名单沉淀与复盘结论

名单沉淀

确认作弊后，系统把相关实体加入名单：

• 作弊账号进入黑名单。
• 设备指纹进入灰名单。
• 部分代理 IP 段进入灰名单。
• 收货地址相似簇进入人工审核名单。

注意，不是所有关联实体都直接黑名单。共享 IP 和相似地址可能误伤正常用户，所以需要分级和过期。

复盘结论

这次攻击暴露了三个改进点：

1. 新人券活动上线前没有做风险压测。
2. 设备和地址相似度特征准备不足。
3. 告警只看订单量，没有看领券转化和退款率。

复盘变任务

复盘结论
  -> 风险压测流程
  -> 相似度特征建设
  -> 告警指标补充
  -> 下次活动前验证

一句话

确认作弊后分级入名单（账号黑名单、设备灰名单、共享 IP 只提风险分）；复盘暴露三个改进点：活动前风险压测、相似度特征不足、告警只看订单量。风控的价值不只是挡住一次攻击，而是把攻击过程转化成持续改进。