我追踪了一个骗子 72 小时，后来变得私人了

📋 概述

一切从晚上 11:47 的一条短信开始：你的 USPS 包裹无法投递，请在 12 小时内确认地址。作者没有包裹，也知道这是骗局，但他那晚无聊、喝了太多咖啡，还有一个刚开好的 Kali 虚拟机，于是决定回点一下。他先给自己搭了个笼子：另一个州的 VPN 出口、一个从未登录过任何真实账号的浏览器配置、一次性邮箱、转发到空号的号码，以及全程录包的 Burp Suite。钓鱼站是美国邮政的完美克隆，提交假地址与 Stripe 测试卡 4242 竟然被接受，随后又提示支付失败要求换卡——这说明它根本不在和 Stripe 通话，而是在和 Telegram 机器人或某个面板通话。查看源码后，他在客户端 JavaScript 里找到硬编码的 Telegram bot token；顺着 favicon 里的特征串，在 URLScan 上又找到另外三个同套件的克隆站。