促销滥用：如何检测并阻止优惠券与推荐欺诈

促销滥用就是一个操作者冒充许多新客户，来领取优惠券、推荐奖励和注册赠金。您可以在兑换环节抓住它，因为每个假账户仍然必须从某个网络地址连接，而该地址的类型决定了您应当放行、暂缓、发起验证还是拒绝这项激励。下文内容包括：这些骗局如何运作；对于我们在 2026-10-23 查询的四个真实兑换地址，我们会给出怎样的处理；IP 欺诈评分及其从放行到拦截的区间背后的信号；以及 IP 层在哪里会失明。

什么算促销滥用

这个名称涵盖六种不同的骗局，每一种需要不同的应对：

OWASP 在其自动化威胁项目中列出了这些攻击的自动化版本。OAT-002 Token Cracking 是“对优惠券编号、代金券编码、折扣令牌等的大规模枚举”，而 OAT-019 Account Creation 是“创建多个账户以供后续滥用”。表中六种骗局里有五种建立在这两个基本手段之上。叠加是例外，因为它滥用的是结账逻辑而不是身份。

优惠券与推荐欺诈为何此刻在扩大

优惠券与推荐欺诈之所以在扩大，是因为损失现在已达数十亿美元，而且相关工具已经以服务形式出售。

金额相当可观。Juniper Research 预测，数字商品欺诈将从 2025 年的 104 亿美元增长到 2030 年的 270 亿美元，增幅 162%，并把促销滥用列为三大驱动因素之一，另外两个是合成身份和友好欺诈（Juniper Research，2025 年 12 月）。每损失一美元，实际代价还不止一美元。LexisNexis True Cost of Fraud 研究显示，算上人力和管理开销，美国零售与电商商家平均每 1 美元欺诈要付出 4.61 美元（LexisNexis Risk Solutions，2025 年 4 月）。

工具也已工业化：账户创建机器人、反检测浏览器、别名邮箱和租用的代理池，让一个操作者就能冒充许多客户。

内部手册：一个操作者如何变成许多新客户

所有手册的结局都一样：账户众多，操作者只有一个，底层共用基础设施。两个公开案例分别展示了两端。

身份盗用一端。 2021 年 5 月，马萨诸塞州联邦检察官起诉了 19 人，涉案骗局从 2019 年 1 月持续到至少 2021 年 4 月。他们使用 2,000 多个被盗身份在网约车和外卖应用上开设司机账户，创建了“唯一目的”是推荐其他假账户的假账户，并使用“自动化机器人和 GPS 欺骗技术”抬高收入（NBC Boston，2021 年 5 月）。2022 年，两名被告就串谋电信欺诈和严重身份盗用认罪。圣迭戈另有一起针对五人司机账户团伙的起诉，以其头目被判刑告终。

纯多账户一端。 代币空投按合格钱包发放，所以刷空投者批量创建的是钱包而不是身份。在 2024 年 6 月的空投之后，zkSync 为其女巫攻击（sybil）过滤辩护，称更激进的做法“可能会误标许多正常用户”（Cointelegraph，2024 年 6 月）。这正是每个促销团队都面临的取舍：更严的过滤能抓到更多刷取者，也会拒绝更多真实客户。

两者有一个共同的弱点。假身份很便宜，邮箱不要钱，但每个账户仍然要从某处连接。干净且互不相同的消费者网络位置，是团伙无法按需制造的唯一资源，所以他们会复用基础设施，而复用会在您的日志中显现出来。

2026-10-23 的四个兑换 IP 是什么样子

同一项促销对四种地址类型需要四种不同的处理，其中两种情形下，欺诈评分自带的 recommended_action 并不等于促销决策。 2026-10-23 的 05:03:02 至 05:03:17 UTC 之间，我们对四个公开地址做了免密钥查询，每个对应优惠券或推荐端点会遇到的一种类型。它们都没有向我们发送真实的兑换请求，只是代表各种来源类型：

重点正在这两处不一致。Linode 服务器评分 10、结果为 allow，因为普通云服务器并不等于欺诈：API、集成和监控整天都在云上运行。但首单优惠券没有任何正当理由从机房里领取。Mullvad 出口评分 100、结果为 block，因为 API 在 Mullvad 自己的服务器列表上匹配到了它，并标记为 WireGuard 服务器。然而 Security.org 2026 年 VPN 报告对 1,008 名美国成年人在 2026 年 8 月做的调查发现，42% 的人使用 VPN，所以通过 VPN 兑换的往往是真实客户。一次银行卡或短信验证只占用这位客户几秒钟，却会让团伙每个账户都要消耗一张银行卡或一个手机号。

