20 日凌晨，拼多多被曝出現(xiàn)重大 Bug 用戶可領(lǐng) 100 元無(wú)門(mén)檻券，該券全場(chǎng)通用，有效期一年。

[[256084]]

有部分網(wǎng)友曬出截圖顯示，充值百元話費(fèi)百余次每次僅花費(fèi) 0.4 元。更是有大力薅羊毛者，直接充值了 10 萬(wàn) Q 幣。

直到 20 日早上 9 點(diǎn)，拼多多才緊急，將所有優(yōu)惠券的領(lǐng)取方式下架。有網(wǎng)友反映，已領(lǐng)卻未用的優(yōu)惠券，已無(wú)法使用。

還有網(wǎng)友在拼多多官微留言：“100 元優(yōu)惠券為什么不能用了?”

對(duì)此，@拼多多客戶服務(wù)在 20 日中午 12 點(diǎn)發(fā)布微博回應(yīng)：

關(guān)于這次薅羊毛事故的原因，拼多多發(fā)表聲明稱：是黑產(chǎn)通過(guò)一個(gè)過(guò)期的優(yōu)惠券漏洞盜取數(shù)干萬(wàn)元平臺(tái)優(yōu)惠券，進(jìn)行不正當(dāng)牟利。

針對(duì)此行為，平臺(tái)已第一時(shí)間修復(fù)漏洞，并正對(duì)涉事訂單進(jìn)行溯源追蹤。同時(shí)已向公安機(jī)關(guān)報(bào)案，并將積極配合相關(guān)部門(mén)對(duì)涉事黑灰產(chǎn)團(tuán)伙予以打擊。

對(duì)于一夜損失 200 億的謠言，拼多多方面說(shuō)有很多虛假的信息在網(wǎng)絡(luò)上傳播，是有人在惡意推動(dòng)。

實(shí)際損失或低于千萬(wàn)元，并且正在亡羊補(bǔ)牢中，已向警方報(bào)案，最終還能追回不少，實(shí)際資損大概率低于千萬(wàn)元。

針對(duì)拼多多的官方回應(yīng)，網(wǎng)友評(píng)論是這樣的：

這次的事故對(duì)拼多多來(lái)說(shuō)影響非常大，現(xiàn)在雖然還在努力追回漏洞訂單的款項(xiàng)。但是，由此造成的信譽(yù)問(wèn)題，肯定很難挽回。

拼多多禁止商家發(fā)貨，能行嗎?據(jù)新《電商法》第四十九條：“電子商務(wù)經(jīng)營(yíng)者發(fā)布的商品或者服務(wù)信息符合要約條件的，用戶選擇該商品或者服務(wù)并提交訂單成功，合同成立。當(dāng)事人另有約定的，從其約定。電子商務(wù)經(jīng)營(yíng)者不得以格式條款等方式約定消費(fèi)者支付價(jià)款后合同不成立;格式條款等含有該內(nèi)容的，其內(nèi)容無(wú)效。”

也就是說(shuō)，消費(fèi)者付款以后，商家不能用“格式條款等方式”約定付款后合同不成立的。

不過(guò)，拼多多的用戶守則中同樣規(guī)定，用戶不得“利用拼多多平臺(tái)外掛和/或利用拼多多平臺(tái)當(dāng)中的 Bug 來(lái)獲得不正當(dāng)?shù)睦?rdquo;。

對(duì)于那些發(fā)現(xiàn)規(guī)則漏洞后，通過(guò)修改 mac 地址等方式繞開(kāi)拼多多的安全監(jiān)管，偽裝成多個(gè)虛假賬戶領(lǐng)取優(yōu)惠券的用戶，那就不是通過(guò)正常的注冊(cè)、登錄、支付流程領(lǐng)券，就屬于使用違法方式獲得不當(dāng)利益。是要負(fù)一定的法律責(zé)任的。

[[256090]]

根據(jù)拼多多的官方申明，此次事件與平臺(tái)風(fēng)控體系無(wú)關(guān)，主要是有黑灰產(chǎn)團(tuán)伙利用一個(gè)已經(jīng)過(guò)期優(yōu)惠券的程序漏洞，盜取優(yōu)惠券，進(jìn)而將事態(tài)擴(kuò)大化。

知乎大牛@半佛仙人表示，拼多多的事件根據(jù)現(xiàn)有狀況來(lái)看，并非只有安全問(wèn)題，還有業(yè)務(wù)流程問(wèn)題，以下是原文。

