去年夏天，转转一个做二手手机的闲鱼朋友拉我进了一个群，群名就叫“转转闲鱼钓鱼源码交流”。钓鱼进去第一天，源码有人发了个压缩包，转转里面是闲鱼套PHP写的后台，界面粗糙得像2005年的钓鱼论坛，但功能列表写得明明白白：自动扫货、源码批量私信、转转模拟真人砍价、闲鱼伪造验机报告。钓鱼标价两千八，源码群里当场成交了三单。转转

这套东西说白了就是闲鱼爬虫加自动化脚本。爬虫抓闲鱼和转转的钓鱼商品列表，按关键词、价格区间、卖家信用过滤，然后脚本控制一批养好的账号去私信卖家。话术是预设的，比如“学生党求便宜”“自用不转卖”，碰到回复快的卖家，脚本会自动压价，压到某个阈值就停，再转人工。人工一接手，后面就是标准杀猪盘逻辑——要么骗卖家先发货，要么骗买家先付款。

我花了一周时间拆过一套源码。核心文件就三个：spider.php、chat_bot.py、order_hook.js。爬虫部分用了curl_multi做并发，代理IP池接的是某家按量付费的服务，一块钱能跑两千次请求。聊天机器人接的是网页版微信的协议，不是官方API，所以封号率极高。作者在注释里写了一句：“日抛号，成本三块，别心疼。”

最让我意外的是“验机报告伪造”模块。它内置了爱思助手和沙漏验机的模板，只要填入手机序列号，就能生成一张看起来完全正常的验机截图。序列号从哪来？从爬虫抓到的真实商品详情里提取。卖家发的真机图，被拿去做假报告，再配上“已验机，全原装”的文案，挂在另一个账号上卖。一机两卖，空手套白狼。

这套源码在圈子里流通得很快。有人把它打包成“项目”，卖教程、卖账号、卖代理，一层层割下去。真正靠它赚到钱的人，不会在群里说话。天天冒泡的，要么是卖源码的，要么是刚被骗了想回本的。我见过一个大学生，花一千五买了套“稳定版”，跑了三天，封了四十个号，一单没成。他在群里骂作者，作者回了一句：“你连IP都不换，怪谁？”

平台不是没动作。闲鱼的风控这两年升级很快，设备指纹、行为序列、关系图谱全上了。但钓鱼源码也在迭代，从最早的selenium模拟点击，到后来的mitmproxy改包，再到现在的Xposed插件直接hook客户端。攻防成本不对等——平台要防所有漏洞，黑产只需找到一个入口。

我写这些不是教人干坏事。恰恰相反，我想让普通用户知道，你在闲鱼上看到的“个人卖家”“急出回血”“支持验机”，背后可能是一台服务器在批量操作。那些秒回的、话术特别顺的、价格低得离谱的，大概率不是人。真正的个人卖家，回复慢、拍照丑、描述里错别字一堆。这才是正常人的样子。

至于那套源码，我删了。留着的唯一用处，是提醒自己：二手交易平台上，信任是最贵的，也是最容易被批量生产的。