2023年，利用漏洞一个《原神》玩家在论坛发帖，游戏说自己用卡地形的获利方式刷出了本该限购的五星圣遗物。帖子活了不到两小时就被删了，利用漏洞但截图已经传开。游戏米哈游后来封了一批账号，获利具体数字没公布。利用漏洞这事儿在玩家圈子里不算新鲜——利用游戏漏洞获利，游戏几乎和网络游戏本身一样古老。获利

我最早接触这类事是利用漏洞在2005年。那时候《魔兽世界》刚进中国，游戏有个bug能让法师的获利闪现穿墙。有人靠这个带人刷副本，利用漏洞一次收20金。游戏听起来不多，获利但按当时点卡价格换算，一天下来能挣出半个月的网费。暴雪修这个漏洞用了三周，那三周里，某些服务器金币价格直接跌了两成。

漏洞分几种。一种是显示错误，比如攻击力数值算错，按一下打两下伤害。这种通常活不过一个维护周期。另一种是逻辑漏洞，比如交易系统里物品和金币的确认顺序有问题。2006年《梦幻西游》出过一个经典案例：玩家在交易时快速切换物品栏，能让对方看到的物品和实际收到的不是同一个。有人用这个骗了几十亿游戏币，最后被网易起诉，判了三年。

最麻烦的是经济系统漏洞。2012年《暗黑破坏神3》的拍卖行被爆出金币复制bug。具体操作是在特定帧数内同时点击“取消”和“确认”，系统会判定交易失败但金币已经复制。这个漏洞存在了将近两周。暴雪关闭拍卖行的那天，金币价格从每百万2.5美元跌到0.3美元。整个游戏经济崩了，拍卖行后来直接被砍掉。

为什么有人愿意冒封号风险干这个？算笔账就明白。一个热门游戏的金币，通过第三方平台卖，比例大概是1元人民币换10万游戏币。如果漏洞能让你一小时刷出1000万，那就是100块钱。批量操作的话，一天上千不难。被封了？换个账号继续。身份证信息网上买，几十块一套。成本低到可以忽略。

游戏公司这边，处理方式差别很大。韩国公司通常直接报警，Nexon在2018年送进去过一批人，罪名是“妨碍计算机业务”。欧美公司偏爱民事诉讼，追讨不当得利。国内公司早期基本就是封号了事，后来才慢慢开始走法律途径。腾讯在2019年告过一个《地下城与勇士》的工作室，索赔2000万，最后判了800万。但那个工作室早就把金币变现了，执行起来又是另一回事。

有个现象挺有意思。很多漏洞利用者不觉得自己在“偷”。他们的逻辑是：漏洞是游戏公司自己留的，我只是发现了它。这跟现实里发现银行系统错误然后取钱不一样吗？法律上其实差不多。但游戏玩家群体里，这种道德模糊感很普遍。甚至有人把利用漏洞当成一种“技术挑战”，跟黑客攻防混为一谈。

我认识一个做过游戏漏洞生意的人。他原话是：“这行跟挖矿一样，早期红利大，现在卷得不行。”他2016年靠一个《剑网3》的复制bug赚了十几万，后来漏洞修了，他就转去做私服。问他怕不怕被抓，他说：“怕什么，那么多人在做。真要抓，监狱都装不下。”

实际情况是，大部分小额获利者确实没被追究。游戏公司精力有限，优先处理那些造成重大经济损失的。但风向在变。2021年《刑法》修正案里，对“破坏计算机信息系统罪”的司法解释更明确了，游戏漏洞获利可以适用。去年浙江判了一个案子，当事人利用《逆水寒》漏洞刷装备卖钱，获利8万，判了缓刑。金额不大，但信号很清楚。

漏洞不会消失。只要游戏有代码，就有人找bug。区别只在于，你是自己用，还是拿去卖。前者可能只是封号，后者——尤其是在第三方平台大规模变现——性质就变了。那些还在做这行的人，最好先查查最近三年的判例。数字不会骗人，监狱里的网速，肯定不如家里快。