Un site de gambling de skins Rust tire les skins de ton inventaire Steam avec une offre d'échange ordinaire, te crédite un solde à sa propre estimation, et te laisse miser ce solde sur des jeux de hasard. Si tu gagnes, tu retires un skin du stock du site, ou de la crypto sur beaucoup de sites ; si tu perds, le skin est parti. La liste comparative est sur la page Sites de gambling Rust.

Pourquoi un skin Rust vaut quelque chose

Les skins Rust naissent sur le Steam Workshop. Des artistes de la communauté les mettent en ligne, Facepunch choisit ceux qui lui plaisent, et les gagnants sont vendus dans la boutique d'objets Rust pendant une durée limitée à quelques dollars pièce (1,49 $ pour des gants, 9,99 $ pour un costume complet au moment où nous écrivons).

Le skin est ensuite échangeable et vendable sur le marché de la communauté Steam, où l'acheteur paie une commission Steam de 5 %. Les ventes vont dans ton porte-monnaie Steam, et la FAQ de Valve dit que les fonds du porte-monnaie ne peuvent être ni retirés ni envoyés vers une banque. Cette impasse est la raison d'être des sites tiers : ils sont la seule route du skin vers l'argent ou la crypto, et les sites de gambling sont installés dessus.

Deux réserves. Les skins de la boutique permanente (la boutique que Facepunch a ouverte le 18 novembre 2021) ne peuvent être ni échangés ni vendus, donc ils ne valent rien ici. Et les skins sont cosmétiques ; ils survivent bien au force wipe, ce qui est plus que ce que la base peut dire.

Ce qui se passe quand tu déposes

Tu te connectes via la connexion OpenID de Steam, une page steamcommunity.com qui confirme qui tu es et transmet au site ton Steam ID et ton inventaire public ; le site n'a jamais besoin de ton mot de passe. Tes skins échangeables apparaissent alors avec un prix fixé par le flux du site, en général sous le prix du marché, puisque le site doit les revendre.

Tu confirmes, et un compte bot appartenant au site t'envoie une offre d'échange. Tu acceptes, tu confirmes dans l'appli mobile, et ton solde apparaît. Valve a décrit ça en juillet 2016 : les sites vérifient la propriété via OpenID et font tourner des comptes Steam automatisés qui passent les mêmes appels web qu'un joueur. Valve n'a aucune relation avec eux et qualifie les bots de violation de ses accords, donc si les bots d'un site disparaissent en plein retrait, personne chez Valve n'interviendra.

Les retraits se font à l'envers : tu choisis un skin dans le stock du site, un bot envoie l'offre, tu acceptes. Beaucoup de sites paient aussi en crypto. Attends-toi à un écart entre la valeur de dépôt d'un skin et son prix de retrait.

Les règles Steam qui décident si ton échange passe

L'authentificateur mobile Steam Guard est la règle qui mord. Sans lui sur ton compte depuis les sept derniers jours, chaque objet qui sort est retenu par Steam jusqu'à 15 jours, donc en pratique un dépôt demande un authentificateur vieux d'une semaine. Annuler un échange retenu ajoute un délai de sept jours sans échange.

Autres timers sur la page des restrictions de Steam : un Steam Guard de n'importe quel type doit avoir 15 jours avant que le compte puisse échanger tout court, et retirer l'authentificateur gèle les échanges pendant 15 jours. Les objets portent aussi des dates : tout ce qui est acheté en jeu ou sur le marché reste verrouillé jusqu'à la date indiquée dessus, qui varie selon le jeu ; Steam n'indique aucune règle propre à Rust.

Puis l'arnaque à la clé API : une connexion de phishing capture tes identifiants Steam, l'arnaqueur enregistre une clé Web API sur ton compte, et tes offres d'échange sortantes peuvent être annulées et remplacées par des offres sosies venant d'un compte qui copie le nom et l'avatar de ton partenaire d'échange. Si tu trouves une clé que tu n'as jamais créée sur steamcommunity.com/dev/apikey, la solution est : changer le mot de passe, déconnecter tous les appareils, révoquer la clé.

Les jeux, en un tableau

Chaque site réarrange la même poignée de jeux.

