内容摘要：支付宝红包的“赚赏金”功能上线那阵子，我朋友圈里突然冒出好几个“扫码领红包”的二维码。发的人一脸兴奋，配文都是“快扫，能领好几块”。我扫过几次，领到的最高也就两毛八。但真正让我好奇的，是那些发码的人—

支付宝红包的支付“赚赏金”功能上线那阵子，我朋友圈里突然冒出好几个“扫码领红包”的宝红包赚二维码。发的赏金人一脸兴奋，配文都是漏洞“快扫，能领好几块”。支付我扫过几次，宝红包赚领到的赏金最高也就两毛八。但真正让我好奇的漏洞，是支付那些发码的人——他们真能赚到钱吗？

后来我认识了个叫老周的，他靠这个一个月赚了八千多。宝红包赚老周没什么特别技术，赏金就是漏洞拉了个微信群，每天往群里扔十几个红包码，支付再配上“今天又有人中了88元”的宝红包赚截图。截图是赏金PS的，群里没人知道。他玩的其实是概率游戏——支付宝给每个码设了随机赏金，扫的人越多，总赏金基数越大，他抽成的比例虽然只有百分之几，但架不住量大。

漏洞出在“自扫”上。老周有天喝多了跟我说，他注册了二十个支付宝小号，用不同设备登录，每天互相扫对方的红包码。每个新号首扫能得几块钱，小号扫大号的码，大号抽成，小号领的赏金再转回大号。一来一回，等于支付宝白送他钱。他算了笔账：一个号一天能扫出三到五块，二十个号就是六十到一百块，一个月净赚三千多，加上群里那些真实用户的抽成，八千不夸张。

这算漏洞吗？严格说，支付宝的规则里写着“同一用户最多只能领取一次”，但“同一用户”的判定标准是身份证号、设备指纹、手机号这些。老周用亲戚的身份证实名认证，手机号是网上买的虚拟号，设备用安卓的“分身大师”软件模拟。支付宝的风控系统不是没察觉，而是察觉了也没办法——你没法证明这二十个号背后是同一个人，除非调取线下人脸识别，但支付宝显然不会为了几块钱的赏金去这么干。

更野的操作是“群控系统”。淘宝上有人卖那种一台电脑控制上百台手机的设备，每台手机自动登录一个支付宝账号，自动扫码，自动领取赏金。老周说有个哥们儿搞了五十台二手红米手机，每天自动跑，一个月流水两万。支付宝后来把赏金上限从88元降到了8元，又限制了新用户首扫的金额，但架不住人家用“养号”策略——先让账号正常使用半个月，每天买瓶水、交个话费，养肥了再开始扫。风控模型对这种“真实用户行为”的模拟，基本是睁眼瞎。

我试过一天之内用五个号互扫，结果第二天被限制了赏金功能，提示“账号存在异常操作”。但老周笑我太傻——他从来不在同一台设备上切换账号，每个号固定一台旧手机，连WiFi都用不同的。他说这叫“物理隔离”，支付宝再聪明也查不到。

这事后来怎么收场的？2020年，支付宝更新了协议，明确禁止“恶意套取赏金”，开始要求扫码后必须跳转页面停留三秒以上才能领钱，说是“防止机器刷量”。老周的群控设备集体失灵了，因为那些手机没法模拟“人类滑动屏幕”的动作。他就此收手，跟我说了句实在话：“平台不是堵不住漏洞，是懒得堵。一旦他们认真起来，我们这些小鱼小虾跑都跑不掉。”

说到底，这不算什么技术漏洞，而是规则和成本之间的缝隙。支付宝算过账——花几百万风控成本去堵几万块的赏金流失，不划算。他们更在乎的是用户活跃度，哪怕是被薅羊毛的“虚假活跃”，在数据报表上也是好看的。老周赚的是辛苦钱，但那种用群控系统月入十万的，才是真正让平台头疼的。不过话说回来，平台自己设计的拉新机制，本质上就是在鼓励人去“钻空子”，只不过空子钻大了，他们又嫌你手伸得太长。这世道，薅羊毛的怕平台，平台怕羊毛党，羊毛党又怕平台认真，绕来绕去，最后吃亏的还是那些老老实实扫码领了八毛钱的人。