下面是托管地址精简后的查询结果（我们省略了它存储的 PTR，因为它与实时反向 DNS 不一致）：

因此您的规则必须直接读取 detection.is_hosting 和 asn.connection_type，因为一条只等待 block 的规则会把这张优惠券发出去。本文早期版本使用的是一台 DigitalOcean droplet，104.248.50.21。2026-10-23 它的评分为 12，触发了 datacenter_ip 加 fcrdns_mismatch（一个与优惠券无关的反向 DNS 信号），所以我们换了样本。

中继出口则是相反的情形：

is_relay 为 true，而 is_proxy 和 is_vpn 为 false。这是一位开启了 iCloud+ Private Relay 的 Apple 用户，一次中继兑换就是一位客户。Tor 出口的 anonymity_level 为 "high"，并且列入 Spamhaus ZEN，所以在这里拒绝激励几乎没有代价。

共享地址用频次规则，而不是拦截

按设计，GeoIPHub 中的共享地址绝不会仅凭评分被拦截。 运营商级 NAT 地址的评分上限为 50，落在 review 区间；iCloud Private Relay 地址的上限为 60，落在 step_up 区间。拦截任何一种，都会拦掉它背后的所有真实客户。因此藏身其中的团伙必须靠计数而不是评分来抓：

• IPv4： 按每个 /24 每小时统计一项促销的兑换次数。我们建议的起点（不是实测的行业数值）是三次：同一 /24 的第四次及之后的兑换暂缓并交给审核，然后根据您自己的结果调整这个数字。
• IPv6： 按 /64 统计，而不是按完整地址。一个订阅用户通常拥有整个 /64，所以在其中轮换地址不花任何成本。按完整地址统计会把一个行为人变成成千上万个。家庭和企业往往拥有 /56 或 /48，因此当同一个分配段不断冒出新的 /64 时，应放宽到这些前缀（参见按 /64 对 IPv6 限速和拦截）。
• 中继与 CGNAT： 保留相同的计数器，但调高阈值，因为一个中继出口或运营商地址本来就合法地服务许多客户。

暴露促销滥用的 IP 信号

三类 IP 信号会暴露促销滥用：“不同”客户之间共享来源，以及集中出现在兑换环节的托管来源和匿名化。 每一类都能揭示逐账户检查所漏掉的协同行为。

“不同”客户之间共享来源。 许多新账户从同一个地址、/24 或 /64 兑换同一项促销，是最直接的信号，而上文的频次规则把它转化为决策。

本应是消费者的位置却出现托管网段。 真正的新客户从家庭宽带和移动线路兑换。来自数据中心 IP 网段（即云实例、VPS 提供商和托管 ASN）的兑换，在证明清白之前就是脚本。GeoIPHub 依据 853 个精选的托管 ASN，加上 10 家云服务商的官方网段来识别托管，这使其成为促销资格上成本最低的第一道筛选。

集中在兑换环节的匿名化。 普通浏览中的 VPN 和 Tor 标记只是弱证据。但同样的标记在推荐提交和优惠码兑换上突然增多就不同了：操作者正在轮换出口点，以躲过共享来源检查。

共享 IP 是正常现象，所以应把这些当作需要进一步查看的理由。 Cloudflare 发现，CGNAT IP 被限速的频率是其他 IP 的三倍，尽管机器人比例的中位数几乎相同，分别为 4.8% 和 4.7%（Cloudflare，2025 年 10 月）。CGNAT 标记应当缓和您的反应，而不是放大它。

IP 层在哪里失明：住宅代理与点击农场

IP 查询看不到通过住宅代理到达的兑换，也看不到来自真实家庭或移动线路上点击农场手机的兑换。 这些连接来自消费者 ISP 地址，而这恰恰是真实新客户的样子。GeoIPHub 不检测住宅代理。家庭 ISP 地址甚至可能触发住宅 ISP 信号，使评分降低 20。

租用住宅出口的团伙已经花钱来绕过网络检查，所以证据必须来自别处：

• 账户图上的频次。 数小时内有许多被推荐人记在同一个推荐人名下，无论其 IP 如何。
• 设备重叠。 尽管地址不同，账户却共用同一个设备指纹。
• 支付与联系方式重叠。 一张银行卡、一个银行账户或一个手机号码对应多个“新”客户。
• 用户群质量。 兑换后再也没有第二次购买的兑换者。

