Steam 거래 URL, 이거 진짜 남에게 줘도 괜찮을까

처음 외부 거래 사이트에서 Steam 거래 URL을 넣으라고 했을 때 손이 멈췄습니다.

이 링크 하나로 내 아이템을 전부 빼가는 것 아닌가. 사이트에 내 계정 권한을 통째로 넘기는 건가. 주소 뒤에는 뜻을 알 수 없는 숫자와 토큰까지 붙어 있었습니다. 평소 보던 프로필 주소와도 생김새가 달랐고요. 아무 설명 없이 복사해서 붙여 넣기에는 꽤 찜찜했습니다.

사이트의 설명은 대체로 짧습니다. 거래 제안을 보내기 위해 필요한 주소라는 겁니다. 그런데 처음 보는 사이트가 자기 입으로 안전하다고 말하는 게 얼마나 큰 의미가 있을까요. 그 말을 믿을 수 있는지 확인하려고 들어왔는데, 다시 그 사이트의 설명부터 믿어야 합니다.

직접 해볼 수 있는 검증도 별로 없었습니다.

중요하지 않은 아이템이나 작은 금액으로 먼저 시험해 보든지, 그냥 믿고 진행하든지. 사실상 둘 중 하나였습니다. 첫 거래가 무사히 끝나면 그제야 “여기는 일단 되는구나”라고 생각하게 됩니다. 한 번의 소액 거래가 사이트 전체를 증명하지 못한다는 걸 알면서도, 보통 사람이 할 수 있는 건 그 정도였습니다.

나중에는 이런 생각까지 했습니다.

누군가 정말 내 아이템을 몽땅 가져가려 한다면 거래 URL 하나를 붙잡고 있는 것보다 Steam 계정 자체를 해킹하는 편이 빠르지 않을까. 그런데 당시의 저는 거래 URL이 무엇을 할 수 있는지조차 몰랐습니다. 모르니 비교할 수 없었고, 비교할 수 없으니 긴 주소 하나가 계정의 열쇠처럼 보였습니다.

지금은 이 링크를 예전과 다르게 봅니다. 그렇다고 “아무 위험도 없으니 마음 놓고 공유하세요”라고 말하고 싶지는 않습니다. 거래 URL이 비밀번호가 아니라는 사실과 아무 사이트에나 넘겨도 된다는 말은 전혀 다르니까요.

안전하다는 결론부터 정해놓고 설득할 생각도 없습니다. 먼저 이 주소로 열 수 있는 문이 어디까지인지 보겠습니다. 그 선이 보이면 무엇은 겁내지 않아도 되는지, 반대로 어느 순간에는 손을 멈춰야 하는지도 분명해집니다.

처음에는 링크가 아니라 권한처럼 보였습니다#

불안의 원인은 주소보다 설명의 빈자리였습니다

거래 URL을 처음 본 사람에게 partner나 token 같은 단어는 아무 의미가 없습니다. 개발자나 거래를 오래 한 사람에게야 익숙하겠죠. 제 눈에는 계정 안쪽으로 들어가기 위한 비밀 값처럼 보였습니다.

더구나 그 값을 요구하는 곳은 Steam 밖의 사이트입니다. Steam 안에서 복사한 주소를 외부 서비스에 입력한다는 것만으로도 심리적인 선을 하나 넘는 기분이 듭니다. 닉네임이나 공개 프로필을 알려주는 일과는 달라 보입니다. 사이트에 무언가를 허용하는 절차, 조금 더 솔직히 말하면 권한을 양도하는 절차처럼 느껴집니다.

이런 반응을 과민하다고 생각하지 않습니다. Steam을 오래 이용했어도 게임만 사고 플레이했다면 거래 URL을 볼 일이 없었을 수 있습니다. 누구도 이 주소의 구조를 가르쳐준 적이 없는데, 모르는 값을 외부 서비스에 건네면서 불안해하는 쪽이 오히려 자연스럽습니다.

불안을 풀려고 검색하면 “거래 링크일 뿐이니 괜찮다”는 짧은 답이 많이 나옵니다. 틀린 말은 아닐 겁니다. 하지만 궁금한 건 그 주소의 이름이 아닙니다.

이 링크를 가진 사람은 대체 어디까지 할 수 있을까.

내 허락 없이 제안을 수락할 수 있는가. 계정에 로그인할 수 있는가. 인벤토리에서 아이템을 마음대로 꺼낼 수 있는가. 링크를 입력한 사이트가 거래가 끝난 뒤에도 계속 무언가를 할 수 있는가.