Jeu Ce que c'est Où se cache l'avantage
Case opening Prix fixe, tirage pondéré, un skin Les probabilités face au prix de la case
Case battles Mêmes cases, plusieurs joueurs ; le total le plus élevé rafle tout Un seul tirage décide
Roulette Mise sur une couleur ou un numéro ; un tirage à partir d'une seed choisit la case Les cases sur lesquelles personne ne gagne
Crash Un multiplicateur grimpe à partir de 1.00x jusqu'à ce qu'il s'arrête ; encaisse avant La formule de la courbe
Coinflip Deux joueurs misent une valeur similaire ; un tirage 50/50 en paie un La commission du site
Jackpot Les joueurs mettent des skins en commun ; ta chance est ta part Le rake ; les gros déposants
Upgrader Mise sur un skin plus cher ; la chance est la mise divisée par la cible, moins l'avantage Chance affichée contre chance équitable
Plinko Une bille tombe à travers des picots dans des cases multiplicatrices La plupart des billes atterrissent au milieu, en bas
Mines Une grille cache des mines ; chaque case sûre augmente le multiplicateur Les mines doivent être placées avant ton premier clic
Dés Lance au-dessus ou en dessous de ton nombre ; le gain varie avec la chance Imprimé sur le curseur

L'avantage de la maison en termes simples

L'avantage de la maison est la part de tout ce qui est misé que l'opérateur s'attend à garder sur le long terme. La UK Gambling Commission décrit le taux de retour au joueur, le chiffre miroir, comme une moyenne sur de nombreuses parties, pas une promesse pour une session. Sur un site de skins, l'avantage est dans la formule de paiement : la roulette à un seul zéro a 37 cases mais paie un numéro à 35 contre 1, donc l'opérateur garde 2,70 % de ces mises sur la durée. Chaque mise a donc une espérance légèrement négative. Les sites affichent leur avantage sur la page d'équité, s'ils en ont une. Pas de chiffre veut dire mauvais chiffre.

Ce que veut dire « provably fair » et comment vérifier une manche

Le provably fair est un schéma d'engagement et de révélation qui prouve qu'un résultat n'a pas été changé après ta mise. Les éléments : un server seed (le secret du site), un client seed (le tien ; change-le) et un nonce (un compteur qui augmente de un à chaque mise sur la même paire de seeds). Pour vérifier une manche :

  1. Avant de miser, copie le hash SHA-256 du server seed que le site affiche.
  2. Définis ton propre client seed.
  3. Joue, en notant le nonce de la mise à vérifier.
  4. Fais tourner la paire de seeds ; le site révèle l'ancien server seed.
  5. Hashe le seed révélé avec n'importe quel outil SHA-256 ; une différence avec ta copie veut dire que le site a échangé les seeds.
  6. Calcule le HMAC-SHA256 avec le server seed comme clé et le client seed plus le nonce comme message (format et étape de conversion du hash en tirage selon la page d'équité), et compare avec ton résultat.

Utilise un vérificateur indépendant pour l'étape 6, pas seulement l'outil du site. Une vérification propre prouve que le tirage était fixé avant ton clic (aux mines, avant la première case), pas que les probabilités étaient bonnes.

Les signaux d'alarme d'un site arnaque

  • Une connexion qui demande ton mot de passe Steam, ton code d'authentificateur ou ta clé API au lieu de passer par steamcommunity.com.
  • Pas de page d'équité, ou une page sans hash affiché avant la manche.
  • Pas de nom de société, d'adresse ni de contact support.
  • Des retraits bloqués en « pending » alors que les dépôts passent instantanément.
  • Des giveaways, des demandes « vote pour mon skin » et des invitations à des tournois dans le chat Steam avec un lien de connexion ; l'arnaque à la clé API commence là.
  • Un domaine à une lettre près de steamcommunity.com.

Deux de ces signes et il garde tes skins.

Où en est la loi

Pour la plupart des régulateurs, le gambling de skins est du jeu d'argent dès que les skins peuvent être transformés en argent. Le test de la UK Gambling Commission est de savoir si les objets sont « de l'argent ou l'équivalent d'argent » : échangeables ou encaissables en dehors du jeu, oui ; verrouillés dedans, non. Elle a qualifié les paris en skins de forme cachée de jeu d'argent en 2017 et a poursuivi deux hommes qui faisaient tourner un site lié à FIFA. L'âge minimum en Grande-Bretagne est de 18 ans, en ligne compris ; les États américains varient, et New York fixe 21 ans pour les paris sportifs régulés.

Que ça reste un loisir

Fixe un budget avant de te connecter. Ne dépose que des skins achetés pour ça, jamais ceux qui sont sur les armes que tu utilises vraiment. Fais des pauses, comme face à un roofcamper. Si ça ne ressemble plus à un jeu : GambleAware (Grande-Bretagne, téléphone ou chat gratuit, 24 heures sur 24), le National Council on Problem Gambling (États-Unis, appel ou SMS au 1-800-MY-RESET) et Gamblers Anonymous (réunions gratuites en personne, en ligne et par téléphone). Pour comparer des sites, lis d'abord la page d'équité et les règles de retrait ; la page Sites de gambling Rust est le point de départ.

Sources