CVV盗号源码

CVV盗号源码在暗网论坛上挂价五十美元一套，号源附赠一份“新手操作手册”。号源我去年在追踪一个跨境洗钱案时，号源从某加密聊天群组里下载过一份。号源解压后三个文件夹：`generator`、号源`checker`、号源`cashout`。号源代码写得粗糙，号源PHP混着Python，号源注释里还留着上一任卖家的号源Telegram联系方式。

这东西原理不复杂。号源信用卡背面那三位数CVV，号源本该是号源支付时的动态验证码，但很多境外电商平台只做静态校验。号源源码里的号源`generator`模块干的事就是暴力枚举——给定卡号前十二位，循环000到999，配合从社工库扒来的姓名、地址、邮编，批量提交支付请求。命中一个就标记为“活卡”，写进`checker`生成的SQLite数据库。

真正值钱的是`cashout`部分。它不直接盗刷，而是把活卡信息喂给礼品卡购买接口。买亚马逊卡、Steam卡、苹果卡，再通过`cashout`里的代理池洗成加密货币。代理池来自被入侵的住宅路由器，IP分散在二十多个国家。我测试过其中一个节点，出口IP在罗马尼亚，延迟高达八百毫秒，但足够绕过风控。

有个细节让我后背发凉。源码里藏了一段混淆过的JavaScript，专门检测运行环境是否在虚拟机中。如果在VMware里跑，它会自动删除数据库并回传一个假数据包。写代码的人显然被蜜罐坑过。这种对抗思维，不是普通脚本小子能有的。

去年三月，江苏南通警方破获的案子跟这套源码高度相似。嫌疑人姓周，二十六岁，在本地电脑城修手机。他交代说源码是从一个叫“CVV School”的Telegram频道买的，用USDT支付。频道管理员每周三晚上开语音课，教怎么用Burp Suite抓包修改支付金额。周某学了两个月，盗刷了十七张卡，获利四万多元。他落网时，`checker`数据库里还存着三千多条未验证的卡号。

这类源码的流通链条很固定。写核心算法的人不卖终端用户，他们只卖给“总代理”。总代理加壳、加后门、加使用期限，再拆成“基础版”“专业版”“企业版”。周某买的是基础版，限制每天查询五百次。专业版带自动过Cloudflare验证，贵三倍。企业版我没见过，据说能直接对接POS机固件。

防守方也不是吃素的。Visa和Mastercard从2020年起强制推行3D Secure 2.0，动态验证加生物识别。但道高一尺，源码里开始集成“降级攻击”模块——检测到3DS验证时，伪造一个“商户不支持3DS”的响应包，迫使交易回落到静态CVV校验。这个漏洞在部分收单行至今没补上。

我拆过`generator`里的一段Python，用到了`faker`库生成虚假账单地址。有意思的是，它把州名和邮编做了映射校验，避免出现“加州+纽约邮编”这种低级错误。这种细节说明作者真的跑过大量真实数据。代码里还留了一行注释：`# 别用俄勒冈州，AVS太严`。

写这篇文章不是教人盗刷。恰恰相反，我想说清楚一个事实：CVV盗号早已产业化，源码只是最外层的壳。真正难防的是社工库——你的姓名、电话、地址、甚至最近一笔消费金额，可能早就在某个数据库里被标好了价。三位数的CVV，不过是最后那根稻草。

(责任编辑：娱乐)