漏洞单线报
上周三凌晨两点，漏洞我在一个只有三百人的单线Telegram群里看到一条消息：“某生鲜平台新人券叠加漏洞，满59减50，漏洞实测可重复领，单线速撸。漏洞”配图是单线订单截图，实付9块8，漏洞拿到一箱牛奶加两盒鸡蛋。单线发消息的漏洞人ID叫“羊毛老K”，头像是单线一只手绘的羊。三分钟后，漏洞群主开了全员禁言，单线只留一条置顶：“已私发链接，漏洞自测，单线别声张。漏洞”
这就是漏洞单线报的日常。它不像那些大张旗鼓的“薅羊毛教程”，没有公众号推文，没有短视频讲解，更不会出现在微博热搜。信息在极小的圈层里流动，靠的是截图、暗语和信任。老K后来跟我说，那条线报的生命周期只有47分钟——平台风控在凌晨两点四十七分封了接口，所有未支付的订单全部失效。
我混进这个圈子纯属偶然。去年双十一，我在一个购物群里看到有人发“0元购某品牌羽绒服”的截图，底下跟了几十条“求带”。群主没理，只私聊了几个活跃ID。我假装成快递员，套了几句话，才被拉进一个叫“线报中转站”的频道。进去才发现，这里不聊别的，只发链接和截图。每条线报下面都跟着一串数字：59-50 / 新人 / 限APP / 已黄。意思是满59减50，仅限新用户，只能APP下单，已经失效。
做线报的人分两种。一种是“挖洞的”，专门找平台规则漏洞。比如某电商的“邀请有礼”活动，邀请一个新用户得20元，但如果你用虚拟号注册，系统不查设备指纹，就能无限刷。挖洞的人往往懂点技术，会抓包、会改参数，但他们不自己下单，只把漏洞卖给“发单的”。发单的负责测试、截图、写话术，再分发给下游群主。群主拉人头，抽成10%到20%。一条线报从发现到死亡，平均寿命不到两小时。
我见过最离谱的一条线报，是某外卖平台的“首单立减”漏洞。正常用户首单减15，但如果你在支付页面反复切换地址，系统会误判为新用户，减到38。有人一晚上下了17单，全是0.01元的奶茶。第二天中午，平台客服打电话过来，语气很客气：“先生，您昨天的订单我们无法配送，建议您主动取消。”那人回了一句“凭本事下的单，凭什么取消”，然后挂了。下午他的账号就被永久封禁，连绑定的手机号都进了黑名单。
漏洞单线报的灰色地带在于，它不完全是诈骗，也不完全是合法。平台自己出的bug，用户钻了空子，法律上很难界定。但平台有最终解释权，封号、砍单、追回优惠，都是常规操作。老K说他干了三年，被封过四十多个账号，但从来没被追过钱。“平台懒得跟你打官司，封号最省事。”他顿了顿，又补了一句，“不过去年有个哥们儿撸了十几万的茅台，被跨省了。那是另一回事。”
线报群里的气氛很微妙。有人闷声发大财，有人热心分享，也有人专门卖假线报——发个截图说“可撸”，等你付了入群费，链接早就黄了。老K说这种人叫“割韭菜的”，比平台风控还讨厌。“风控至少讲道理，割韭菜的连截图都是P的。”他给我看过一张假截图，订单号少了一位，时间戳对不上，但群里照样有人信。
我问他，为什么还干这个。他发了个笑脸：“习惯了。看到漏洞就想钻，跟打游戏找BUG一样。”然后他又发来一条新线报：“某书店满100减99，限新用户，已测，速。”我点进去，页面已经显示“活动已结束”。老K说：“你看，又晚了一步。”
这个圈子没有名字，没有组织，没有规则。它像一条暗河，在平台和用户之间悄悄流淌。有人靠它省了钱，有人靠它赚了钱，也有人因为它丢了账号。但不管怎样，只要平台还在出bug，这条河就不会干。