Кейс: у 98% рискованных аккаунтов в сети из 270 паблишеров был чистый IP
Через четыре недели после первого кейса та же сеть офферволлов прислала в CashoutGuard 25 040 конверсий с 270 сайтов-паблишеров, от 69 311 аккаунтов из 96 стран. Вот что показали 28 дней боевых данных, с 28 сентября по 26 октября 2026 года.
Коротко
За 28 дней в сети офферволлов с 270 сайтами-паблишерами CashoutGuard оценил 25 040 конверсий и отметил 5 525 из них (22 процента, 4 193 $ выплат) от 10 537 рискованных аккаунтов. У 98 процентов этих аккаунтов был чистый IP: без признаков VPN, прокси, дата-центра или Tor. Их выдали устройства.
- Масштаб
- 25 040 конверсий на 36 249 $ выплат, 109 850 кликов по офферам, 69 311 аккаунтов и 60 807 устройств в 96 странах.
- Отмечено
- 5 525 конверсий (22%) от 10 537 аккаунтов: 3 678 на уровне блокировки и 1 847 на проверку.
- Чистые IP
- У 98% отмеченных аккаунтов не было признаков VPN, прокси, дата-центра или Tor на IP.
- Кольца устройств
- 720 устройств вели по три аккаунта и больше: всего 3 288 аккаунтов, самое большое кольцо 53 аккаунта на одном устройстве.
- Чарджбэки
- Рекламодатели отменили 38 из 5 525 отмеченных конверсий. 97% всех отмен пришлись на 10 паблишеров.
Исходные условия
Сеть передаёт офферы множества рекламодателей на 270 сайтов-паблишеров: GPT-сайты, приложения с наградами и сайты опросов. У каждого паблишера свои пользователи, поэтому сеть видит ID пользователя у каждого паблишера, но никогда не видит человека за ним. Один человек может зарегистрироваться на нескольких сайтах, и один телефон может вести аккаунты на всех.
CashoutGuard работает внутри оффервола сети. Проверка устройства запускается при открытии оффервола, клики по офферам оцениваются в момент клика, а каждый постбэк конверсии оценивается до начисления. Аккаунты учитываются по паблишерам: один и тот же ID пользователя на двух сайтах это два аккаунта, а одно устройство за ними остаётся одним устройством.
Первую неделю сеть применяла решения к конверсиям, как описано в первом кейсе. С 9 октября она работает в теневом режиме: каждое событие оценивается и записывается, но ничего не блокируется. Пороги стандартные, ни одно правило не написано вручную. Название сети мы не раскрываем.
Главное: 22% конверсий пришли от рискованных аккаунтов
| 28 дней, с 28 сентября по 26 октября 2026 | Результат |
|---|---|
| Сайтов-паблишеров с трафиком | 270 |
| Оценено кликов по офферам | 109 850 |
| Оценено конверсий | 25 040 (36 249 $ выплат) |
| Аккаунты и устройства | 69 311 аккаунтов на 60 807 устройствах |
| Страны | 96 |
| Конверсий на уровне блокировки | 3 678 (14,7%) |
| Конверсий на проверку | 1 847 (7,4%) |
| Выплаты по отмеченным конверсиям | 4 193 $ (11,6% выплат) |
| Отмечено аккаунтов | 10 537 |
Отмеченные конверсии были дешевле средних: 22% конверсий, но только 11,6% денег. Основной риск приходился на короткие и дешёвые офферы, которые легко выполнять снова и снова с новых аккаунтов.
Почему проверка IP пропустила бы 98% из них
Из 10 537 отмеченных аккаунтов только у 208 с IP было что-то не так: известный VPN, прокси, дата-центр или Tor. Остальные 10 329, то есть 98%, пришли с обычных домашних и мобильных подключений. Проверка репутации IP их бы пропустила.
