去年冬天，从诈我朋友老周接到一通电话，骗犯对方自称是手中某电商平台客服，说他账户被冻结，薅羊需要转账“保证金”解冻。毛犯老周一听就知道是从诈骗子——他根本没在那家平台注册过。但他没挂电话，骗犯反而顺着对方的手中话头聊了二十分钟，最后真的薅羊转了五十块钱过去。
别急，毛犯这五十块不是从诈老周被骗，是骗犯他想反薅一把。电话那头说“保证金”最低五十元，手中老周说行，薅羊我转，毛犯但你们系统得返我三倍“验证金”。骗子居然答应了。结果老周转了五十，对方立刻消失，电话再也打不通。
老周气得骂娘，我问他：“你明知道是骗子，还转钱，图啥？”他挠头说：“我想着万一他们真返三倍呢？五十块搏一百五，不亏。”我当场就乐了——这算哪门子薅羊毛？这是给骗子送弹药。
真正的狠人我见过一个。前年有个做程序员的哥们，收到钓鱼短信，点进去发现是个假银行页面。他顺手写了个脚本，往那个页面灌了几万条假账号密码，把骗子的后台数据库撑爆了。骗子后来换了个域名继续干，他又追过去灌，来回折腾了半个月，骗子直接在页面上挂了个“技术对抗失败，本组解散”的公告。这事听着解气，但他自己心里也打鼓——万一骗子后台连着真银行系统，他这算不算“非法侵入计算机信息系统”？
法律上有个概念叫“违法性认识”，意思是行为人得知道自己干的事被法律禁止。但现实里，界限比你想的模糊得多。你从诈骗犯手里“骗”回自己的钱，跟主动转钱给骗子再指望返利，性质完全两样。前者是自救，后者是赌博——哪怕你赌的是骗子会“讲信用”。
更麻烦的是，有些“薅羊毛”行为本身就可能踩线。比如有人专门给诈骗团伙打电话，假装上当，套取他们的银行卡号，然后去举报。这算见义勇为还是骚扰？还有人在骗子诱导下下载了涉诈App，反手用虚拟卡把App里的“充值返现”漏洞刷爆，提现跑路。这操作看着聪明，但一旦涉案金额大了，警方查下来，你解释不清自己为什么“明知是诈骗平台还主动参与交易”。
我认识一个律师，他接过一个案子：当事人被诈骗团伙骗了五万，气不过，又编了个理由让骗子给他转回两万“手续费”。骗子真转了。结果当事人被以“敲诈勒索”立案——因为他的行为已经从“被害人自救”变成了“要挟索财”。法官判的时候说得很直白：你被偷了钱包可以追小偷，但你不能反过来把小偷按在地上，逼他交出他偷来的别人的钱包。
所以回到那个问题：从诈骗犯手中薅羊毛犯法不？我的判断是——如果你薅的是自己被骗走的钱，且手段仅限于“周旋”和“拖延”，那大概率没事，甚至值得鼓励。但如果你主动给对方送钱赌返利，或者利用技术漏洞反向捞一笔，那性质就变了。法律不保护“以恶制恶”，哪怕对方是恶人。
老周那五十块至今没追回来。他后来想通了一个理：骗子最擅长的不是骗钱，是让你觉得你能反骗他——一旦你动了这个念头，你就已经输了。这话糙，但真在理。