دراسة حالة: 98% من الحسابات الخطرة في شبكة من 270 ناشرًا كان عنوان IP الخاص بها نظيفًا
بعد أربعة أسابيع من دراسة الحالة الأولى، أرسلت شبكة offerwall نفسها إلى CashoutGuard ما مجموعه 25,040 تحويلًا من 270 موقع ناشر و69,311 حسابًا و96 دولة. هذا ما أظهرته بيانات الإنتاج خلال 28 يومًا، من 28 سبتمبر إلى 26 أكتوبر 2026.
الإجابة المختصرة
خلال 28 يومًا على شبكة offerwall تضم 270 موقع ناشر، قيّم CashoutGuard ما مجموعه 25,040 تحويلًا وعلّم 5,525 منها (22 بالمئة، بمدفوعات قدرها 4,193 دولارًا) من 10,537 حسابًا خطرًا. 98 بالمئة من هذه الحسابات كان عنوان IP لها نظيفًا، بلا أي إشارة إلى VPN أو بروكسي أو مركز بيانات أو Tor. أجهزتها هي التي كشفتها.
- الحجم
- 25,040 تحويلًا بقيمة 36,249 دولارًا من المدفوعات، و109,850 نقرة على العروض، و69,311 حسابًا، و60,807 أجهزة في 96 دولة.
- المُعلَّمة
- 5,525 تحويلًا (22%) من 10,537 حسابًا: 3,678 بمستوى الحظر و1,847 للمراجعة.
- عناوين IP نظيفة
- 98% من الحسابات المُعلَّمة لم تحمل أي إشارة VPN أو بروكسي أو مركز بيانات أو Tor على عنوان IP.
- حلقات الأجهزة
- 720 جهازًا شغّل كل منها ثلاثة حسابات أو أكثر: 3,288 حسابًا إجمالًا، وأكبرها 53 حسابًا على جهاز واحد.
- عمليات الاسترداد
- ألغى المعلنون 38 من أصل 5,525 تحويلًا مُعلَّمًا. و97% من كل الإلغاءات جاءت من 10 ناشرين.
الإعداد
ترسل الشبكة عروضًا من معلنين كثيرين إلى 270 موقع ناشر: مواقع GPT وتطبيقات المكافآت ومواقع الاستبيانات. لكل ناشر مستخدموه، لذلك ترى الشبكة معرّف مستخدم واحدًا لكل ناشر، ولا ترى أبدًا الشخص الذي خلفه. يستطيع شخص واحد التسجيل في عدة مواقع، ويستطيع هاتف واحد تشغيل حسابات فيها كلها.
يعمل CashoutGuard داخل جدار العروض الخاص بالشبكة. يجري فحص الجهاز عند فتح الجدار، وتُقيَّم النقرات على العروض لحظة حدوثها، ويُقيَّم كل postback تحويل قبل إضافة رصيده. تُحفظ الحسابات لكل ناشر على حدة، فمعرّف المستخدم نفسه في موقعين هو حسابان، بينما يبقى الجهاز الواحد خلفهما جهازًا واحدًا.
طبّقت الشبكة القرارات على التحويلات لمدة أسبوع تقريبًا في البداية، كما رُوي في دراسة الحالة الأولى. ومنذ 9 أكتوبر تعمل في وضع الظل: يُقيَّم كل حدث ويُسجَّل، ولا يُحظر شيء. العتبات هي الافتراضية ولم تُكتب أي قاعدة يدويًا. لا نذكر اسم الشبكة هنا.
الخلاصة: 22% من التحويلات جاءت من حسابات خطرة
| 28 يومًا، من 28 سبتمبر إلى 26 أكتوبر 2026 | النتيجة |
|---|---|
| مواقع ناشرين بها حركة | 270 |
| نقرات على العروض جرى تقييمها | 109,850 |
| تحويلات جرى تقييمها | 25,040 (36,249 دولارًا من المدفوعات) |
| الحسابات والأجهزة | 69,311 حسابًا على 60,807 أجهزة |
| الدول | 96 |
| تحويلات بمستوى الحظر | 3,678 (14.7%) |
| تحويلات أُرسلت للمراجعة | 1,847 (7.4%) |
| مدفوعات التحويلات المُعلَّمة | 4,193 دولارًا (11.6% من المدفوعات) |
| الحسابات المُعلَّمة | 10,537 |
كانت التحويلات المُعلَّمة أرخص من المتوسط: 22% من التحويلات لكنها 11.6% فقط من المال. معظم الخطر كان في العروض القصيرة منخفضة الدفع، وهي النوع الذي يسهل إكماله مرارًا من حسابات جديدة.
لماذا كان فحص IP سيفوّت 98% منها
من بين 10,537 حسابًا مُعلَّمًا، كان لدى 208 فقط مشكلة في عنوان IP: VPN معروف أو بروكسي أو مركز بيانات أو Tor. أما الباقي، 10,329 أي 98%، فجاء من اتصالات منزلية ومحمولة عادية. كان فحص سمعة IP سيسمح لها بالمرور.
