steam盗号是怎么绕过邮箱验证的？

我steam账号借同学在网吧登陆第二天，账号被盗，盗号的人开挂被封禁3天。
我用的是163邮箱，我查邮件并没有找到登陆验证码邮件。并且邮箱也没有在网吧登陆过，所以邮箱应该不会被盗。
我之前猜测没有收到验证码是以为盗号的是在他们那里的网吧，所以同网吧登陆不需要验证码。但是我一查steam登陆地址信息，我们都是北方省份，盗号的登陆信息在东莞。
所以，他们是怎么绕过邮箱验证登陆的。另外想问下，他们花了我steam 10来块钱买钥匙开箱子。这个可以申诉退款吗？