# 所有 AI 初创都要警惕！上线 15 天被盗刷 1000+ 账号的血泪排查实录

> **Nexu** 是一个一键安装的开源 OpenClaw 桌面客户端，让你用 AI 掌控一切——在本地。
> GitHub：**[https://github.com/nexu-io/nexu](https://github.com/nexu-io/nexu)**
> ⭐ 觉得有用的话，点个 Star 就是最大的支持。

我们在做 **Nexu**（龙虾 🦞），一个可以一键安装的 OpenClaw 桌面客户端，开源在 GitHub 上。

产品上线后增长一直在跑。新用户注册时会赠送免费积分，可以用来调用平台上的各种大模型。

某天做用户数据清洗的时候，我们注意到一件事——**有一个从没见过的邮箱域名，注册用户数异常地高**。超过了很多企业域名，稳居域名排行榜前列。

这篇文章完整记录了我们从**「发现异常 → 多维度下钻 → 建立基线 → 得出结论」**的全过程。我们还把整套排查方法做成了一个开源 Skill，文末可以直接安装使用。做 SaaS 的朋友，尤其是带免费额度模式的产品，可能会有共鸣。

## 01 / 一个不该出现在排行榜上的域名

按邮箱域名聚合排序，排在前面的都是常客——gmail.com、qq.com、各种公司域名。

但有一个域名卡在了很前面的位置（出于脱敏，下文统一称为 **xx.love**）。它名下的注册用户超过 **1000+**。

一个从没听过的域名，注册量却比很多企业域名还高。这本身就是一个值得深挖的信号。

简单查了一下这个域名的背景：

- 2026 年初注册，WHOIS 隐私保护，看不到注册人
- DNS 托管 Cloudflare，配了 MX 记录——**有邮件收发能力**
- 没有 A 记录，没有网站，没有 ICP 备案

一个专门用来收发邮件、但不做任何公开网站的域名。记住这个特征，后面会用到。

## 02 / 两个截然不同的阶段

把这 1000+ 个账号按注册时间排开，不是均匀分布，而是**明显分成了两个阶段**。

**第一阶段（Day 1 ~ Day 7）：小规模试探**

每天个位数到几十个，总共约 150 个。邮箱前缀风格多样——有看起来像人名的（linlong、wuyan），有明显手敲测试的（ooo、qwe），也有混合字符串。不统一，像是在摸索。

**第二阶段（Day 8 之后）：大规模放量**

单日涌入 700+，前缀几乎清一色变成了 **6 位字母数字随机串**（如 01mh07、x9k2p3）。10 分钟窗口里多次出现 16~18 个账号的密集注册，注册间隔中位数约 **37 秒**。

这不是规模变大了，是**命名策略发生了切换**——从"人在键盘前敲"变成了"脚本在跑"。

## 03 / UA 指纹也在同步切换

如果只看注册行为可能还不够，但 User-Agent 的变化进一步印证了阶段切换。

- 第一阶段：几乎全部是 **Chrome N（Windows）**
- 第二阶段：主力 UA 切换到 **Chrome N+1（Windows）**

而且邮箱前缀模式和 UA 之间存在配套关系：

- 「类人名」「5 位」「7 位」前缀 → 基本全对应 Chrome N
- 「6 位随机串」前缀 → Chrome N+1 占绝对主体

前缀切换和 UA 切换是同步发生的。更像是注册环境整体做了一次升级替换。

## 04 / 和全量用户一比，差距就暴露了

**但和全量用户放在一起比，差异就暴露了。**

| 维度 | 可疑域名 | 全量用户 |
|------|----------|----------|
| Session 结构 | 几乎全是单 session | 常见多 session |
| 多 IP / 多 UA 切换 | 基本没有 | 明显存在 |
| UA 丰富度 | ~1000+ session / 3 种 | ~4000 session / 190 种 |
| 注册→首次使用 | **~5 小时** | ~8 分钟 |
| 有 usage 的比例 | 73.8% | 81.4% |