ما كشفها هو الجهاز والمتصفح:
| السبب في التحويلات المُعلَّمة | التحويلات |
|---|---|
| الجهاز نفسه المستخدم في حسابات أخرى | 4,381 |
| ساعة المتصفح من دولة غير دولة IP | 727 |
| عنوان IP الحقيقي تسرّب عبر المتصفح، في دولة أخرى | 705 |
| لغة المتصفح من دولة غير دولة IP | 657 |
| طراز هاتف مزيّف | 564 |
| هاتف سحابي | 499 |
| مسح التخزين وعودة الجهاز نفسه كمستخدم جديد | 417 |
| العرض نفسه أكمله حساب آخر على الجهاز | 314 |
| نافذة تصفح خاص | 313 |
| ملف محاكي افتراضي | 283 |
قد يحمل التحويل الواحد عدة أسباب، لذا يتجاوز مجموع العمود 5,525.
720 جهازًا خلف ثلاثة حسابات أو أكثر
أقوى إشارة منفردة كانت جهازًا واحدًا خلف عدة حسابات. ظهرت في 4,381 من أصل 5,525 تحويلًا مُعلَّمًا، أي 79%. وجد CashoutGuard ما مجموعه 720 جهازًا شغّل كل منها ثلاثة حسابات أو أكثر، أي 3,288 حسابًا إجمالًا. معظم الحلقات صغيرة، بوسيط ثلاثة حسابات، لكن 40 جهازًا شغّلت عشرة حسابات أو أكثر، وأكبرها شغّل 53.
بالنسبة للشبكة، هذا مهم مرتين. داخل ناشر واحد، الحلقة هي شخص واحد يجمع العروض نفسها عدة مرات. وعبر الناشرين، هي الشخص نفسه في عدة مواقع، وهو ما لا يستطيع أي ناشر بمفرده رؤيته. الشبكة هي الطرف الوحيد الذي يرى الحلقة كاملة، لذلك فهي المكان الطبيعي لإيقافها.
الهواتف السحابية والمحاكيات والطرازات المزيّفة
- 1,451 حسابًا استخدم هاتفًا سحابيًا: هاتف أندرويد في مركز بيانات، يُستأجر بالساعة ويُدار من حاسوب. يمكن استنساخ "أجهزة" جديدة منه في ثوانٍ.
- 650 حسابًا استخدم محاكيًا: هاتف أندرويد تجري محاكاته على حاسوب، ويُبلغ عن طراز افتراضي معروف.
- 564 تحويلًا جاء من طراز هاتف مزيّف: المتصفح يذكر هاتفًا، لكن شريحة الرسوميات تخص عتادًا آخر.
لا شيء من هذا شخصٌ يحمل هاتفًا. ومن الصعب إخفاؤه أيضًا: تغيير عنوان IP يتطلب نقرة واحدة في لوحة البروكسي، أما تغيير ما تُبلغ عنه شريحة الرسوميات فيحتاج أداة مضادة للكشف، وهذه الأدوات تترك آثارها الخاصة.
ما الذي تكشفه عمليات الاسترداد وما الذي تفوّته
في الأيام الثمانية والعشرين نفسها، ألغى المعلنون 239 تحويلًا، أي 0.95% من الإجمالي. 97% من هذه الإلغاءات جاءت من 10 ناشرين فقط. يُلغي المعلنون بناءً على فحوص الإسناد والتثبيت الخاصة بهم، وهذه تشير إلى عدد قليل من مصادر الحركة السيئة.
لم يكتشفوا الإساءة الموصوفة أعلاه. من أصل 5,525 تحويلًا مُعلَّمًا، ألغى المعلنون 38 بقيمة 49 دولارًا. عمليات الاسترداد ليست شبكة أمان ضد الحسابات المتعددة والهواتف السحابية والمحاكيات: معظم تلك الحركة لا يُلغى أبدًا. المكان الصحيح لإيقافها هو قبل أن يتحرك المال، عند postback أو عند السحب.
دروس للشبكات الأخرى
- لا تعتمد على فحوص IP. 98% من الحسابات الخطرة كان عنوان IP لها نظيفًا.
- انظر إلى الأجهزة عبر الناشرين. الشبكة ترى حلقات لا يراها أي ناشر بمفرده.
- قيّم التحويل قبل أن يُدفع. عمليات استرداد المعلنين فوّتت تقريبًا كل هذه الحركة.
- راقب الإلغاءات لكل ناشر. عشرة ناشرين تسببوا في 97% من إلغاءات المعلنين.
- ابدأ في وضع الظل. أربعة أسابيع من البيانات، بعتبات افتراضية وبلا قواعد مكتوبة يدويًا.
أجرِ الاختبار نفسه على شبكتك
كل موقع جديد في CashoutGuard يبدأ في وضع الظل. تستطيع الشبكات الاتصال عبر postback relay بلا برمجة، أو استدعاء /v1/evaluate من خادمها، وقراءة النتائج في لوحة التحكم في اليوم نفسه. اطّلع على CashoutGuard لشبكات offerwall أو التوثيق أو الأسعار. ولمعرفة ما حدث عندما فعّلت هذه الشبكة الحظر، اقرأ دراسة الحالة الأولى.