Die US-Bundespolizei FBI hat offiziell eine Ermittlung gegen sieben Spiele auf Steam eingeleitet, die mit Schadsoftware verseucht waren. Die betroffenen Titel stahlen Kryptowährungen, Zugangsdaten und persönliche Informationen von ahnungslosen Spielern – über einen Zeitraum von fast zwei Jahren.
FBI Seattle führt die Ermittlungen
Die Außenstelle des FBI in Seattle veröffentlichte am 11. März 2026 eine offizielle Mitteilung, in der die Behörde potenzielle Opfer aufruft, sich zu melden. Konkret geht es um sieben Spiele, die zwischen Mai 2024 und Januar 2026 auf Valves Plattform Steam verfügbar waren und Malware enthielten: BlockBlasters, Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi und Tokenova.
Das FBI geht davon aus, dass hinter allen sieben Titeln ein und derselbe Täter oder eine zusammenhängende Gruppe steckt. Betroffene Nutzer können sich über ein offizielles Formular auf der FBI-Website oder per E-Mail an [email protected] melden. Die Behörde betont, dass alle Identitäten vertraulich behandelt werden und Opfer unter US-Bundesrecht Anspruch auf bestimmte Leistungen und Entschädigungen haben könnten.
Wie die Malware funktionierte
Die betroffenen Spiele tarnten sich als gewöhnliche Indie-Titel verschiedener Genres – von 2D-Plattformern bis hin zu Survival-Spielen. In Wahrheit dienten sie als Trojaner, um Schadsoftware auf die Rechner der Spieler einzuschleusen. Sicherheitsforscher identifizierten dabei mehrere bekannte Malware-Varianten:
Bei PirateFi, einem kostenlosen Survival-Spiel des fiktiven Entwicklers Seaworth Interactive, entdeckte das SECUINFRA Falcon Team den berüchtigten Infostealer Vidar. Die Schadsoftware war in der Datei „Pirate.exe“ versteckt und wurde über ein InnoSetup-Installationspaket ausgeliefert. Vidar extrahiert gespeicherte Passwörter, Browser-Cookies, E-Mail-Zugangsdaten und Krypto-Wallet-Informationen. Die Angreifer änderten die Spieldateien mehrfach und wechselten dabei sowohl ihre Verschleierungstechniken als auch die Command-and-Control-Server. Bis zu 1.500 Nutzer könnten PirateFi heruntergeladen haben, bevor Valve das Spiel im Februar 2025 entfernte.
Beim Survival-Crafting-Spiel Chemia setzte ein als EncryptHub bekannter Bedrohungsakteur den HijackLoader ein, der wiederum Vidar nachlud. Zusätzlich wurde EncryptHubs eigene Schadsoftware Fickle Stealer installiert, die auf den Diebstahl von Zugangsdaten, Browser-Daten und Krypto-Wallets spezialisiert ist.
Der Fall BlockBlasters: 32.000 Dollar live auf Twitch gestohlen
Der wohl aufsehenerregendste Fall betrifft das Spiel BlockBlasters. Der 2D-Plattformer des Pseudostudios Genesis Interactive war von Ende Juli bis September 2024 auf Steam verfügbar. Ursprünglich enthielt das Spiel keine Schadsoftware – erst mit einem Update am 30. August wurde ein sogenannter Cryptodrainer nachträglich eingebaut.
Am 21. September 2025 wurde der Twitch-Streamer Raivo Plavnieks, bekannt als RastalandTV, zum prominentesten Opfer. Plavnieks, der an Krebs im Stadium 4 erkrankt ist, sammelte über die Solana-basierte Plattform Pump.fun mit einem Token namens „$CANCER“ Spenden für seine Behandlung. Während eines Charity-Livestreams wurde ihm im Chat empfohlen, BlockBlasters auszuprobieren. Kurz nach dem Download wurden über 32.000 US-Dollar aus seinem Krypto-Wallet entwendet – live vor den Augen seiner Zuschauer.
Blockchain-Ermittler ZachXBT schätzte den Gesamtschaden durch BlockBlasters auf rund 150.000 US-Dollar, verteilt auf mindestens 261 betroffene Steam-Konten. Die Sicherheitsforscher von VX-Underground bezifferten die Opferzahl sogar auf 478 Nutzer. Durch OSINT-Ermittlungen der Community konnten Chatprotokolle der Betrüger aufgedeckt werden, in denen diese den Diebstahl bei RastalandTV mit den Worten abtaten, er werde das Geld „in ein paar Stunden wieder reinbekommen“.
Valves Sicherheitsproblem wächst
Der Vorfall reiht sich in eine zunehmende Problematik auf der Steam-Plattform ein. Obwohl Valve mit über 100 Millionen monatlichen Nutzern eine der größten Gaming-Plattformen der Welt betreibt, gibt es wiederholt Kritik an den unzureichenden Sicherheitsüberprüfungen für neue Spiele. Die Veröffentlichung eines Spiels auf Steam ist vergleichsweise günstig und einfach, was es Kriminellen erleichtert, schädliche Titel einzuschleusen.
Valve hat zwar Maßnahmen wie eine SMS-basierte Verifizierung für Entwickler-Accounts eingeführt, doch der Fall PirateFi und die anderen betroffenen Titel zeigen, dass diese Schutzmaßnahmen nicht ausreichen. Sicherheitsexperten fordern unter anderem automatisierte Malware-Scans für hochgeladene Builds, Sandboxing neuer Titel vor der Freigabe und bessere Community-Meldemöglichkeiten. Das FBI selbst hat Valve als Unternehmen nicht zum Ziel der Ermittlungen erklärt, doch der Druck auf Valve, seine Überprüfungsprozesse zu verschärfen, wächst.
Weitere juristische Probleme für Valve
Die FBI-Ermittlungen sind nicht die einzige rechtliche Herausforderung für Valve in den vergangenen Wochen. Ende Februar 2026 reichte New Yorks Generalstaatsanwältin Letitia James eine Klage gegen das Unternehmen ein. Der Vorwurf: Lootboxen in Spielen wie Dota 2 und Team Fortress 2 seien illegales Glücksspiel, das gezielt an Minderjährige vermarktet werde. James fordert das Dreifache der Lootbox-Einnahmen als Strafe.
Darüber hinaus sieht sich Valve einer Klage aus dem US-Bundesstaat Washington sowie einer Klage der britischen Performing Right Society wegen Urheberrechtsverletzungen ausgesetzt. In Großbritannien läuft zudem ein Kartellverfahren, das Steam als Monopol einstuft.
Was betroffene Spieler jetzt tun sollten
Wer eines der sieben genannten Spiele zwischen Mai 2024 und Januar 2026 heruntergeladen hat, sollte umgehend handeln:
- Vollständigen Virenscan mit einer aktuellen Antivirensoftware durchführen
- Alle Passwörter ändern, insbesondere für E-Mail, soziale Medien, Banking und Krypto-Wallets
- Zwei-Faktor-Authentifizierung aktivieren, wo immer möglich
- Auf unbekannte Software auf dem Rechner prüfen
- Im Extremfall eine Neuinstallation des Betriebssystems in Betracht ziehen
- Das FBI-Formular auf forms.fbi.gov ausfüllen oder eine E-Mail an [email protected] senden
Die Ermittlungen des FBI markieren einen Wendepunkt im Umgang mit Cyberbedrohungen auf Gaming-Plattformen. Für Millionen von Spielern weltweit, die Steam mit ihren Zahlungsdaten und persönlichen Informationen vertrauen, ist der Fall ein deutliches Signal: Auch etablierte Plattformen bieten keinen automatischen Schutz vor Schadsoftware.