银行门口的样外黄牛比往年多了三倍，手里捏着身份证复印件，行抢见人就问“换不换纪念币”。纪念我挤过人群，样外在柜台前递上证件，行抢柜员眼皮都没抬：“每人限兑二十枚，纪念要哪种？样外”——这是2023年兔年纪念币发行首日。真正的行抢外挂不在这排队的人堆里，而在手机屏幕后面。纪念

银行的样外预约系统开放前五分钟，我同时开着三台设备。行抢电脑用脚本模拟点击，纪念手机开着倒计时软件，样外平板挂着银行APP的行抢开发者模式。脚本是纪念朋友写的，就几行Python代码，原理简单得可笑——提前填好身份信息，到点自动提交。真正难的是绕过验证码。那家银行的验证码是滑块拼图，我用图像识别库识别缺口位置，模拟人类拖拽轨迹，加了点随机抖动。成功率大概七成，多试几次就行。

预约开放那刻，系统卡成PPT。我盯着屏幕，脚本已经在第14秒提交成功。旁边一个老哥还在手动输入身份证号，输到一半页面超时，他骂了句脏话，重新排队。这就是差距。不是手速差距，是工具差距。银行嘴上说“公平预约”，可服务器就那点吞吐量，谁先挤进去谁赢。写脚本的人赢了，用外挂的人赢了，老老实实按F5的人只能等下一轮。

有人问这算不算违法。我查过，纪念币是普通纪念币，面值兑换，不是有价证券。银行条款里写着“不得使用外挂程序”，但没写惩罚措施。顶多取消预约资格，封个账号。比起风险，收益太诱人了——兔年纪念币面值10元，当天市场价就炒到15元，一盒二十枚，转手赚一百。黄牛收币更狠，直接按整卷收，一卷四十枚，加价两百。我那天抢了四卷，赚了八百。够吃顿好的。

但外挂这行当也在卷。有人写抢票软件顺带抢纪念币，有人租服务器多线程并发，还有人直接黑进银行内部系统改库存——那个被抓了，判了三年。我属于小打小闹，用现成工具改改参数。真正的高手玩的是“预约后撤销”的漏洞。系统允许取消预约，释放名额，外挂盯着取消接口，一旦有人退，立刻补位。这招成功率极高，因为大部分人不盯这个接口。

银行后来加了人脸识别，但架不住有人用AI换脸。我认识个哥们，用Deepfake生成动态人脸视频，专门绕过活体检测。他每次只抢两卷，不多贪，至今没翻车。问他为啥不批量搞，他说“细水长流”。这行当的潜规则是：别让银行觉得疼，疼了就会封系统、改规则、报警。小打小闹的散户最安全，批量搞的都被盯上了。

纪念币发行那天下午，我在二手平台挂出四卷兔币，标价每卷加一百五。半小时内全出了。买家问“哪来的”，我说“家里老人排队换的”。他信了。其实哪有什么老人排队，不过是几行代码在凌晨三点替我守着服务器。外挂的本质不是技术多牛，而是规则漏洞摆在那，你愿意不愿意弯腰捡。银行年年发公告说“严厉打击”，可年年有人抢到几十卷。你说这算不算一种黑色幽默？