이 질문이 그대로 남아 있는데 “안전합니다”라는 결론만 들으면 불안은 거의 줄어들지 않습니다. 저에게 먼저 필요했던 건 안심하라는 말이 아니라, 이 주소로 할 수 있는 일의 경계였습니다.

이 주소가 열어주는 문은 거래 제안까지입니다#

Steam 거래 URL은 보통 이런 모양입니다.

https://steamcommunity.com/tradeoffer/new/?partner=123456789&token=ABCDEFGH

처음 보면 복잡하지만 뜯어보면 볼 곳은 많지 않습니다. 실제 Steam Community 도메인인 steamcommunity.com, 새 거래 제안을 여는 /tradeoffer/new/ 경로, 상대 계정을 가리키는 partner, 친구가 아닌 사람도 제안을 보낼 수 있게 하는 token 값입니다.

Steam의 Trade Offers 공식 안내에 따르면, 고유 거래 URL을 받은 사람은 친구가 아니어도 해당 계정에 거래 제안을 보낼 수 있습니다. 매번 친구부터 맺지 않아도 되니 아이템 거래에서는 연락처와 비슷하게 쓰입니다.

여기까지가 거래 URL이 직접 하는 일입니다.

제안을 보내는 것과 승인하는 것은 전혀 다른 일입니다

거래 URL만으로 Steam 계정에 로그인할 수는 없습니다. 비밀번호를 알아낼 수도 없고, Steam Guard 코드를 대신 받을 수도 없습니다. 계정 설정을 바꾸거나 도착한 거래 제안을 계정 주인 대신 승인하는 기능도 이 링크에는 없습니다.

주소를 안다는 이유만으로 인벤토리의 아이템이 자동으로 이동하지도 않습니다. 상대가 제안을 만들 수는 있어도 어떤 아이템을 누구에게 보낼지는 Steam 안에서 다시 확인합니다. 모바일 인증이 필요한 거래라면 그 확인 단계도 따로 남습니다.

이 차이를 알고 나서야 거래 URL이 계정 권한을 넘기는 문서가 아니라는 걸 이해했습니다. 계정의 열쇠보다는 거래 제안을 받을 주소에 가깝습니다. 주소를 안다고 집 안으로 들어올 수는 없지만, 문 앞까지 무언가를 보낼 수는 있는 셈이죠.

물론 공개 게시판 여기저기에 뿌려도 된다는 뜻은 아닙니다. 링크를 가진 사람은 원하지 않는 거래 제안이나 스팸 제안도 보낼 수 있습니다. 어느 사이트가 주소를 계속 보관하는지 모른다면 거래가 끝난 뒤에도 그 접점이 남을 수 있고요.

로그인 정보와 같은 비밀 키는 아닙니다. 그렇다고 필요한 곳과 필요 없는 곳을 가리지 않고 퍼뜨릴 이유도 없습니다. 이 정도가 거래 URL의 실제 위치에 가깝습니다.

“안전합니다”라는 문구는 아무것도 증명하지 못했습니다#

외부 거래 사이트를 판단할 때 가장 답답했던 부분은 순환 구조였습니다. 믿기 전에 근거를 보고 싶은데, 화면에 있는 근거 대부분을 그 사이트가 직접 제시합니다. 보안 문구와 거래 건수, 안전 배지는 얼마든지 그럴듯하게 만들 수 있어요. 후기만으로 결론을 내리기도 어렵고요.

그때 제 머릿속에 남은 선택지는 소액으로 한번 시험해 보거나, 그냥 운영자를 믿는 것뿐이었습니다. 여기서 말한 소액 테스트는 제가 실제로 끝낸 거래가 아닙니다. 보통 사용자가 낯선 사이트 앞에서 떠올릴 만한 선택지였어요.

소액 테스트도 검증은 아닙니다

만약 잃어도 부담이 적은 아이템으로 시험한다면, 들어온 제안이 안내와 같은지는 확인할 수 있습니다. 봇 계정과 아이템, 조건을 서로 대조하는 정도죠. 아무 문제 없이 끝나더라도 그 순간의 거래 하나가 작동했다는 사실만 남습니다. 사이트 내부 통제나 정보 처리, 다음 거래까지 확인한 것은 아닙니다.

사용자 입장에서는 순서가 이상합니다. 서비스가 미리 보여주지 못한 근거를 방문자의 아이템으로 채워야 하니까요.

처음 보는 운영자에 대한 의심을 거래 전에 전부 없애기는 어렵습니다. 그래도 상대 계정, 거래 상태, 재고, 가격 기준과 한계를 보내기 전에 확인할 수 있게 만들 수는 있어요. SteamVaults가 여러 도구를 공개하려는 이유도 여기에 있습니다. 도구는 운영 방식을 살펴볼 자료이지, 앞으로의 모든 거래가 안전하다는 보증서는 아닙니다.

