《超级变色龙》官方 Discord 遭入侵：恶意 Steam Workshop 地图暴露模组安全风险
据 IT之家 7 月 26 日援引 4Gamers 报道，近期在 Steam 平台受到关注的独立多人派对游戏《超级变色龙（MECCHA CHAMELEON）》官方 Discord 交流服务器于今天凌晨遭黑客入侵。开发团队称，事件起点并非传统的账号密码泄露，而是团队在调查 Steam Workshop 自制模组地图中的恶意程序问题时“中招”。目前团队已联系 Discord 官方取回频道权限，但仍提醒玩家不要点击频道内任何未知链接。
事件经过：从恶意地图排查到 Discord 权限被夺
来源显示，此前有玩家向《超级变色龙》开发团队反馈，部分非官方地图可能暗藏恶意远程执行代码脚本。开发团队随后开始排查并修复相关漏洞，并已在 3.1.0 版本中完成补丁处理。
负责技术处理的 HAGANEIRO 表示，为验证玩家提交的问题，他曾在一台非开发环境电脑上测试被举报的恶意地图，最终确认漏洞确实存在。但在测试过程中，该电脑遭到黑客入侵。攻击者随后进一步取得了开发团队的 Discord 账号，并利用该账号给自己授予最高权限，同时封禁所有管理员账号。
在取得控制权后，黑客开始在官方 Discord 频道内随意删除和新增频道，并持续干扰玩家交流。虽然截至来源发稿时，开发团队已经通过 Discord 官方协助拿回频道权限，但官方仍警告称，频道中目前仍可能残留钓鱼链接，玩家不应相信相关内容，也绝不应点击任何未知链接。
为什么模组地图会成为攻击入口
Steam Workshop 为独立游戏和多人游戏提供了重要的内容扩展能力，玩家可以上传地图、关卡、皮肤或脚本，使游戏社区保持活跃。但这类创作工具一旦允许执行脚本或调用复杂逻辑，就可能成为攻击者投放恶意代码的通道。
从此次事件看，问题并不只是“某张地图有害”，而是社区内容生态与游戏运行权限之间的边界不够清晰。攻击者借助非官方地图触发远程执行代码，再通过被入侵设备扩大攻击面，最终影响到开发团队的社群管理账号。这种链式攻击说明，UGC 内容安全已经不只是玩家端风险，也可能反向影响开发者基础设施。
- 玩家反馈：部分 Steam Workshop 非官方地图被指含有恶意远程执行代码脚本。
- 团队处理：开发团队已在 3.1.0 版本修补相关漏洞。
- 入侵路径：技术人员在测试恶意地图时，测试电脑被黑客入侵。
- 后续影响：攻击者取得 Discord 账号权限，封禁管理员并破坏频道秩序。
- 当前提醒：频道虽已取回，但仍可能存在钓鱼链接，玩家需保持警惕。
影响与解读：独立游戏也需要“供应链式”安全意识
对中文玩家和开发者而言，这起事件值得关注的地方在于，它把游戏模组、社群账号和第三方平台管理权限串联在了一起。独立游戏团队通常规模有限，安全测试环境、权限隔离和账号保护可能不如大型厂商完善；而一旦游戏突然走红，攻击者也会更快盯上其玩家社区与创作者生态。
此次开发团队使用非开发环境电脑测试问题，说明其已有一定隔离意识，但结果仍然导致设备被入侵，并进一步波及 Discord 管理账号。这提醒开发团队在处理玩家提交的可疑文件、地图或模组时，应尽量使用更严格的沙箱、虚拟机、一次性账号和最小权限策略，避免测试环境与社群运营账号产生交叉风险。
对于玩家来说，官方频道被入侵后最现实的风险是钓鱼链接、伪装公告和恶意下载。尤其在 Discord、Steam 社区等平台，攻击者常会伪装成补丁、福利、验证入口或紧急公告诱导点击。即使频道名称和发言账号看似官方，也不代表内容一定可信。
随着 AI 工具降低代码生成和自动化攻击门槛，游戏社区中的恶意脚本、伪装插件和批量钓鱼内容可能会变得更常见。对依赖创意工坊和玩家共创内容的游戏而言，未来不仅要关注玩法更新，也要把模组审核、脚本权限控制和官方社群安全纳入长期维护的一部分。