04 · 代理套利行为判定指南¶
定位：独立研究文档，用于深入探讨代理套利的识别方法 与副组长指南的关系：本文档是 01-副组长-工作指南 4.1.5 节的补充研究 作者：Bob ｜ 日期：2026-04-22 状态：内部研究版，待审核确认后决定是否纳入正式流程
📝 来源：学习讨论
双市场适用说明
本指南同时覆盖两个市场，方法论相通、物证与阈值口径按市场分别看：
市场 平台 / 后台 金额单位 定档方式 核心硬物证 印尼站 印尼后台 K IDR（千印尼盾） 三层筛网 · 8 指标阈值分布 下级存款/打码阈值分布 + 行为雷同 菲律宾站 P222 / 澎湃 ₱ peso（后台存分，÷100=peso） Strong / Weak 两门定档 收款号（GCash/Maya/GoTyme 手机号） 两边共同的底层逻辑：看下级不看代理，同一个人操作多号必留共同点。 - 第一至七节 = 印尼站口径（三层筛网 / 8 指标 / K IDR 阈值 / 排查流程），完整保留。 - 第八节 = 菲律宾站（P222/澎湃）口径（三正交视角 / 收款号硬物证 / 两门定档 / 8 检测器）。 - 第九节 = 印尼 vs 菲律宾对比；第十节 = 双市场互动自测。
一、核心原则¶
宁可错放，不要错杀。但"错放"不等于"不查"——每次审核都要带着方法论去看。
套利的本质：代理自己注册一批小号当下级，用小号充值投注给自己刷佣金/邀请奖励/宝箱/拼多多奖励，然后提现。判断套利不看代理本身，而是看下级是否为真实独立用户。
同一个人操作多个账号，一定会留下共同点——关键是知道去哪里找、怎么看。
核心判断逻辑：
| 维度 | 正常代理 | 套利代理 |
|---|---|---|
| 代理本身 | 可以不充值、不投注（靠佣金生活） | 同样可能不充值不投注 |
| 下级用户 | 独立真实用户，行为各异 | 自己注册的小号，行为高度雷同 |
| 判断焦点 | 看下级，不看代理本身 | 看下级，不看代理本身 |
⚠️ "代理本身没充值没游戏"不是套利标志。只有下级行为异常才是判定依据。
二、三层筛网体系¶
口径：印尼站。以下三层筛网、8 个指标、所有阈值（存款 50-60 K IDR、打码 ~600、占比 ≥70% 等）均为印尼后台口径。菲律宾（P222/澎湃）另有一套物证与定档口径，见第八节。
总览¶
flowchart TD
T["三层筛网体系"]
T --> L1["第一层 · 快速指标<br/>(每单必查)<br/>3-5 分钟"]
T --> L2["第二层 · 行为深挖<br/>(触发后查)<br/>10-15 分钟"]
T --> L3["第三层 · 辅助验证<br/>(争议案例)<br/>按需"]
L1 --> A1["指标1 宝箱模式"]
L1 --> A2["指标2 充值转化"]
L1 --> A3["指标3 充提时差"]
L1 --> A4["指标4 注册集中"]
L2 --> B5["指标5 上线循环"]
L2 --> B6["指标6 固定投注"]
L2 --> B7["指标7 批量操作"]
L3 --> C8["指标8 IP/设备关联"]
L3 --> C9["辅助判定参考(3条)"]第一层 · 快速指标（每单必查，约 3-5 分钟）¶
任一指标触发即进入第二层深度排查。
指标 1：宝箱模式检测¶
来源：现有第一条标准（P2 套利模式检测）
检测内容：
| 检测项 | 条件 |
|---|---|
| 下级存款金额 | 50–60（后台单位 K IDR） |
| 下级打码量 | 600 左右（刚好够领宝箱） |
| 符合上述模式的下级占比 | ≥70% |
三项同时满足 → 高度可疑，触发 P2 套利判定。
后台查询路径：
提现出款页面 → 锁定订单 → 点击用户 ID → 进入用户详情页
→ 代理数据板块 → 点击"点击查看" → 进入代理直推列表
- 代理直推列表完整显示该用户的所有下级
