2022年那会儿，偏门圈子里流传着一个说法：某电商平台的漏洞“仅退款”功能被玩坏了。不是暴利普通买家薅羊毛，而是赚钱有人批量注册账号，专挑中小卖家下手。偏门下单、漏洞收货、暴利申请仅退款、赚钱上传一张模糊的偏门“质量问题”图，平台客服很多时候直接判退款。漏洞货不用退，暴利钱回来了。赚钱一个账号一天搞三五单，偏门每单几十到几百不等。漏洞有人用脚本管理几十个账号，暴利一个月流水能到六位数。这事后来平台风控升级，封了一批号，但最早那批人已经套现离场了。

我说的不是教你干这个。是想说，2022年很多所谓的“偏门漏洞”，本质是平台规则和风控之间的时间差。谁先发现，谁在窗口期跑量，谁就吃到肉。等教程满天飞的时候，基本已经堵死了。

另一个真实案例。某短视频平台的“创作者激励计划”，当时有个漏洞：视频发布后，用特定方式反复删除再重新发布，系统会重复计算播放量收益。有人专门做搬运号，一条视频反复操作几十次，单条收益能放大十几倍。这个漏洞活了大概两个月。后来平台改了接口逻辑，收益直接归零。我认识一个做这个的小团队，三个人，两个月分了四十多万。他们怎么发现的？就是测试发布流程时，发现删除重发后后台数据没清零。纯粹是手贱试出来的。

还有更偏的。2022年上半年，某数字藏品平台刚上线，注册送空投，邀请好友再送。有人写了个自动化脚本，批量注册新账号，用虚拟手机号接码，每个账号领完空投直接挂二级市场卖。一个账号成本不到两块钱，空投能卖十几到几十。脚本跑一晚上，几千个账号。平台发现的时候，已经发出去几万份空投。这事后来被定性为“恶意刷量”，但钱已经到账了，平台只能认亏。

这些事听起来像灰色产业，确实也是。但我想说的是背后的逻辑：新平台上线初期，风控最弱，规则最粗，漏洞最多。大公司的新业务线，KPI压得紧，先上线再迭代，安全往往是最后才补的。2022年那波Web3、元宇宙、数字藏品热潮，催生了大量这种“快上线快圈钱”的项目。每一个项目上线，都是一次漏洞窗口期。

有人专门盯着这个。他们不写代码，不搞技术，就是每天刷应用商店的新品榜、刷融资新闻、刷各种内测群。看到新平台上线，第一时间注册，把能领的福利全领一遍，把能走的流程全走一遍，记录哪里能套利。然后要么自己跑量，要么把漏洞信息卖给专门的工作室。一条有效漏洞信息，当时能卖几千到几万。

这行有个说法叫“吃头啖汤”。等论坛上有人发帖问“这个怎么玩”的时候，汤已经凉了。真正赚钱的人，不会在公开渠道讨论。他们只在小圈子里交换信息，而且信息有效期通常按天算。

当然，大部分漏洞最后都被修复了，有些还触发了法律风险。2022年底，有个刷空投的团队被跨省了，罪名是“非法获取计算机信息系统数据”。所以这不是什么“赚钱点子”，更像是一个特定时期的套利现象。平台在成长，风控在进化，这种粗放式的漏洞越来越少。现在再想找类似的机会，得往更底层、更技术化的方向走，比如智能合约的权限漏洞、API接口的逻辑缺陷。门槛高了很多，但窗口期依然存在。

说白了，漏洞套利赚的是信息差和速度差的钱。你比别人早发现三天，就能多跑几万单。你比别人晚三天，连汤都喝不上。这跟炒股炒短线是一个道理，只不过标的是平台规则，不是股票。