주소에 Steam이 보인다고 Steam 링크는 아닙니다#

거래 URL을 받았을 때 가장 먼저 볼 것은 실제 도메인입니다.

주소 어딘가에 steamcommunity.com이라는 글자가 보인다고 모두 Steam 링크인 것은 아닙니다. 예를 들어 아래 주소를 보겠습니다.

https://steamcommunity.com.example.com/tradeoffer/new/

앞부분만 훑으면 Steam처럼 보이지만 실제 도메인은 example.com입니다. 주소 앞쪽이나 경로에 Steam이라는 단어를 넣고 로그인 화면까지 비슷하게 만들면, 서둘러 들어온 사람은 차이를 놓치기 쉽습니다.

정상적인 거래 URL이라면 실제 호스트가 steamcommunity.com이어야 합니다. 철자가 미묘하게 바뀌지 않았는지, 뒤에 전혀 다른 도메인이 붙지는 않았는지 주소창에서 확인해야 합니다. 단축 URL이나 여러 번 이동하는 링크를 열었다면 처음 주소보다 마지막에 도착한 주소를 보는 편이 낫습니다.

프로필 URL을 붙여놓고 거래 링크라고 생각하기도 합니다

Steam 프로필 주소는 대체로 아래처럼 생겼습니다.

• https://steamcommunity.com/id/example
• https://steamcommunity.com/profiles/7656119...

둘 다 정상적인 Steam 주소입니다. 다만 거래 URL은 아닙니다. 프로필을 보여주는 주소에는 친구가 아닌 상대가 거래 제안을 보낼 때 필요한 토큰이 없습니다. 외부 사이트에 프로필 주소를 붙여 넣었는데 작동하지 않는다면 사이트 고장보다 주소 종류부터 확인해야 합니다.

복사하는 과정에서 링크 끝이 잘릴 때도 있습니다. 메신저가 주소를 줄여 보여줬거나, 화면에 보이는 부분만 선택해서 복사하면서 token이 빠지는 식입니다. 새 URL을 만든 뒤 예전 링크를 계속 쓰고 있을 수도 있고요.

형식을 볼 때는 네 군데면 충분합니다.

• 실제 도메인이 steamcommunity.com인가
• 경로에 /tradeoffer/new/가 들어 있는가
• partner 값이 있는가
• token이 빠지거나 잘리지 않았는가

네 가지가 모두 맞아도 거래 성공까지 보증하지는 않습니다. 링크가 올바른 것과 계정이나 아이템이 지금 거래 가능한지는 별개의 문제입니다. 아이템 잠금, Steam Guard 상태, 거래 보류 같은 조건은 주소의 생김새만으로 판단할 수 없습니다.

사고는 거래 URL보다 그 뒤에서 벌어집니다#

링크가 아니라 승인 순간을 다시 봐야 합니다

링크를 공유하는 것만으로 아이템이 사라지지는 않습니다. 그렇다면 실제 사고는 어디에서 생길까요.

대개는 URL 하나로 끝난 이야기가 아닙니다. 가짜 Steam 로그인 화면에 계정 정보를 넣었거나, 출처를 알 수 없는 프로그램과 브라우저 확장 기능을 설치했거나, 이미 계정이나 컴퓨터가 침해된 상황일 수 있습니다. 상대가 보낸 제안을 제대로 읽지 않은 채 승인했을 수도 있고요.

Steam의 거래 안내는 거래를 재촉하는 상대에게 휘둘리지 말고, 상대 계정과 아이템을 직접 확인하라고 설명합니다. 거래 리디렉션 사기에 관한 공식 안내에서도 모바일 인증 화면에 표시된 상대와 거래 내용을 다시 확인하라고 강조합니다. 이름과 프로필 사진이 익숙해 보인다는 이유만으로 같은 계정이라고 단정해서는 안 된다는 뜻입니다.

그걸 두고 “왜 제대로 확인하지 않았느냐”고 말하기는 쉽습니다. 하지만 가짜 로그인 페이지와 사칭 계정은 애초에 사람이 급하게 판단하도록 설계됩니다. 큰 이익을 놓칠 것처럼 재촉하고, 지금 움직이지 않으면 계정이 제재된다고 겁을 줍니다. 평소라면 이상하다고 느낄 행동을 몇 분 안에 끝내게 만드는 게 목적입니다.

