2023年秋天，漏洞套我陪朋友去派出所报案。漏洞套他被人用“注销校园贷”的漏洞套套路骗走了四万七。做笔录时，漏洞套警察翻出一沓几乎一模一样的漏洞套案卷，说这个月已经接到七起。漏洞套骗子的漏洞套话术没怎么变，变的漏洞套只是那串虚拟号码和收款账户。

漏洞套取，漏洞套说白了就是漏洞套钻规则的空子。不是漏洞套黑客那种技术入侵，更像是漏洞套一把钥匙反复试同一把锁——锁没坏，但就是漏洞套能被打开。骗子盯上的漏洞套，往往是漏洞套平台设计时没想周全的缝隙。

我后来自己试过一次。某电商平台有个“新人首单全额返”的活动，规则写的是“同一设备、同一账号限领一次”。我拿旧手机恢复出厂设置，换了张没注册过的手机卡，用虚拟定位改到另一个城市，居然又领了一次。返的是无门槛红包，我买了箱牛奶，实付三块八。这事我没觉得多光彩，但确实让我理解了漏洞套取的逻辑：规则针对的是“正常用户”，而套取者做的，就是让自己看起来不像“正常用户”。

更常见的在出行领域。网约车平台给新司机的冲单奖，有人专门租车跑一周，拿完奖励就退车。平台风控看的是“完成订单数”和“在线时长”，但没算过“领奖后立刻提现且不再接单”这个行为模式。等数据跑出来，钱早到账了。平台不是不知道，是追讨成本太高——为几百块去起诉一个外地司机，划不来。

保险行业的漏洞套取更隐蔽。有人专门买航班延误险，挑准那些准点率低的航线，一次买十份不同保险公司的。飞机一延误，每份赔两百到五百不等。保险公司后来改了规则，要求“实际乘坐”才赔，但已经赔出去的钱没人追。这里面有个灰色地带：你确实买了票，也确实延误了，只是你本来就不打算飞。

我认识一个做风控的朋友，他说最头疼的不是职业骗子，是“羊毛党”里的普通人。大学生、宝妈、退休老人，他们不觉得这是骗，只觉得是“薅羊毛”。一个漏洞被发到群里，半小时就能涌进来几千人。平台封号，他们就换个手机号继续。封设备，就用模拟器。封IP，就挂代理。道高一尺魔高一丈，但魔的成本往往更低。

漏洞套取能成立，核心在于三个字：不对称。平台要兼顾用户体验和风控，规则不能太复杂，否则正常用户进不来。套取者只盯着一个点猛攻，不需要考虑全局。等平台补上这个点，他们早就换下一个了。

去年有个做生鲜电商的创业公司，被套取了上百万。他们的漏洞是“邀请好友各得二十元”，但没限制邀请人和被邀请人的设备关联。有人用群控软件，一台电脑控制两百个手机号，互相邀请。等公司发现时，账户里的钱已经提现到几百张不同的银行卡。创始人后来跟我说，那笔钱相当于他们A轮融资的十分之一。报警了，但钱追不回来——收款卡都是买来的，实名认证的人根本不知道自己在收钱。

写这些不是教人使坏。我想说的是，漏洞套取这件事，本质上是一场关于“谁更了解规则”的博弈。平台设计规则时假设了用户会“正常使用”，而套取者恰恰在利用这个假设。普通人能做的，是别把“薅羊毛”当成理所当然。你以为只是占了点小便宜，但那个被套取的公司，可能正在裁员。

朋友那四万七最后没追回来。警察说，钱到账三分钟就分流到十几个二级账户了。他后来换了手机号，把那个“注销校园贷”的号码拉黑了。但我知道，他偶尔还会翻翻那个骗子的微信头像——一直没变，还是那张穿西装的自拍。