2023年，利用漏洞上海某大学生张某发现某电商平台新用户优惠券存在漏洞——同一设备反复注册可无限领取百元券。薅羊他拉上室友，毛犯三天内注册了200多个账号，利用漏洞薅走平台2.3万元商品。薅羊平台报警后，毛犯张某因诈骗罪被判有期徒刑六个月，利用漏洞缓刑一年。薅羊他委屈地说：“我只是毛犯用了规则漏洞，怎么就成了诈骗？利用漏洞”

答案很残酷：法律不看你的“薅羊毛”初衷是否单纯，只看行为是薅羊否突破了合法边界。刑法第266条规定的毛犯诈骗罪，核心在于“虚构事实、利用漏洞隐瞒真相”。薅羊当你反复注册新账号时，毛犯你向平台传递的“我是新用户”这个信息是假的——这就是虚构事实。哪怕技术漏洞是平台自己留下的，但你利用虚假身份去套取优惠，性质就从“占便宜”滑向了“骗取”。

有人会杠：“那平台自己审核不严，怪我咯？”司法实践里，这叫“被害人过错”，但它只影响量刑轻重，不改变定罪性质。就像你家门没锁，小偷溜进去偷东西，你不能说“谁让你不锁门”来替小偷开脱。2021年杭州有案例，程序员用脚本抢购茅台，利用平台未限制同一IP的漏洞，获利数万元，最终同样以非法获取计算机信息系统数据罪被追责——罪名不同，但逻辑一致：技术手段放大了你的非法占有意图。

但话说回来，不是所有“薅羊毛”都违法。领个新人红包、用优惠券凑单，这是平台主动让利，属于正常商业促销。关键在于你是否“伪造身份”或“利用技术手段绕过规则”。比如你用家人真实信息注册新账号，平台规则允许一家庭多账号，那没问题；但如果你用改机软件伪造设备ID，那就是另一回事了。界限就在“是否违背平台明示规则”与“是否捏造关键事实”之间。

我见过最荒唐的辩护：“漏洞是平台写的代码，我只不过读懂了它。”这话听着聪明，实则蠢。法律不保护“恶意利用漏洞”的行为，因为任何商业系统的漏洞都只是暂时的技术缺陷，不是默许的授权。你顺着漏洞拿走的每一分钱，本质上都是从平台其他正常用户和股东口袋里掏出来的——这不是智力游戏，是零和博弈。

真的，别高估自己的“技术正义感”。那些觉得“薅大平台不违法”的人，往往栽在金额上。刑法规定，诈骗公私财物价值3000元至1万元以上即可立案（各地标准不同）。你觉得“我就薅了几百块”，但当你用脚本批量操作时，累计金额会瞬间突破门槛。更麻烦的是，如果你传播了漏洞利用方法，还可能构成传授犯罪方法罪——那就不只是自己坐牢的问题了。

最后说句掏心窝的：如果你发现了一个漏洞，最聪明的做法是提交给平台SRC（安全响应中心），正经公司都会给奖金，数额未必比你薅羊毛少，而且合法、安全、还能写进简历。拿漏洞去换刑罚，这笔账，智商正常的人都算得清。