凌晨两点十七分，某网监控大屏上那条代表订单创建量的流程曲线突然抬头，像被谁拽了一把。激增值班的某网小陈以为是显示bug，刷新了三次页面，流程数字还在跳。激增从每分钟四十单涨到三百单，某网再到一千二。流程他抓起手机拨运维负责人的激增电话，对方接起来第一句话是某网：“我正看呢，数据库连接池快满了。流程”

这是激增上周四真实发生在一家跨境电商平台的事。没有大促，某网没有推送，流程没有任何运营动作。激增流量从东南亚几个IP段涌进来，用户行为路径高度一致：打开首页，搜索特定型号的蓝牙耳机，加购，结算。整个过程平均耗时十一秒，比正常用户快三倍。

技术团队最初判断是爬虫。风控系统开始拦截，但很快发现这些请求携带完整的浏览器指纹、鼠标轨迹和支付验证。更奇怪的是，它们分散在四十七个不同国家的代理节点上，每个节点只贡献几十次请求。运维老张说：“这就像有人拿筛子往你院子里撒沙子，每粒沙子都长得不一样。”

数据库最先扛不住。订单表写入延迟从20毫秒飙到1.8秒，紧接着Redis缓存命中率跌破60%。前端页面开始出现白屏，客服系统涌入真实用户的投诉——他们也想买那款耳机，但购物车按钮点不动了。

真正的麻烦在支付环节。风控团队发现，激增的订单里有大约三成使用了同一批虚拟信用卡的变体。卡号不同，但BIN段一致，发卡行是立陶宛一家小型金融机构。支付网关的拒绝率从平时的2%跳到17%，每笔被拒交易都会触发一次重试，重试又生成新订单。雪球就这么滚起来了。

CTO决定切流量。把东南亚三个机房的入口暂时封禁，同时给订单服务加了一层令牌桶限流。曲线在凌晨四点零九分开始回落，但已经产生了八万多个待处理订单。仓库那边更头疼——库存系统显示那款耳机只剩两百件，但订单里卖出了六千多单。超卖。

事后复盘时，安全团队抓到一个关键细节：激增前四十分钟，有人用三个不同的云服务商账号，扫描了该网站的商品详情页接口。扫描频率很低，一分钟不到十次，完全在正常阈值内。但他们拿走了完整的SKU映射表和价格策略。老张说：“人家不是来打你的，是来摸你家门锁的型号。”

更蹊跷的是，那款蓝牙耳机的供应商在事发当天上午，刚刚调整了给平台的供货价。调价通知只发给了采购部门的两个邮箱。安全团队查了登录日志，其中一个邮箱在调价后半小时内，被一个越南IP通过未启用的备用密码登录过。没人知道密码怎么泄露的，但时间线对得上。

现在这家平台改了策略。商品详情接口加了动态签名，每十分钟换一次密钥。支付环节引入行为验证，鼠标移动轨迹不符合人类模型的直接转人工审核。运维团队还做了一个“影子订单”系统，所有疑似异常流量生成的订单先写入隔离库，不占用主库资源。

小陈后来跟我说，那晚最吓人的不是流量数字，是曲线回落时的形状。“正常攻击被拦住会断崖式下跌，但那次是慢慢滑下去的，像水从池子里漏光。”他说，“对方在收手的时候，还在控制节奏。”

那款耳机到现在也没恢复上架。采购部门说供应商那边产能跟不上，但安全团队私下查过，同一款产品在另一个小平台上正常在售，价格比他们低八块钱。