Их выдали устройство и браузер:
| Причина в отмеченных конверсиях | Конверсии |
|---|---|
| То же устройство, что у других аккаунтов | 4 381 |
| Часы браузера из другой страны, чем IP | 727 |
| Настоящий IP утёк через браузер, в другой стране | 705 |
| Язык браузера из другой страны, чем IP | 657 |
| Поддельная модель телефона | 564 |
| Облачный телефон | 499 |
| Хранилище очищено, то же устройство вернулось как новый пользователь | 417 |
| Тот же оффер уже выполнил другой аккаунт на устройстве | 314 |
| Окно приватного просмотра | 313 |
| Стандартный профиль эмулятора | 283 |
У одной конверсии может быть несколько причин, поэтому сумма столбца больше 5 525.
720 устройств за тремя аккаунтами и больше
Самым сильным отдельным сигналом было одно устройство за несколькими аккаунтами. Он был у 4 381 из 5 525 отмеченных конверсий, то есть у 79%. CashoutGuard нашёл 720 устройств, каждое из которых вело три аккаунта и больше, всего 3 288 аккаунтов. Большинство колец небольшие, медиана три аккаунта, но 40 устройств вели десять аккаунтов и больше, а самое большое вело 53.
Для сети это важно вдвойне. Внутри одного паблишера кольцо это один человек, который собирает одни и те же офферы несколько раз. Между паблишерами это один и тот же человек на нескольких сайтах, чего ни один паблишер в отдельности не видит. Только сеть видит кольцо целиком, поэтому именно там его естественно останавливать.
Облачные телефоны, эмуляторы и поддельные модели
- 1 451 аккаунт использовал облачный телефон: Android-телефон в дата-центре, который арендуют почасово и которым управляют с ПК. Новые «устройства» клонируются из него за секунды.
- 650 аккаунтов использовали эмулятор: Android-телефон, смоделированный на компьютере и сообщающий известную стандартную модель.
- 564 конверсии пришли с поддельной моделью телефона: браузер называл один телефон, а графический чип принадлежал другому железу.
Ни в одном из этих случаев за телефоном нет человека. И это трудно скрыть: сменить IP можно одним кликом в панели прокси, а чтобы изменить то, что сообщает графический чип, нужен антидетект, и такие инструменты оставляют свои следы.
Что ловят чарджбэки и что они пропускают
За те же 28 дней рекламодатели отменили 239 конверсий, 0,95% от общего числа. 97% этих отмен пришлись всего на 10 паблишеров. Рекламодатели отменяют по своим проверкам атрибуции и установок, а они указывают на несколько плохих источников трафика.
Злоупотребления, описанные выше, они не поймали. Из 5 525 отмеченных конверсий рекламодатели отменили 38 на сумму 49 $. Чарджбэки не страхуют от мультиаккаунтов, облачных телефонов и эмуляторов: большую часть такого трафика никогда не отменяют. Останавливать его нужно до того, как двинутся деньги: на постбэке или при выводе.
Выводы для других сетей
- Не полагайтесь на проверку IP. У 98% рискованных аккаунтов был чистый IP.
- Смотрите на устройства по всем паблишерам. Сеть видит кольца, которые не видит ни один отдельный паблишер.
- Оценивайте конверсию до выплаты. Чарджбэки рекламодателей пропустили почти весь этот трафик.
- Следите за отменами по паблишерам. Десять паблишеров дали 97% отмен рекламодателей.
- Начинайте в теневом режиме. Четыре недели данных, стандартные пороги и ни одного правила, написанного вручную.
Проведите такой же тест в своей сети
Каждый новый сайт в CashoutGuard начинает в теневом режиме. Сети могут подключиться через postback relay без кода или вызывать /v1/evaluate со своего сервера и в тот же день смотреть результаты в панели. Смотрите CashoutGuard для сетей офферволлов, документацию или цены. Что произошло, когда эта сеть включила блокировку, читайте в первом кейсе.