真刑啊！男子破解博彩網站漏洞，每月“薅羊毛”10多萬，憑技術走上歪路

浙江省溫州市蒼南警方破獲了一起特殊的網路博彩案件，2名犯罪嫌疑人利用境外博彩網站的漏洞，自制博彩代理App，薅起了博彩平臺的“羊毛”。在過去一年多時間裡，2人利用所謂“核心技術”，招募多名員工，將“業務”擴充到全國。據統計，該團伙每月人均獲利高達10餘萬元，涉案賭資超1億元，引起廣泛關注。

事出必有因，到底緣何而起呢？

據報導，犯罪嫌疑人曾某大學畢業後原有一份穩定工作，後來離職創業虧了幾百萬元。

打工是不可能打工的啦~於是曾某就開始“研究”如何“撈偏門”賺快錢。

後來曾某找到了精通計算機的周某，一起“研究”如何利用博彩網站的漏洞“薅羊毛”。

“技術總監”周某研究出一個外掛程式，並基於機率學設定了一個“公式”。外掛軟體根據“公式”投注，最終以押注贏錢或返彩金的方式獲利。

圖片源自網路新聞報導

掌握了“核心科技”之後，曾某、周某便不再滿足於自己操作，招來了多名“員工”，還開了“分公司”。

“生意”越做越大，為了監督“員工”動態，曾某、周某還“開發”了遠端控制軟體，以便實時控制“分公司”的所有電腦。

曾某等人每週都會透過虛擬幣給員工操盤的150多個博彩賬戶充值，曾某等人平均每個月能夠獲利10萬餘元。

圖片源自網路新聞報導

真刑啊！幹了我一直想幹不能幹的事（啊…bushi）

博彩網站的漏洞到底是什麼呢？如何實現薅博彩平臺的羊毛，難道平臺沒有風控？

到這裡，以反詐一線的視角再去從案件中尋求線索，給大家來做延展分析。

據披露的案件細節，犯罪嫌疑人利用境外博彩平臺投注漏洞，先在博彩平臺註冊大量賬號，再透過“智慧下注”軟體操作新賬號，以投注“百家樂”的方式參賭，以此來逐步提升賬號的等級信譽，繼而掌握大量高等級、高信譽博彩賬號。

之後，透過更換IP，抓住博彩網站的漏洞，利用這些高等級、信譽的博彩賬號下注，，從而按照一定比例獲得該博彩網站的返水。

抓捕現場查扣大量作案手機、電腦、賬本等，並獲取相關博彩網站賬號150餘個，虛擬幣錢包賬號150餘個，發現3個涉境外博彩平臺，涉及賭資近1億元人民幣。

這裡面就有幾點重要資訊：

投注漏洞（3個涉境外博彩平臺）

註冊大量賬號、高等級、信譽的博彩賬號（博彩網站賬號150餘個）

更換IP的軟體

智慧下注

虛擬幣錢包賬號150餘個

博彩網站的返水

我想到這裡，可以回答這個問題了

博彩網站的漏洞到底是什麼呢？

此類薅羊毛的行為在黑灰產行業裡被稱為博彩套利，透過以往的相關研究，其可能用到以下技術手段。

與此同時，這幾個關鍵詞也分別代表著頭部博彩平臺、博彩養號、IP代理、投注分析軟體、虛擬貨幣、博彩運營模式。

頭部博彩平臺

首先是博彩網站的數量，僅有3個，但賭資流水過億，說明其選擇的是個頭部博彩網站，穩定性比較好。

相較於殺豬盤，目前博彩平臺的穩定性和攻防性較好，上線前會邀請安服公司進行滲透測試，提升安全等級，同時每年會開展雲上博弈博覽會，透過博彩的品牌、平臺的擔保商、流量，發現頭部博彩平臺並不是一件難事。

博彩代理內部佣金分成

去年在對博彩代理分析時，我們發現過內部的代理佣金比例，可以看出佣金比例高達30%-50%，即下線代理越多，投注金額越多，到手的佣金也就越多。

我們假設一個場景：

A成為博彩平臺代理，成功拉到B和C兩個賭客分別充值100元

這兩個賭客在博彩平臺參與同一個專案，例如猜大小，即2個人中，B贏錢，C輸錢

如果代理佣金按照30%（30元）計算，分別收益是：

總成本：200元（總成本）

代理A的收益：30元+30元=60元

賭客B的收益：100元（成本）+*元（投注盈利）

賭客C的收益：100元（成本）-100元=0元

如果ABC為同一個人，那麼最後收益60元+100元（成本）+*元-200元（總成本）=*元-40元

這就意味著，只要A盈利的部分超過40元，即可“薅羊毛”成功

同樣的方式，利用多個賬戶，在博彩充值後，獲得其返水（博彩網站為了鼓勵玩家多玩而設定的一項優惠。根據玩家在網站上的有效投注額，分時間段按比例的返回一些彩金給你），故其使用博彩掛機軟體提高投注率及勝率。

博彩掛機軟體智慧下注

這裡的博彩掛機軟體可以實現智慧下注，以過去研究的發現的七彩掛機應用為例：

七彩掛機軟體主要是模擬投注、外接計劃、開某投某、冷熱號碼、隨機出號、自動倍投、推波計算、批次編輯。另外還有高階功能：自動生成掛機方案、邏輯倍投方案設定、方案推送等。

如何解決IP代理風控問題

在博彩平臺註冊多個賬號並下注，會引起平臺風控，那麼如何在不引起風控的前提下，快快樂樂的“薅羊毛”呢？分析發是用到了指紋瀏覽器+IP代理結合技術。

首先了解一下，什麼是“瀏覽器指紋”

瀏覽器指紋指網站透過瀏覽器的各種資訊，如時區、UserAgent、螢幕解析度、語言、字型、、Canvas、AudioContext、Cookie等，交叉對比生成裝置ID，用於使用者標識。

故由於網站指紋的存在，即使更換IP，我們也很可能被網站判定為同一個使用者。如果能夠對瀏覽器指紋涉及的識別內容進行修改，就會讓瀏覽器認為我們是個新使用者。

這裡以套利人員使用的反瀏覽器指紋的vmlogin為例：

其宣稱的是“突破多臺裝置管理賬號的痛點，一臺電腦即可實現同時多開，指紋環境相互獨立，不關聯，可將指紋分享給團隊，方便多人協作”。

安裝此軟體後，可以修改目前已知的瀏覽器指紋攻防涉及的識別板塊，例如作業系統、語言、Canvas、AudioContext等，特別是新增IP代理後，還可根據IP自動匹配不同的時區，防止時區與IP所在地不同，被發現身份偽造。

有了反指紋關聯軟體後，即可以註冊出大量的博彩賬號，充值、參賭的過程中也因指紋的不同，不會被發現是同一個人員操作。

以此可以看出，薅博彩憑條羊毛，就是生成大量的博彩賬號，利用遠控、反指紋瀏覽器、在博彩平臺充值/投注，獲得博彩平臺的返水或佣金，本質還是賭客。

最後大家都關注的問題，這種薅博彩平臺羊毛的“黑吃黑”行為，到底是否犯罪？

不少網友聲稱：“我騙騙子錢，有什麼錯？”

但其實即使是薅博彩平臺羊毛，實際上也是變相參賭，屬於違法犯罪行為。正確做法應該是，發現網賭平臺及時報警。普通使用者也千萬不要妄想做那個“大聰明”，效仿反薅博彩平臺羊毛，結局可想而知。