그래서 막연한 “조심하세요”보다 멈춰야 할 순간을 구체적으로 알아두는 편이 낫습니다.

외부 사이트 입력창이 Steam 비밀번호나 Steam Guard 코드를 요구하는가. 상대가 출처를 모르는 프로그램이나 확장 기능을 설치하라고 하는가. 모바일 앱에서 승인하려는 제안의 상대 계정과 아이템, 수량이 처음 확인한 내용과 같은가. 방금까지 대화하던 사람의 프로필 사진이 아니라 실제 Steam 프로필과 SteamID를 확인했는가.

이 중 하나라도 이상하다면 서두를 이유가 없습니다.

거래 URL은 거래의 시작을 편하게 만들어줍니다. 마지막 판단까지 대신해 주지는 않습니다. 아이템이 실제로 움직이기 전에는 Steam 안에서 한 번 더 확인해야 합니다. 누군가 빨리 승인하라고 재촉할수록 더 천천히 봐야 하고요.

찜찜한 주소는 계속 붙잡고 있을 필요가 없습니다#

URL 재생성은 접점을 끊는 가장 간단한 방법입니다

예전에 이용한 사이트가 더는 믿기지 않거나, 거래 URL을 공개된 곳에 올렸다면 Steam에서 새 주소를 만들 수 있습니다.

Steam 거래 제안 개인정보 설정 페이지에서 새 URL을 생성하면 이전 주소는 사용할 수 없게 됩니다. 예전에 전달한 링크로 더는 제안을 받고 싶지 않을 때 가장 직접적인 정리 방법입니다. 새 주소를 계속 이용할 서비스가 있다면 그곳의 등록 정보도 다시 바꿔야 합니다.

다만 수상한 Steam 로그인 페이지에 비밀번호를 입력했거나, 본인이 만들지 않은 거래가 보이거나, 모르는 기기가 계정에 연결돼 있다면 URL만 바꾸고 끝낼 문제는 아닙니다. 그때는 비밀번호, Steam Guard, 로그인된 기기, Steam Web API Key, 거래 기록까지 계정 보안 전체를 확인해야 합니다.

거래 URL이 알려진 것과 계정이 침해된 것은 같은 사건이 아닙니다. 둘을 구분해야 URL 하나 때문에 필요 이상으로 겁먹지 않으면서도, 실제 침해 신호는 가볍게 넘기지 않을 수 있습니다.

신뢰를 설명하기 어려워서 도구부터 늘렸습니다#

SteamVaults를 만들고 나서도 같은 문제가 남았습니다.

우리가 안전하다고 몇 번을 말해도 처음 온 사람이 그 말을 믿어야 할 이유는 저절로 생기지 않았습니다. “안전합니다”, “신뢰할 수 있습니다”라는 문구를 크게 붙이는 건 쉽습니다. 어느 사이트든 그렇게 쓸 수 있으니까요.

신뢰가 중요하다고 말하는 것과 실제로 신뢰를 보여주는 것은 달랐습니다. 후자가 훨씬 어려웠습니다.

그래서 거래하기 전에도 직접 써볼 수 있는 도구를 만들기 시작했습니다. Steam 링크와 거래 URL의 실제 호스트를 확인하고 형식이 맞는지 살펴보는 분석기, 공개 인벤토리에서 거래 가능 상태와 잠금 날짜를 확인하는 도구, 거래 보류 조건과 Steam 장터 수수료를 따로 살펴볼 수 있는 페이지가 그런 시도입니다.

URL 검사기 하나가 SteamVaults 전체를 증명해 주지는 않습니다. 도구가 정상적으로 작동한다고 거래 운영의 모든 구간까지 검증되는 것도 아닙니다. 그래도 아무것도 모른 채 “우리를 믿어달라”는 말만 듣는 상태에서는 한 걸음 벗어날 수 있습니다.

거래하지 않고 떠나도 충분합니다

누군가 Steam 링크·거래 URL 분석기에 주소 하나를 넣어보고 그대로 사이트를 나가도 괜찮습니다. 거래 보류 기간을 확인한 뒤 이번에는 아이템을 움직이지 않기로 해도 됩니다. 수수료를 계산하고 다른 방법을 골라도 되고요.

그것만으로 충분합니다.

모든 도구가 결국 거래 버튼으로 사람을 밀어 넣어야 한다면, 그 도구도 영업 과정의 일부에 머뭅니다. 거래하지 않는 사람에게도 쓸모가 있어야 자기 아이템을 먼저 걸지 않고 사이트가 만든 결과를 확인할 수 있습니다.

