场景中更显残酷。Pump.fun 让创作者能快速发行代币换资金，但高波动与匿名流向意味著，一旦外部钱包遭骇，平台和执法单位都难以回溯。此次攻击者锁定持有多链资产的帐户，一次搬空 BTC、ETH 与 SOL 等代币，显示骇客已熟稔链上资金流追踪与洗钱手法。
社群挺身救援与后续挑战
悲剧传出后，加密社群在 X（前 Twitter）自发协助。意见领袖 Alex Becker 直接汇入 3.2 万美元等值资金，帮 RastalandTV 补回损失。这股力量虽温暖，却无法改变系统性风险。外界呼吁 Steam 与其他平台建立「更新 sandbox」与「程式码指纹」比对机制，并增加人工复核，将恶意补丁阻挡在正式发布前。对个人用户而言，下载需与钱包互动的软体前应采离线冷钱包、分层管理与定期备份，才不致在单点失守时全盘皆输。
这起事件提醒所有数位公民：便利与风险总是相伴。当平台审核仍有缺口、加密转帐难以逆转，唯一可控的是自身警觉与防护。Valve 是否能在下一次更新前交出更强的安全答卷，将是玩家与投资人持续关注的焦点。
