Steam2 Teraleak: 13 TB starych plików Valve wyciekło z otwartego, niezabezpieczonego serwera

Ktoś znalazł otwarty serwer trzydziestoletniego już Valve, bez hasła i bez żadnego zabezpieczenia, i ściągnął z niego 13 terabajtów historii PC gamingu. W środku jest wczesny build Counter-Strike: Global Offensive, nieznane wcześniej materiały Portal 2, model broni od dekady kojarzony z Half-Life 2: Episode 3 i prototypy gier, których Valve nawet nie wydało. Weekend 29-31 sierpnia społeczność ochrzciła to mianem „Steam2 Teraleak”. Trzy dni później Valve wciąż nie powiedziało na ten temat ani słowa.

Zapomniany, otwarty serwer, żadnego włamania

Nazwa „Steam2” odnosi się do starej infrastruktury serwerowej Steam, sprzed przejścia na dzisiejszy system SteamPipe w 2013 roku. Dane obejmują lata 2003-2013 i, według dataminera znanego jako Gabe Follower, trafiły w ręce społeczności bez żadnego włamania. Zostały po prostu ściągnięte z publicznie dostępnego endpointu, który nie wymagał ani hasła, ani autoryzacji. Innymi słowy: ktoś zapomniał zamknąć drzwi do magazynu, w którym stała dekada niewydanych materiałów.

Warto od razu oddzielić tę sprawę od czegoś zupełnie innego. Osobny, wcześniejszy incydent dotyczący 89 milionów kont Steam i wyciekłych kodów 2FA przez zewnętrznego dostawcę SMS to inna historia, z innym źródłem i innym zakresem. Teraleak nie ma nic wspólnego z hasłami, płatnościami ani danymi kont. To wyciek plików deweloperskich, nie danych użytkowników.

Co dokładnie siedzi w tych trzynastu terabajtach

Zawartość archiwum to mieszanka builów produkcyjnych i tych, które nigdy nie miały ujrzeć światła dziennego. Jest wczesna wersja Left 4 Dead, jest beta Portal 2, jest wczesny build Counter-Strike: Global Offensive sprzed premiery. Jest też F-Stop, anulowana gra logiczna oparta na fotografii, o której istnieniu wiedziała wcześniej tylko garstka archiwistów.

Najgłośniej zrobiło się wokół materiałów związanych z Half-Life 2: Episode 3. W plikach znaleziono model broni znanej jako „Weaponizer”, od lat kojarzonej z anulowanym epizodem, obok danych i zasobów odnoszących się do innych porzuconych pomysłów, w tym broni strzelającej lodem. Trzeba tu jednak zachować ostrożność: „Weaponizer” pojawiał się już wcześniej jako placeholder w plikach Portal 2, więc jego obecność w wycieku dowodzi jedynie ponownego wypłynięcia zasobu, który społeczność znała od dawna z innego kontekstu, a nie istnienia grywalnego builda Episode 3.

Mniej nagłośnionym, choć solidniejszym merytorycznie znaleziskiem jest build datowany na lipiec 2009 roku, powiązany ze strukturą zwaną Core Hub, którą Valve ostatecznie porzuciło. Wykorzystuje ramiona postaci z Team Fortress 2 i porzucone modele zombie z Half-Life 2 jako placeholdery, zawiera niewydaną, wyrenderowaną wcześniej sekwencję intra oraz wersję GLaDOS z innymi liniami dialogowymi i inną animacją, w tym niepublikowaną wcześniej wersję jej sekwencji przebudzenia.

Zakres wycieku sięga daleko poza samo Valve. W archiwum znalazły się prototypy tytułów innych wydawców przechowywane na starej infrastrukturze Steam, w tym wczesne materiały związane z Mafią 2 i Grand Theft Auto 3. Jeden z badaczy przeglądających dane określił to jako potencjalnie jeden z największych, jeśli nie największy, wyciek w historii branży.

Cisza Valve

Na temat samego teraleaku, w odróżnieniu od niepowiązanej sprawy 2FA, Valve nie wydało żadnego oświadczenia. Firma nie potwierdziła autentyczności materiałów, nie skomentowała, jak długo endpoint był dostępny publicznie, ani czy w ogóle zauważyłaby to bez interwencji społeczności archiwistów. To milczenie nie jest dla Valve czymś nowym: firma przyznała się do luki w VACnet dopiero po tym, jak problem był widoczny dla graczy przez ponad rok, i tylko wtedy, gdy dalsze zaprzeczanie przestało się opłacać. Trzy dni milczenia przy wycieku tej skali to samo w sobie coś, co warto odnotować, niezależnie od tego, co ostatecznie znajdzie się w plikach.