过去一个月，只要你刷短视频，大概率见过这个画面：一个白色小人把自己涂成和墙一个颜色，贴在墙上一动不动，搜寻者从他面前走过却视而不见。这款涂鸦躲猫猫游戏《超级变色龙》（MECCHACHAMELEON）今年6月10日上线，不到一个月全球累计销量就突破1500万份，被海外媒体Polygon称为“2026年度最热门游戏”。微博
它国区只卖26元，规则一看就懂，派对门槛极低，大量“以前从没打开过Steam”的玩家被吸了进来。知乎 但也正因如此，一件多数新玩家没预料到的事发生了：这款游戏的部分Steam创意工坊地图被植入了木马，连开发团队自己的电脑都中了招，拥有10万成员的官方Discord服务器一度被接管。
这半个月发生了什么
把公开报道的时间线拼起来：先是独立研究人员Feint发现，包括Laser Tag Neon在内的部分社区地图被植入了恶意软件，玩家启动这些地图后，游戏会在后台打开不可见的命令提示符窗口，下载恶意程序。微博 分析发布几天后，Steam下架了这张地图，但攻击者随后又上传了Chroma Grid Arena等其他带毒地图——工坊的防线基本是打地鼠。
更离谱的还在后面。开发团队在修补漏洞的过程中，一名工程师的电脑被感染，攻击者顺着这台电脑的权限绕过Discord双重验证，修改服务器权限、封禁全部工作人员。知乎 直到7月26日，开发者才宣布重新取得服务器控制权，随后开发团队推出3.3.1更新，进一步强化了病毒防护。微博
而就在6月底销量突破700万份时，开发者还发布贺图向玩家表示感谢，当时没人想到这个几人做的小游戏，会这么快进入黑客的瞄准镜。微博 到8月初，这款游戏已卖出1500万份，热度丝毫没有退，同时在线峰值约34万人。36氪
为什么下载个地图就会中招
很多人对创意工坊的印象是“官方平台=有审核=安全”。并不完全是。许多游戏在加载地图或MOD时，会执行附加的脚本（比如.bat批处理文件）来实现玩法，这本身就给恶意程序留了入口。而审核是分级分类的：《CS2》《DOTA2》这类Valve自家游戏，对首次发布者实行邮件验证加人工预审；第三方游戏的内容则是发布即公开，只做事后监管。知乎
Valve也没有人力做预审。The Verge此前曝光的法庭文件显示，Valve在2021年共有336名员工，其中负责Steam运营的只有79人；而Steam仅2025年就上架了超过2万款新游戏。知乎 创意工坊恰恰是Steam社区氛围的核心，收紧预审的概率很低。也就是说，你在第三方游戏里玩工坊内容，基本不存在“审核”这一环，订阅即信任作者。
先别慌，做这几步自查
先把结论的尺度说清楚：已知被感染的地图数量极少，黑客图的是钱、不做声量大的大规模攻击，3.1.0和3.3.1两次修复之后，新玩家中招的风险已经明显下降。没必要吓得删游戏，但如果你或家人最近玩过《超级变色龙》、下载过创意工坊地图，这三件事值得做：把游戏更新到3.3.1或更高版本；跑一次完整杀毒扫描；按Feint的建议，检查“文档”和临时文件夹里有没有不认识的可疑.bat文件。
还有两个对任何Steam玩家都适用的习惯。遇到“封禁红信”弹窗，先别点弹窗里任何按钮，打开手机Steam App或网页版核对，真·官方封禁通知是云端同步的，不会只在电脑客户端单独显示。知乎 选地图时，优先订阅量高、发布久的熟面孔；刚上架、下载量个位数的新地图，一律当陌生链接对待。这条路黑客也不是第一次走了：7月卡巴斯基研究人员就发现，有人把恶意程序伪装成Wallpaper Engine的壁纸包在工坊分发，启动感染壁纸会被植入后门、盗取Steam登录凭证。知乎
游戏还值得玩，只是要换个姿势
这场风波没有把游戏打垮。社区依旧活跃，玩家甚至自发组织起针对自动涂装外挂的“反制行动”：发现作弊者，几个人就围上去用内置画笔在作弊者身上画红色箭头，当场曝光。微博 这种玩家自治的乐趣，正是一个26元派对游戏能玩得久的原因。
这波事件真正留给玩家的，是一句话：创意工坊很好玩，但它在第三方游戏里是“发布即公开”。游戏值得玩，地图也值得玩，只是“看版本、跑扫描、别信新图”这根弦，该比游戏本身陪你更久。
