2026年11月12日，The Verge、PC Gamer 与 Kotaku 等多家科技与游戏媒体交叉证实，老牌数字发行平台 Humble Bundle 在近期商店前端改版后，直接从账户设置页面移除了添加或更新双重验证（2FA）的选项。更反常的是，这次改版并非单纯漏掉了一个前端按钮，而是把后端的身份校验防线一并拆掉了：原本绑定了动态验证码的老账号被系统直接绕过，且在登录状态下修改密码时，系统甚至不需要输入旧密码。
最先撞上这堵空气墙的是普通玩家。早在11月11日，Reddit 社区就有用户发帖反映，Humble Bundle 改版后移除了 2FA，安全设置（Security）区域只剩下孤零零的密码选项，此前启用了动态验证器（TOTP）的账户在登录时不再被要求输入动态码。
11月12日，Kotaku 记者 Alicia Haddick 率先跟进报道了改版缺失 2FA 控制项及账户变更校验机制削弱的问题，其报道链接中甚至直接带上了 vibe-coded-ai-redesign（氛围编程 AI 改版）的字样。同日，PC Gamer 记者 Joshua Wolens 对一个早已开启 2FA 的账户进行登录测试，结果发现仅凭邮箱地址和密码即可长驱直入，全程没有任何形式的二次拦截。而讽刺的是，在功能消失期间，Humble Bundle 官方题为 Humble Bundle Two-Step Verification（文章 ID 为 202421374）的帮助文档仍在向用户推荐启用双重验证。
混乱的48小时与强制安全降级
如果你把11月11日到13日各方测试的时间线拼在一起，会发现 Humble Bundle 的后台在这48小时里经历了一场静默的混乱。
在 PC Gamer 测出仅凭密码直登的同一天晚些时候，The Verge 记者 Jay Peters 登录自己早已配置过动态双因素验证码的账户时，系统没有索要验证器 App 里的动态码，而是弹窗提示去邮箱查收访问码。到了11月12日至13日期间，Reddit 社区开始出现 2FA 已经恢复的讨论，部分用户反映登录时重新遇到了邮件验证码拦截。
但这绝不是真正的修复，而是一次暗箱操作下的强制安全降级。
部分 Reddit 用户在测试中发现，改版后的登录流一度出现密码或邮件验证码二选一、随后又变成密码加邮件验证码的摇摆状态。如果邮件码可以直接替代密码登录，那它连双因素都算不上，只是换了一种单因素认证；即便采用密码加邮件码的组合，其安全水位也远低于用户原本绑定的 TOTP 验证器（如 Google Authenticator 或 Authy）。
在主流 PC 游戏平台中，安全边界一向划分得很清楚。Steam 依靠 Steam Guard 提供每30秒刷新的动态码、手机批准登录、扫码登录及邮件码；GOG 默认开启邮件验证，同时完整支持 Google Authenticator、Authy、Microsoft Authenticator 等标准 TOTP 应用与备用码。验证器 App 的核心价值在于物理隔离，密钥保存在本地设备；一旦被强行降级为邮件验证码，只要用户在其他网站撞库泄露了同款密码且邮箱失守，攻击者就能顺着邮箱验证码直接攻破游戏库。
为什么 Humble 账户最怕这套组合拳
这次事件最危险的地方，还不只是 TOTP 验证器停摆，而是它与改密码不验旧密码叠加在了一起。
我更在意的是 Humble Bundle 独特的资产交付形态。与 Steam 或 GOG 这种直接绑定账号运行游戏的客户端不同，Humble Bundle 实质上是一个庞大的数字提货券金库。老玩家和 Humble Choice 订阅者的账户里，往往囤积着数年攒下来的、尚未刮开的 Steam 激活码（Keys），外加无 DRM 限制的直装文件、电子书与软件，且账户大多绑着活跃的支付方式。
在安全工程里，修改密码时要求输入旧密码（重认证机制），是防御会话劫持（Session Hijacking）和跨站请求伪造的底线设计。如果用户忘记在公共电脑退出登录，或者浏览器 Cookie 被恶意插件窃取，攻击者虽然拿到了登录态，但因为不知道旧密码、手里也没有验证器 App，就无法把账号彻底据为己有。
现在 Humble Bundle 亲手拔掉了这两道插销。一旦攻击者通过窃取 Cookie 进入处于登录状态的账户，不需要知道旧密码，也不会触发 TOTP 动态码拦截，几秒钟内就能改掉密码、永久踢走原号主，接着把账户里所有未刮开的 Steam Key 洗劫一空并转手卖到灰产市场。这还会把火烧向独立游戏开发者与发行商：一旦爆发大规模盗号洗劫，黑 Key 流入二手市场，开发者将被迫面对海量坏账与撤销激活码的客服灾难。
- 风险.对于账户内攒有大量未兑换 Steam Key 的老用户，当前最稳妥的自保动作是立刻刮开并绑定高价值激活码，同时解绑已保存的信用卡或 PayPal 支付方式。
虚假的安全感比裸奔更致命
《韩非子》里讲，千丈之堤，以蝼蚁之穴溃。软件工程也是同理，系统的崩塌往往不是因为遭遇了多高明的零日漏洞，而是因为内部改版时对基础安全契约的草率背弃。
虚假的安全感，永远比坦荡的裸奔更危险。
如果一家平台明确告诉用户现在没有双因素认证，用户自然会提高警惕、使用高强度独立密码并清空敏感资产。但 Humble Bundle 的做法是：前端删掉设置入口，后端废掉 TOTP 校验，帮助中心（ID 202421374）却继续挂着开启双重验证的教程，随后又悄悄塞进一个邮件验证码来平息舆论。成千上万没有每天刷 Reddit 的老玩家，看到手机验证器 App 里每30秒还在正常跳动的6位数字，会理所当然地以为自己的数字金库固若金汤，殊不知那串数字早已被后端网关当成了空气。
为什么一次常规的商店界面改版，会连根拔起后端的身份认证网关，甚至连改密码验旧密码这种教科书级别的逻辑都能写丢？社区与媒体指向的草率重构质疑并非空穴来风。在许多被传媒集团收购的成熟互联网资产里，历史代码库往往历经多轮团队换血；当新团队为了赶前端改版进度而重写用户设置接口时，极易把原本耦合在旧表单里的重认证校验与 TOTP 绑定逻辑直接砍掉，事后又只能靠网关层的邮件验证码打一个临时补丁。
截至2026年11月13日，Humble Bundle、其所有者 IGN Entertainment 以及母公司 Ziff Davis 均未就 TOTP 失效原因与恢复时间表发表任何公开声明。对于一家替无数玩家保管着真金白银激活码的数字商店而言，改版改丢了门锁只是工程事故，而装作无事发生、用邮件码糊弄过去，则是对用户信任的蓄意透支。接下来唯一值得盯住的指标，不是它的新界面有多好看，而是旧账户的 TOTP 密钥库是否还完好无损，以及官方何时敢把真正的验证器开关还给用户。