2024年3月，漏洞一个名为“QQ钻卡联盟”的免费QQ群在三天内涌入两千多人。群公告写着“卡盟内部漏洞，刷钻永久钻只需3元”，漏洞附带的免费截图里，一排排到2038年的刷钻黄钻、绿钻、漏洞超级会员图标整齐排列。免费群主“阿凯”每隔十分钟发一次收款码，刷钻备注栏不断弹出“已付”“求拉”。漏洞这不是免费孤例。搜索“QQ漏洞免费刷钻”，刷钻跳出来的漏洞帖子和视频仍在更新，评论区有人追问“稳不稳”，免费有人回复“刚上车，刷钻秒到”。

这些所谓的“漏洞”到底是什么？我托人混进一个刷钻群，观察了五天。群文件里躺着一份《卡钻原理说明》，点开全是乱码，实际教程是群主私聊发的：让你登录一个仿冒的QQ安全中心网页，输入账号密码，再“授权”一个来路不明的第三方应用。群主声称这是“利用腾讯充值接口的延迟漏洞”，实际上那个网页后台正在记录你的账号密码，而所谓的“钻”是用你的Q币余额给自己开通的——你付了3元，他拿你的账号花掉10元。

更隐蔽的玩法是“共享钻”。群主让你下载一个改版QQ，登录后确实显示黄钻LV9，但那是本地修改的图标，服务器端根本没记录。你用这个改版QQ发说说，别人看到的还是普通用户。有人发现后质问，群主甩出一句“你手机问题，清下缓存”，然后踢人。这类改版QQ安装包里通常夹带远控木马，能读取你的聊天记录和支付密码。

腾讯官方其实一直在封堵。2023年第四季度，QQ安全团队处理了1.2万个涉及“刷钻”的违规群组，封停账号超8万个。但黑产换个马甲就复活——群名从“刷钻”改成“福利”，收款方式从微信转账改成发红包，教程从文字改成语音。一个被封号的群主在贴吧抱怨：“养一个两千人群的成本不到五十块，封了就再建，反正傻子多。”

我联系到一位曾经参与刷钻的在校大学生小林。他花15元买了“永久超级会员”，对方让他提供账号密码，说“十分钟搞定”。半小时后他收到QQ安全中心提醒：账号在异地登录，Q币余额被消费。他赶紧改密码，但超级会员没到账，15元也退不回来。“就当交智商税了。”小林说，他后来在班级群里看到有人发同样的广告，底下还有同学问“真的假的”。

这些骗局能持续存在，根源在于钻卡本身的符号价值。一个黄钻LV7的QQ空间，在部分00后眼里是“排面”。官方开通一年黄钻要120元，黑产报价3元，价差足够让人赌一把。但账号被盗后的连锁反应——好友收到诈骗消息、绑定的银行卡被试探、游戏装备被洗——代价远超那点“排面”。

真要验证是不是漏洞，方法很简单：打开QQ钱包，看Q币余额有没有少；登录腾讯充值官网，查开通记录。如果钻没到账，或者到账后Q币被扣，那就是被骗了。至于那些“先刷后付”的，更危险——对方拿到账号后直接改密保手机，反过来问你要“赎回费”。

写到这里，我又点开那个刷钻群。群主刚发了一条新公告：“腾讯大清查，暂时停单，恢复时间待定。”底下有人问“那我的钱呢”，消息瞬间被刷屏的“求拉”“求带”淹没。屏幕左上角，群人数从2137变成了2138。