关于租用的住宅出口为何是最难判断的来源，请参阅住宅代理欺诈，以及可信 IP 为何如今有风险。关于这个问题的通用版本，多账户检测讲解了一个用户如何变成五十个。

本周即可上线的检测手册

当您对三类事件评分、针对激励采取行动，并审核团伙而不是账户时，检测才会奏效。

1. 监测三类事件，而不是一类。 在注册、推荐提交和兑换时记录 IP 及其信号。大多数团队只给注册评分（如何阻止虚假注册讲的就是这项检查），而滥用集中在兑换环节。
2. 给推荐人和被推荐人都评分。 在自我推荐循环中，双方是同一个操作者。被推荐者集中在同一个 /24、同一个 ASN 或同一个 VPN 提供商的推荐人，就是团伙自己的账本。
3. 按每项促销、每个 /24 和每个 /64 运行频次统计。 如上所述，按活动而不是全局统计。
4. 限制促销资格，而不是购买。 兑换时出现托管来源、Tor 出口或已知滥用记录，应扣留折扣，同时让原价销售继续。这样既消除了利润，又不会产生客服工单。
5. 把中间区间送去验证。 评分在 26 到 75 之间，或者无论评分多少只要有 VPN 标记，都值得增加银行卡、手机或挑战步骤，其逻辑与按动作设置欺诈评分阈值相同。
6. 审核群组，而不是账户。 把共用 IP、前缀或设备的账户组放入队列，一次性判断整个团伙。逐步调查一个 IP 地址展示了在处理其群组之前，如何解读单个地址的证据。
7. 衡量用户群质量。 按活动追踪从兑换到第二次购买的转化。兑换者再也不回来的促销，会显示出预算去了哪里。

先接入兑换环节的检查

优惠券与推荐滥用是对准您营销预算的多账户行为。先从兑换环节的一次查询做起：读取 is_hosting、is_vpn、is_relay、is_tor 和 scoring.detection_methods，把它们映射为放行、暂缓、升级验证或拒绝，再加上按前缀的计数器。免费套餐每天提供 1,500 次查询，包含所有字段，而 IP 欺诈评分检查器无需写代码，就能显示单个地址的同一评分和原因。欺诈防范概览说明了评分是如何构建的。

同样的信号也守护着相邻的几扇门：匿名化层见VPN 和代理检测的工作原理，账户安全见检测账户接管与凭证填充，误报方面的纪律见检测匿名化流量而不误伤真实客户。先接入兑换环节的检查。这是把赏金计划变回增长预算的成本最低之处。

常见问题

什么是促销滥用？

促销滥用（promotion abuse）是指本不属于目标对象的人，利用新客优惠券、推荐奖励、注册赠金、积分和免费试用等营销激励。轻则是一位客户再注册一个邮箱来重复使用首单折扣，重则是有组织的团伙运营成千上万个假账户，耗尽推荐和奖励预算。

促销码滥用违法吗？

通常这属于违反服务条款，而不是犯罪，所以平台多半通过检测和封号来处理。一旦涉及身份盗用、伪造文件或大规模协同欺骗，就会构成犯罪。2021 年，美国马萨诸塞州联邦检察官起诉了 19 人，涉及一起网约车和外卖司机账户骗局，该骗局使用了 2,000 多个被盗身份，并创建了唯一目的就是推荐其他假账户的假账户。2022 年，其中两名被告就串谋电信欺诈和严重身份盗用认罪。

人们如何滥用推荐计划？

核心手法是通过多账户进行自我推荐：同一个操作者同时控制推荐人和“新客户”，因此每个假注册都会拿到一笔奖励。团伙借助别名邮箱、反检测浏览器、设备农场、VPN 和租来的住宅代理来扩大规模。IP 查询无法区分住宅代理出口与真实的家庭用户，所以这些账户必须靠频次、设备和支付信息的重叠来抓出来。

哪些 IP 信号表明存在促销滥用？

最强的网络信号包括：许多“不同的”新账户从同一个 IPv4 /24 或同一个 IPv6 /64 前缀兑换同一项促销；本应来自家庭或移动线路的消费者流量却来自托管网段的兑换；以及集中出现在兑换环节的 VPN 或 Tor 标记。每一项都需要结合上下文。运营商级 NAT 和 iCloud Private Relay 会让许多真实用户共用一个地址，因此 GeoIPHub 把 CGNAT 评分上限设为 50，中继评分上限设为 60，这类地址应由频次规则而不是拦截来处理。

如何在不拦截真实客户的前提下阻止促销滥用？

针对促销资格而不是账户采取行动：风险信号触发时，扣留或暂缓折扣和奖励，而不是拒绝注册或销售。低风险兑换照常处理，托管来源的兑换暂缓并交由审核，VPN 兑换通过支付或手机验证升级，Tor 出口则拒绝发放激励。同时对推荐人和被推荐人评分，对共享地址使用按前缀的频次限制而不是拦截。