拼多多給羊毛黨發(fā)年終獎(jiǎng)背后的那些事

昨夜整個(gè)羊毛世界都沸騰了。先講暴露了哪些問(wèn)題，再講追責(zé)。

①在電商行業(yè)，對(duì)于無(wú)門(mén)檻券是非常非常重視的

因?yàn)椴煌谟虚T(mén)檻券(滿多少減多少，創(chuàng)造 GMV 和毛利抵扣)，某種程度上，無(wú)門(mén)檻券等同于送現(xiàn)金，所以針對(duì)無(wú)門(mén)檻券，必須有一系列的核身策略，保證這張券不能被相同的人所領(lǐng)取。

核身策略中最常見(jiàn)的就是不同賬號(hào)出現(xiàn)了同一收貨手機(jī)號(hào)，同一收貨地址，同一歷史行為，同一 IP，同一設(shè)備 ID，同一支付 ID，LBS，資料血緣，關(guān)系網(wǎng)絡(luò)等等等一系列策略，這些可以防范住最大批量的 LOW 比羊毛黨和低端機(jī)刷黨，是電商最常見(jiàn)基礎(chǔ)防范手段。

但昨夜，拼多多暴露出來(lái)沒(méi)有這套東西，或者說(shuō)這套東西沒(méi)有配置到這張券的 ID 上，因?yàn)橹苯佑秘埑?腳本 API，就能批量自動(dòng)操作，這也是巨額數(shù)字怎么在 9 小時(shí)內(nèi)就被搞出來(lái)的，因?yàn)榛緵](méi)有設(shè)置門(mén)檻。

②由于無(wú)門(mén)檻券幾乎等同于現(xiàn)金，所以除了核身策略，往往還有其他匹配的風(fēng)控體系

例如單人領(lǐng)取金額上限(1 個(gè)月內(nèi)領(lǐng)券不得超過(guò) XXX 元)，例如券額限制(無(wú)門(mén)檻券不得高于單張 10 元)，例如消費(fèi)領(lǐng)域限制(不得用于購(gòu)買 Q 幣，話費(fèi)，游戲充值等虛擬物品)等等。

這一系列的策略的目的就是攔截灰產(chǎn)的變現(xiàn)體系以及追溯灰產(chǎn)身份，例如無(wú)門(mén)檻只能買實(shí)物，那么就必然要留收獲地址，那么這個(gè)地址就可以做很多事情，即使是假地址。

但昨夜，這一系列限制統(tǒng)統(tǒng)都沒(méi)有，羊毛黨的變現(xiàn)最看重的就是高流通性和贏通性的產(chǎn)品，例如 Q 幣，話費(fèi)，這些東西很容易就能洗干凈變成現(xiàn)金，很多羊毛黨都有專門(mén)的洗白通道，現(xiàn)在這個(gè)節(jié)點(diǎn)，速度快的羊毛黨已經(jīng)全部變現(xiàn)了。

[[256091]]

③即使 1 和 2 都沒(méi)有，也應(yīng)該有一整套監(jiān)控體系

對(duì)于優(yōu)惠券的流向以及流量監(jiān)控，并且設(shè)置報(bào)警閾值，失效機(jī)制，熔斷機(jī)制，這些風(fēng)控和大數(shù)據(jù)都應(yīng)該早就準(zhǔn)備好的。

就算我上面說(shuō)的實(shí)現(xiàn)起來(lái)需要時(shí)間，那么就基礎(chǔ)電商平臺(tái)該有的商品銷售 TOP10，品類 TOP10 這樣的可視化數(shù)字大盤(pán)也該有吧?

肯定第一時(shí)間就發(fā)現(xiàn)就 TM 這些 Q 幣話費(fèi)賣的好，GMV 出現(xiàn)同比環(huán)比的各種異常。但是也沒(méi)有，這個(gè)東西居然是被研發(fā)因?yàn)椴l(fā)異常先發(fā)現(xiàn)的。

根據(jù) 123，透露出來(lái)的問(wèn)題是，優(yōu)惠券設(shè)置邏輯沒(méi)有過(guò)大腦，高風(fēng)險(xiǎn)業(yè)務(wù)無(wú)風(fēng)險(xiǎn)意識(shí)，風(fēng)控交易與反欺詐策略缺失，數(shù)據(jù)監(jiān)控體系及熔斷機(jī)制缺失，要么是拼多多的風(fēng)控沒(méi)腦子，要么就是業(yè)務(wù)驅(qū)動(dòng)，逼的風(fēng)控不敢多講話。

