异常发现

一次「新人券薅羊毛」攻击

我们用一次「新人券薅羊毛」攻击来串联前面的模块。

活动规则很简单：新用户注册后领取 50 元优惠券，首单满 100 可用。活动上线 30 分钟后，注册量暴涨，优惠券领取量异常升高，但支付成功率很低。

监控发现三个信号

• 新注册账号数量是平时的 12 倍。
• 同一批 IP 段领取优惠券频率异常。
• 大量订单使用相似收货地址，但支付后很快申请退款。

采集的价值

这些信号来自数据采集层和指标监控：

如果没有按用户、设备、IP、地址采集事件
  -> 团队只能看到「活动很火」
  -> 无法判断风险

这正是采集层「组合才有价值」的体现：注册量 + IP 频率 + 地址相似度组合起来，才暴露了批量作弊。

一句话

监控先发现三个信号：注册量 12 倍、同 IP 段领券异常、相似地址大量退款。没有采集层，团队只能看到「活动很火」，无法判断风险——组合信号才暴露批量作弊。