2016年夏天，漏洞套钱我一个在支付公司做风控的漏洞套钱朋友接到银行电话，说他们平台有个商户账户一天之内发起了四千多笔退款，漏洞套钱每笔金额都是漏洞套钱1.00元。朋友第一反应是漏洞套钱系统出bug了，查完日志才发现——不是漏洞套钱bug，是漏洞套钱有人在薅羊毛，而且薅得极其精准。漏洞套钱

逻辑很简单。漏洞套钱那家支付平台有个活动规则：用户每笔消费返现1元，漏洞套钱退款不影响返现。漏洞套钱正常人消费完退款，漏洞套钱平台会把返现扣回去。漏洞套钱但那个版本的漏洞套钱系统有个漏洞——退款走的是异步队列，返现扣减走的漏洞套钱是同步逻辑，两者有时间差。有人在时间差里反复操作：消费、拿返现、立刻退款、再消费。四千多笔，就是四千多块。成本几乎为零。

这事后来被堵上了，但类似的漏洞套钱手法一直在变种。我观察下来，核心就一句话：利用规则之间的缝隙，让钱在系统里多转一圈。

说个更典型的。某电商平台早期做拉新活动，邀请一个新用户注册并下单，邀请人得20元现金。规则写的是“新用户完成首单后发放”。有人发现，新用户下单后如果立刻取消订单，系统仍然判定“完成首单”，奖励照发。于是有人批量买虚拟手机号注册，每个号下一单9.9元的商品，立刻取消，然后提现20元。一个号净赚10块出头。一天搞几百个号，月入六位数。平台发现的时候，已经烧掉了几百万。

你可能会问，平台不审核吗？审。但审核逻辑和活动逻辑往往不是同一拨人写的。活动运营定规则，风控写审核，两边信息不对称。运营觉得“取消订单不算完成”，风控的系统里可能压根没这个字段。漏洞就这么来的。

还有一种更隐蔽的，叫“时间差套利”。某理财平台曾经有个新手标，年化12%，期限7天，每人限购一次。但“每人”的判定依据是身份证号。有人用自己家人的身份证注册了十几个账户，每个账户买满额度。7天后连本带息取出，再换一批身份证继续。平台的风控只查了身份证是否重复，没查设备指纹和IP聚集。等发现的时候，那批人已经套走了大几十万利息。

这些案例里，套钱的人未必是技术高手。他们更像是一群极其耐心的观察者，盯着规则看，盯着流程看，盯着每一个“到账”和“扣款”之间的时间窗口。他们不攻击系统，他们只是比系统设计者更认真地读了规则。

我认识一个做安全测试的人，他跟我说过一句话：“所有漏洞的本质都是逻辑漏洞，技术漏洞只是逻辑漏洞的载体。” 这话我越想越对。代码写得再漂亮，业务逻辑上留了缝，钱就会从缝里漏出去。

平台后来怎么防？有的加人工审核，有的把返现改成T+7到账，有的直接上设备指纹。但道高一尺魔高一丈，只要规则还在变，缝隙就永远存在。套钱的人不会消失，他们只是换一个战场。

说到底，漏洞套钱这事，拼的不是技术，是耐心和对规则的拆解能力。你比规则多想一步，钱就是你的。你比规则少想一步，钱就是别人的。