這不奇怪，電商公司都是業(yè)務(wù)驅(qū)動(dòng)，GMV 是爹媽，風(fēng)控這種擋 GMV 的角色往往被業(yè)務(wù)踩在腳下摩擦。

④說(shuō)完風(fēng)控，再看看其他部門(mén)

這張券是凌晨 1 點(diǎn)上線的，無(wú)門(mén)檻，大面額，全品類通用，假使這張券真的應(yīng)該存在，那么，這種券的上線難道沒(méi)有經(jīng)過(guò)多級(jí)審批么?測(cè)試沒(méi)有測(cè)出來(lái)嗎?上線后沒(méi)有至少 120 分鐘的持續(xù)觀察效果嗎?

整個(gè)系統(tǒng)上線流程都有問(wèn)題，運(yùn)行監(jiān)控也是缺失。相關(guān)的研發(fā)到測(cè)試到運(yùn)維，都有很大的責(zé)任。

⑤問(wèn)了下內(nèi)部的朋友，說(shuō)是這張券是某人配置失誤，系統(tǒng)自動(dòng)上線

那問(wèn)題又來(lái)了，整個(gè)優(yōu)惠券系統(tǒng)里面，對(duì)于券的條件限制(金額，門(mén)檻，適用范圍)是缺失的，并且在券發(fā)布的時(shí)候，沒(méi)有中間隔一層預(yù)發(fā)環(huán)境來(lái)做緩沖，也沒(méi)有做流量測(cè)試，就能直接上生產(chǎn)環(huán)境?上了也沒(méi)有持續(xù)監(jiān)控?

即使是配置的運(yùn)營(yíng)犯傻，但涉及到現(xiàn)金的業(yè)務(wù)如此草率，這部分研發(fā)是拼多多上買來(lái)的嗎?

結(jié)合 4 和 5，透露出的問(wèn)題是，整個(gè)系統(tǒng)上線機(jī)制不合理，業(yè)務(wù)系統(tǒng)配置中沒(méi)有加入風(fēng)險(xiǎn)校驗(yàn)環(huán)節(jié)，預(yù)發(fā)環(huán)境形同虛設(shè)，業(yè)務(wù)上線后的持續(xù)人工監(jiān)控缺失。

考慮到拼多多拿來(lái)吹的高并發(fā)支持，我只能理解這條壯漢外功已經(jīng)登峰造極，但內(nèi)力大概是腎虛的小學(xué)生水平，這不意外，因?yàn)閮?nèi)功修煉是很難拿出去吹 KPI 的，所以大神程序員都不愿意做，都是能用就行的態(tài)度，這是血的教訓(xùn)。

⑥我們來(lái)談?wù)勅绾沃箵p

1.已充出去的 Q 幣和話費(fèi)，如果還沒(méi)有被羊毛黨變現(xiàn)，那么也許還能追回一部分，QQ 可以直接回收賬號(hào)，三大運(yùn)營(yíng)商也能鎖號(hào)扣費(fèi)，但是這里面涉及到了很麻煩的一個(gè)問(wèn)題。

那就是他們憑什么配合拼多多?因?yàn)檫@些交易都是拼多多認(rèn)可后才讓他們執(zhí)行的，他們沒(méi)有道理由著拼多多任性，騰訊爸爸可能會(huì)幫一把親兒子，但是三大運(yùn)營(yíng)商可未必會(huì)配合。

另外不知道拼多多和他們是怎么結(jié)算的，是像 iPhone 代理一樣實(shí)時(shí)結(jié)算，還是類支付寶的先資金池再按時(shí)結(jié)算。

如果是前者，那基本很難追回了，如果是后者，那就是一場(chǎng)驚天撕逼大戰(zhàn)。

2.拼多多肯定不會(huì)善罷甘休的，羊毛黨深知這一點(diǎn)，所以才在薅夠了之后公開(kāi)這個(gè) Bug，期望把水?dāng)嚮?，法不?zé)眾。

這個(gè) Bug 是夜里 5 點(diǎn)左右公布出來(lái)的，然后就是全民狂歡，這些狂歡的人，我們一般稱之為肉機(jī)，就是真人，真機(jī)，真身份，真行為。

現(xiàn)在的情況是，假使拼多多報(bào)警，能否抓到這些羊毛黨頭子，作為攻防的老手，我想說(shuō)的是可以抓，但前提是拼多多有足夠多的人力物力往里面投，并且數(shù)據(jù)保留要足夠精準(zhǔn)。