신뢰가 바로 생기지는 않을 겁니다. 그래도 소액 테스트만이 유일한 확인 방법인 상태에서는 벗어날 수 있습니다. 우리 말을 믿기 전에 도구의 결과부터 의심해도 됩니다. 다른 결과와 직접 비교해보고, 맞는지 판단한 다음 떠나도 됩니다.

저는 그 순서가 더 낫다고 봅니다.

검사기가 선을 넘으면 오히려 더 위험합니다#

확인할 수 있는 범위를 먼저 제한했습니다

SteamVaults의 거래 URL 분석기는 입력한 주소의 실제 호스트와 경로를 확인합니다. 거래 URL이라면 partner와 token이 있는지, 값이 잘렸거나 형식이 틀리지는 않았는지, 연결되는 SteamID64를 계산할 수 있는지도 보여줍니다. 프로필 주소를 잘못 붙여 넣었거나 Steam을 흉내 낸 다른 도메인이라면 그 차이도 구분합니다.

검사를 위해 입력한 링크는 브라우저 안에서 처리합니다. 주소를 확인한다는 이유로 URL을 서버에 보내거나 저장하고, 분석 로그에 남기는 구조로 만들지 않았습니다. 민감하다고 느끼는 정보를 검사하는 과정이 또 다른 노출 지점이 되어서는 안 된다고 봤기 때문입니다.

대신 못하는 일도 분명합니다.

이 도구는 사이트 운영자의 의도를 알아낼 수 없습니다. 형식이 올바른 거래 URL을 쓰는 사기꾼도 있을 수 있습니다. 링크가 정상이라고 상대 계정까지 믿을 만하다는 뜻은 아닙니다. 계정의 모든 거래 제한이나 Steam Guard 상태, 앞으로 도착할 제안의 내용도 URL 하나로는 알 수 없습니다.

검사기가 확인하는 건 링크입니다. 계정 전체가 아닙니다. 거래 상대의 머릿속은 더더욱 아닙니다.

여기서 선을 넘겨 말하면 검사기가 오히려 위험해집니다. 못하는 것까지 된다고 믿게 만들기 때문입니다. 링크에서 읽을 수 있는 데까지만 정확히 보여주고, 그 밖의 판단은 어디에서 이어가야 하는지 남겨두는 편이 낫습니다.

공유할까 말까보다 알고 결정할 수 있어야 합니다#

마지막 통제권은 계정 주인에게 남습니다

Steam 거래 URL을 공유해도 되느냐고 묻는다면 제 답은 조건부로 “그렇다”에 가깝습니다.

거래 제안을 받아야 하는 서비스나 상대에게는 전달할 수 있습니다. 이 주소는 Steam 비밀번호가 아니며, 링크를 건넸다고 계정 권한을 양도하는 것도 아닙니다. 상대는 거래를 제안할 수 있을 뿐, 그 주소 하나로 계정 주인 대신 제안을 승인하거나 아이템을 꺼내갈 수 없습니다.

그렇다고 아무 곳에나 올려도 되는 주소는 아닙니다. 어떤 사이트에 입력하는지, 실제 도메인이 어디인지, 거래가 끝난 뒤에도 주소를 보관하는지 살펴볼 이유는 충분합니다. 더 이상 공유하고 싶지 않다면 새 URL을 만들 수도 있습니다.

처음의 저는 이런 경계를 몰랐습니다. 그래서 링크가 곧 권한처럼 보였고, 소액으로 시험하거나 그냥 믿는 것 말고는 선택지가 없다고 느꼈습니다. 지금도 처음 온 사람에게 무작정 믿어달라고 할 생각은 없습니다. 신뢰는 운영자가 자기 입으로 선언한다고 생기는 게 아니니까요.

그래서 거래 전에 직접 확인할 수 있는 것을 하나씩 늘리고 있습니다. 도구가 닿지 못하는 선도 같이 보여주려 합니다. 거래하지 않고 검사기만 써본 뒤 떠나더라도 실패라고 생각하지 않습니다.

링크 하나가 무엇을 의미하는지 알게 됐고, 다음 거래에서 어디를 봐야 하는지 구분할 수 있게 됐다면 그걸로 충분합니다.

적어도 이제는 정체를 알 수 없는 권한을 넘기는 기분으로 주소를 붙여 넣을 필요는 없으니까요.

SteamVaults는 Valve가 운영하거나 공식 승인한 Steam 서비스가 아닙니다. 독립된 제3자가 제공하며, 링크 분석 결과도 URL에서 읽을 수 있는 기술적 신호만 설명합니다. 특정 거래 상대나 외부 사이트의 신뢰성을 보증하지는 않습니다.