凌晨三点，传奇老张在群里甩了张截图——背包里多了九万九千九百九十九个元宝。手游刷元他用的漏洞那个号，三天前才建，传奇装备栏里还躺着把系统送的手游刷元白板木剑。没人问他怎么做到的漏洞，因为第二天早上，传奇整个区排行榜前五十的手游刷元ID全换成了陌生名字，每个名字后面都缀着同样的漏洞数字：满仓。

漏洞出在“熔炼回收”这个功能上。传奇手游的手游刷元底层逻辑是，玩家把不需要的漏洞装备丢进熔炉，系统按品质返还一定比例的传奇元宝。但设计者忘了一件事：当服务器延迟超过三百毫秒时，手游刷元客户端和数据库之间的漏洞数据校验会短暂脱节。简单说，你在一瞬间连续点击十次“熔炼”，服务器只来得及记录第一次操作，却会把十次的反馈全部发给你——元宝照发，装备还在背包里躺着。这个BUG不是秘密，在某个贴吧的加密帖子里，从手法到脚本，写得比游戏攻略还详细。

我试过一次。不是为刷钱，纯粹好奇。找了个凌晨四点半的时段，用模拟器开了双开，一个号正常挂机，另一个号卡延迟。操作比想象中简单，连点器设定好间隔，三百毫秒内点三次，成功率能到百分之七十。第一次成功的时候，屏幕上的元宝数字跳了一下，我盯着那串多出来的零，心里反而空落落的——这游戏我玩了两年，充值总额不超过一张月卡钱，现在十秒钟就拿到了相当于氪金玩家半年的资源。

最讽刺的是官方处理方式。公告发了三条，第一条说“严厉谴责利用漏洞行为”，第二条说“已修复相关技术问题”，第三条是“对违规账号进行封禁处理”。但老张的号没封，只是被清零了元宝。他后来又刷了一次，这次学聪明了，分十批小额转移，最后留了两万个在号上。官方再没查过。后来我才知道，这种页游改的手游，运营团队就七八个人，服务器租的是最便宜的云主机，根本没精力做实时风控。他们只抓那些一次性刷几十万的蠢货，因为那种数据波动太显眼，后台报表一眼就能看出来。

漏洞补上之后，又冒出新的。这次是“邮件附件复制”——利用网络波动时邮件系统的重复领取机制，把同一条带元宝附件的邮件领两次。原理和熔炼BUG如出一辙，都是吃服务器延迟的亏。有个专门做这个的工作室，在游戏里开了三十个号，每个号每天固定刷三次，一个月下来，光卖元宝就赚了四万块。他们跟普通玩家的区别在于，从不把元宝留在自己号上，全部通过拍卖行高价挂垃圾装备转移，再让买家拍下来，走线下转账。

说来也怪，这游戏里真正充钱的玩家反而成了最沉默的一群。土豪榜第一那位，据说每月充值五万起步，他大概永远不知道，自己花真金白银买来的排行榜第一，在工作室眼里只是个标价两万块的“可交易资产”。有次世界频道有人刷屏骂官方不管漏洞，土豪回了一句：“管什么管，我充的钱能买他们公司半个季度营收，他们巴不得我继续充。”这话糙，但理不糙——手游的寿命就那么长，等玩家流失得差不多，连修漏洞的功夫都省了，直接开新服圈下一波钱。

现在老张不玩那个游戏了，转去玩另一款卡牌手游。他跟我说，新游戏也有类似的门道，只是这次他学精了，只刷小数额，细水长流，一个月下来，零氪号的战力比月卡党还高。我问他怕不怕封号，他笑了笑：“封了就换下一个游戏，反正这种漏洞，每个游戏都有，只是藏得深不深的问题。”