**环境高度收敛。** 正常用户群里换设备、换浏览器是常事——4000 个 session 对应 190 种 UA。而可疑域名这边，1000+ 个 session 只出现了 3 种 UA，集中度差了两个数量级。

**先备号，再启用。** 普通用户注册后中位数 8 分钟就开始用；这批账号中位数要 5 个小时。不是不用，而是更像"先把号建好，回头再择时启用"。

**部分投入使用。** 73.8% 的账号最终确实产生了 API 调用——这不是纯废号，而是一个有选择地启用的账号池。

## 05 / 不只是刷数据，是真的在消耗资源

如果这些账号只是注册了放着，那损失还好。但实际情况是——**它们在大规模调用 API**。累计消耗了**数十亿 Token**，覆盖平台上大部分主流模型，推理成本不是一个小数目。

而且调用分布不是集中在一两个模型上，而是广泛地覆盖了多个模型——从几千到几万次调用不等。

这不是「注册领积分然后走人」。是**系统性地消耗平台的 API 资源**。

## 06 / 技术复盘：四个值得带走的方法论

**🔍 永远要建基线**

很多指标单看没意义。"注册后很快建了 session"听起来正常——但全站 80% 的用户都这样。只有和基线对比，才能区分"正常"和"异常"。

**📊 交叉分析 > 单维度判断**

单看前缀、单看 UA、单看注册时间，每个都能解释成"巧合"。但当三个维度同步切换，巧合的概率就趋近于零。

**⏱ 把时间线拉开看**

聚合数据会掩盖阶段性变化。按天甚至按小时拆开，才能看到"试探 → 放量"的切换点。

**🎯 克制比定性更有说服力**

我们全程没有说"这是恶意攻击"。我们只说了数据呈现的模式。克制的结论反而更有说服力——因为事实本身已经够清楚了。

## 07 / 结论

这个可疑域名下的 1000+ 个账号，是一组**高度同质化、批次化、流程化**的账号群。

- ✅ 存在明显的"试探 → 放量"两阶段切换
- ✅ 前缀模式、UA 指纹、注册节奏三个维度同步变化
- ✅ 和全量用户对比，环境收敛度、激活时间、session 结构均显著偏离
- ✅ 更像「先建号池、再分批启用」的模式，而非简单的垃圾注册

对早期 SaaS 产品来说，这类批量注册未必立刻致命。但它的影响是实打实的——**被薅走的 API 成本、被污染的增长数据、以及放任不管后可能的规模化升级。** 越早建立异常检测能力，越早止损。

## 08 / 我们把排查方法做成了开源 Skill

上面这套排查流程，我们整理成了一个可以直接用的开源 Skill：**abuse-hunter**。

安装方式很简单，在 Nexu 里输入：

```
/skill install https://github.com/nexu-io/harness-engineering-guide/tree/main/skills/abuse-hunter
```

装好后，一句话启动排查：

```
帮我排查一下最近注册量异常高的邮箱域名，看看有没有批量刷号
```

它会自动跑完 **6 步排查**，输出一份带评分的报告：

- **邮箱域名聚类** — 找出注册量异常高的域名
- **注册节奏分析** — 是自然增长还是批量注入
- **前缀模式识别** — 人工创建还是程序生成
- **UA 指纹对比** — 环境多样性 vs 收敛度
- **激活时间分析** — 注册即用还是先备号再启用
- **积分消耗统计** — 量化实际经济损失

最终输出 12 分制综合评分 + 处置建议。还附带一个 Python 脚本，导出 CSV 也能离线跑。

🔗 abuse-hunter Skill：**[https://github.com/nexu-io/harness-engineering-guide/tree/main/skills/abuse-hunter](https://github.com/nexu-io/harness-engineering-guide/tree/main/skills/abuse-hunter)**

📘 Harness Engineering Guide — Harness 工程的系统实战教程：**[https://github.com/nexu-io/harness-engineering-guide](https://github.com/nexu-io/harness-engineering-guide)**

## 09 / 关于 Nexu

Nexu 是一个可以一键安装的 OpenClaw 桌面客户端，让你在本地用 AI 操控一切。

不管你用微信、飞书、钉钉、企微、QQ、Slack、Discord、WhatsApp 还是 Telegram，Agent 就在你的聊天窗口里——帮你写代码、改 Bug、跑自动化、管日程、做调研。

🦞 **Nexu**：**[https://github.com/nexu-io/nexu](https://github.com/nexu-io/nexu)**

如果你对 AI Agent 的落地实践感兴趣——无论是技术架构、产品设计还是增长风控——欢迎 Star ⭐，也欢迎提 Issue 或 Discussion 一起交流。