如果拼多多的數(shù)據(jù)部門(mén)和運(yùn)維部門(mén)傻到定時(shí)清緩存，或者設(shè)置了某個(gè)系統(tǒng) Bug 直接重啟的話，那就不用抓了，沒(méi)數(shù)據(jù)你怎么追溯。

另外就是這些被刷的都是虛擬物品，就看拼多多能不能抓住他們變現(xiàn)的節(jié)點(diǎn)來(lái)追溯身份了，祝他們好運(yùn)。

3.這批羊毛黨一定有法律風(fēng)險(xiǎn)，但是只是那批最 Low 的會(huì)被逮住，最大的幾個(gè)早就變現(xiàn)隱匿了，人家用的東西都是沒(méi)法追溯的。

真正的反追溯不是隱藏自己，而是創(chuàng)造更多虛假的自己，這才是高手所為。

4.不用擔(dān)心拼多多破產(chǎn)，最終的實(shí)發(fā)金額，虧損金額，未追回金額等等一系列的數(shù)字沒(méi)有那么夸張的，不過(guò)買了拼多多股票的各位，下一個(gè)交易日見(jiàn)。對(duì)于電商而言，這么初級(jí)的錯(cuò)誤很有可能會(huì)導(dǎo)致投資者信心喪失。

總結(jié)一下這個(gè)案子，拼多多是狂奔的超級(jí)獨(dú)角獸不假，但在業(yè)務(wù)猛增的時(shí)候，內(nèi)功沒(méi)有修煉好，導(dǎo)致被一劍封喉。

原本就不該出現(xiàn)這種券，就算出現(xiàn)了也不該上線，就算上線了也應(yīng)該被監(jiān)控到，就算沒(méi)有監(jiān)控到也不該被同一批人領(lǐng)走，就算被同一批人領(lǐng)走也不該能應(yīng)用于虛擬物品，就算能被應(yīng)用于虛擬物品也不該 9 小時(shí)后才被制止，這其實(shí)不是一個(gè)問(wèn)題，而是一系列問(wèn)題。

這一系列不應(yīng)該的陰差陽(yáng)錯(cuò)，導(dǎo)致了這個(gè)巨額虧損，那么問(wèn)題來(lái)了，這一系列問(wèn)題下，拼多多的交易數(shù)字還可靠嗎?之后美股怎么看這件事?這也是一場(chǎng)好戲。

內(nèi)功一塌糊涂。至于為啥不修內(nèi)功嘛，一來(lái)修內(nèi)功外人看不到，對(duì)外不方便吹風(fēng)講故事，對(duì)內(nèi)不利于個(gè)人晉升答辯(畢竟風(fēng)控這種東西，除了金融領(lǐng)域，都很難量化成果)，這種事情聰明人最不愛(ài)做了，可惜這只是小聰明。

二來(lái)嘛，很多電商為了講故事，拉高估值，GMV 可著勁兒注水，高層睜一只眼閉一只眼，很多運(yùn)營(yíng)恨不得管羊毛黨叫爸爸，跪求他們來(lái)薅，反正羊毛薅完，GMV 是特別好看，虧損是公司的，績(jī)效獎(jiǎng)金和升職加薪是自己的，所以何苦來(lái)哉?

對(duì)風(fēng)控而言，最大的敵人，永遠(yuǎn)在內(nèi)部。這是風(fēng)控的宿命。

總結(jié)

這次 Bug 事件，對(duì)于剛上市不到一年的拼多多來(lái)說(shuō)無(wú)疑是一個(gè)重大的打擊。

當(dāng)然不止拼多多一家，此前京東、蘇寧等電商商城都出現(xiàn)過(guò)類似送優(yōu)惠的 Bug，不過(guò)大部分都選擇自掏腰包為錯(cuò)誤買賬，不知道這次拼多多后續(xù)會(huì)怎么處理呢?

刷單、套現(xiàn)和羊毛黨，是電商平臺(tái)最為常見(jiàn)的黑產(chǎn)行為。尤其是羊毛黨，一旦有可乘之機(jī)，就像空氣一樣無(wú)處不在。

這次事情，也算是拼多多為自己的成長(zhǎng)買單。對(duì)于平臺(tái)來(lái)說(shuō)，如何做好風(fēng)險(xiǎn)控制、基礎(chǔ)運(yùn)維、預(yù)警，杜絕羊毛黨等黑產(chǎn)已經(jīng)越來(lái)越重要。