Web端异常注册复盘
618白名单移除后异常注册结构简报
基于 2026-06-18 10:00 至 2026-06-25 15:00 的成功注册数据，并结合 6.18 15:00 移除非内部白名单 IP 前后的对比，观察集中链路是否终结、剩余风险是否转为分散形态。
一、结论先行
6.18 15:00 移除非内部白名单 IP 后，618 之前那批超集中链路基本被终结；但剩余注册并没有完全消失，而是转成了更分散、更多卡阈值的残余形态。
`160.250.131.40` 在移除前仍有 3617 个成功注册，移除后变为 0。
`103.78.2.25`、`118.70.249.44`、`160.187.226.*` 等都在当前白名单内，不能拿它们直接判断 IP 限制失效。
1904 组里，89.55% 同时满足 5 个不同指纹且 5 分钟内完成；同设备仅 1.52%。
434 组里，14.29% 更像正常共享网络/慢节奏真实流量，说明 `4` 这一档不能一刀切。
二、口径说明
| 项目 | 说明 |
|---|---|
| 白名单影响 | 当前白名单内包含 `103.78.2.25`、`118.70.249.44`、`160.187.226.87/117/40/86/163`，以及内部 IP `103.67.199.91`。 |
| 本报告关注点 | 只看白名单移除后的结构变化，不把白名单高量 IP 当作限制失效证据。 |
| 同设备口径 | `同IP=5` 中若只对应 1 个指纹，视为“同设备复用”；占比很小，不代表主体。 |
三、关键发现
发现 1：白名单移除后，头部链路被明显打掉
事实：`160.250.131.40` 在 6.18 15:00 前仍是绝对头部，之后注册数归零；这组头部链路不再继续放量。
推测：这说明 618 之前的主链路并不是自然衰减，而是被白名单/放行条件托住了；移除后，原本的超集中成功路径被终止。
发现 2：`同IP=5` 的主体不是正常用户，而是阈值边缘的批量注册
| 口径 | 组数 | 账号数 | 占全部注册 | 结构特征 |
|---|---|---|---|---|
| 同 IP = 5 | 1904 | 9520 | 16.52% | 1848 组是 5 个不同指纹；1705 组在 5 分钟内完成 |
| 同 IP = 4 | 434 | 1736 | 3.01% | 62 组更像正常共享网络/慢节奏注册，14.29% |
事实：`同IP=5` 里真正“同设备”的只有 29 组、145 个账号，占 `同IP=5` 组数的 1.52%，占全部注册的 0.25%。
推测：`同IP=5` 的主体现象，不是正常用户共享网络，而是明显按 IP 门槛跑的批量注册；其中极少数 `同设备` 样本不能解释主体规模。
发现 3：`同指纹=4/5` 也在下降，但残余更偏向分散复用
| 口径 | 组数 | 账号数 | 占全部注册 | 结构特征 |
|---|---|---|---|---|
| 同指纹 = 4 | 229 | 916 | 1.59% | 177 组跨 24 小时以上，分布较散 |
| 同指纹 = 5 | 160 | 800 | 1.39% | 64 组对应 5 个 IP，说明仍有模板复用 |
推测：指纹侧不再是单一头部模板压全场，而是更偏向分散复用；这与 IP 侧“卡 5 个上限”的行为一起，说明残余风险已经换成了更碎的形态。
发现 4：现在不能简单说“灰产注册量没降”，但可以说集中风险被打散了
四、最终判断
这轮最重要的变化，不是“注册总量少了多少”，而是“注册结构变成了什么样”。
现在可以比较稳地判断：618 之前的头部链路已经被终结；`同IP=5` 里绝大多数是短时多指纹批量注册；只有极少数 `同IP=4/5` 样本更像正常共享网络或慢节奏真实流量。
因此，后续讨论更应该围绕“剩余的分散型注册是否继续放大”来展开，而不是把 `4/5` 一概当成正常用户。