文章总结： 电商平台前员工利用以旧换新业务的时间差漏洞，通过快速切换订单实现0元购，造成169万元损失。其动用86个账号变现，两名前同事索要封口费被定共犯，三人已被刑拘。事件警示企业需强化业务逻辑并发控制与异常监控，严管离职权限，利用漏洞牟利终将面临刑法制裁。 综合评分： 60 文章分类： 漏洞分析,安全大事件,WEB安全

【安全圈】电商平台前员工利用系统漏洞，0元购3000多件家电

安全圈

2026年8月8日 19:00 江苏

在小说阅读器读本章

去阅读

关键词

系统漏洞

今年5月底，某电商平台突然发现不对劲：后台一大批“以旧换新”订单显示旧家电根本没人回收，新机却一笔接一笔往外发，实付金额全是0元。一查吓一跳，光异常订单就有3711笔，按进货价算平台亏了169万。这些收货地址全都写得模棱两可，收件人也是代号，顺着账号往回捋，86个号最后都缠到同一个人身上——曾在平台售后岗干了三年的离职员工张某。

民警敲门那天，张某家里已经像个快递中转站，客厅、厨房、过道全是没拆封的纸箱，当场清出166件全新家电，还有22件已经拆了在家用上了。

这还不算完，她在附近还租了个近600平的仓库，里面码着近千台新机，冰箱洗衣机摞得整整齐齐，民警花了8个小时才点完数。

张某本来就是个爱琢磨优惠的“羊毛党”，离职后对老东家的系统流程门儿清。她发现一个隐蔽漏洞：先选个大件空调走以旧换新，系统刚出估价就立刻取消，再切去下单几十块的煮蛋器，趁系统没反应过来马上切回大件订单——这时候页面一刷新，小家电直接变成0元，旧机也不用交。靠这套“手速流”，她拉上爸妈、老公、亲戚，连还没离职的前同事账号都借来用，疯狂下单，转头就按市价八折挂二手平台甩货变现。

两个前同事察觉她不正常，没想着劝，反而追着问“怎么弄的”，被敷衍之后就开口要电器、要现金当封口费。警方说得很明白：没动手刷单，但明知道是偷还分赃，一样算共犯。

目前张某等三人因涉嫌盗窃罪已经被刑拘，其他人退了赃，平台那边也把那个“时间差漏洞”补上了。办案民警顺带补了一句大实话：别把Bug当福利，薅着薅着，刑拘通知书就比快递先到家了。

END

阅读推荐

【安全圈】银行职员分不出 GPT-4 写的钓鱼短信，你也一样

【安全圈】有人发明了一款字体，专门骗 AI 爬虫

【安全圈】一个 GitHub Issue，就能黑掉 Anthropic 和 Google 的 AI 编程助手

【安全圈】勒索软件老板判了16年

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈 《【安全圈】电商平台前员工利用系统漏洞，0元购3000多件家电》