- 查看每个下级的"累计充值"和"累计有效打码"两列
- 逐个比对是否落在 50-60 存款 + ~600 打码的范围内
- 计算符合此模式的下级占总下级数的比例
判定阈值：≥70% 的下级符合此模式 → 触发
示例对比：
| 场景 | 下级数据 | 判定 |
|---|---|---|
| 正常 | 下级A充值200打码5000，下级B充值30打码100，下级C充值500打码12000 | ✅ 正常——金额差异大，行为各异 |
| 异常 | 下级A充值55打码620，下级B充值50打码600，下级C充值58打码610，下级D充值52打码605 | ❌ 高度可疑——4个下级全部在50-60+600区间 |
注意事项： - 小代理特殊处理：下级 ≤3 人，如果只领取了一个邀请奖励，可以酌情给过——让他稍微获利有动力去发展下级 - 后台单位是 K IDR，注意不要与实际金额混淆
📝 来源：学习讨论
指标 2：100% 充值转化率¶
检测内容：所有下级全部完成充值，没有一个只注册不充值。
后台查询路径：
（沿用指标 1 的路径，已在代理直推列表页面）
- 直接看代理直推列表的"累计充值"列
- 检查是否所有下级的累计充值都 > 0
一眼可判：✅ 直接看列表即可，无需逐个点入。
判定逻辑：
正常邀请朋友来玩，不可能 100% 都充值。你叫 5 个朋友注册，总有 1-2 个看看就走了，不会每个人都掏钱。如果一个代理的所有下级全部完成了充值，概率上极不正常。
判定阈值：下级 ≥5 人且充值率 100% → 触发（下级 ≤3 人时参考价值低）
示例对比：
| 场景 | 下级充值情况 | 判定 |
|---|---|---|
| 正常 | 8个下级，5个充值了，3个只注册没充值 | ✅ 正常——62.5%充值率 |
| 异常 | 8个下级，8个全部充值 | ⚠️ 可疑——100%充值率不自然 |
注意：结合指标 1 一起看效果更好——100% 充值 + 全部 50-60 存款 = 强烈套利信号
📝 来源：阿耀
指标 3：充值到提款时间极短¶
检测内容：下级充值后短时间内（如 20 分钟内）全部完成取款。
后台查询路径：
代理直推列表 → 点击下级用户 ID → 进入下级用户详情页
→ 用户详情页直接显示最近三笔充值时间和提现时间
- 在下级用户详情页即可看到最近的充值和提现时间
- 直接比对两者的时间差
- 对需要排查的下级逐个点进去查看
判定逻辑：
充值 50，10 分钟后取款 45——这个人根本没有正常娱乐行为。正常玩家充值后会玩一段时间，在线时长通常在 30 分钟到数小时不等。短时间内充值→完成打码→提款的行为，是机械式套利的典型特征。
判定阈值：< 20 分钟高度可疑，20-60 分钟需结合其他指标，> 1 小时正常
关键区分：个别下级快速充提不算异常，全部下级都是短时间快速充提才有问题
示例对比：
| 场景 | 下级充提数据 | 判定 |
|---|---|---|
| 正常 | A充值后3小时提款，B隔天提款，C充值后没提款 | ✅ 正常——节奏各异 |
| 异常 | A充值后8分钟提款，B 12分钟提款，C 15分钟提款 | ❌ 高度可疑——全部快速充提 |
注意：用户详情页直接显示最近三笔充值和提现时间，不需要去财务管理页面单独查。账变记录只保留最近 60 天。
📝 来源：阿耀
指标 4：注册时间高度集中¶
检测内容：多个下级在同一天甚至同一时间段内完成注册+充值。
后台查询路径：
代理直推列表 → 点击各下级用户 ID → 进入下级用户详情页 → 查看注册时间
- 在代理直推列表中，逐个点击下级用户 ID 进入详情页
- 详情页显示该用户的注册时间
- 记录所有下级的注册时间，观察是否集中在同一天/同一时间段
判定逻辑：
就算你把邀请链接发给很多朋友，也很难让所有人同一天同一时间段注册充值。真实的邀请场景中，朋友看到链接的时间不同、注册的时间不同、心情不同——注册时间天然是分散的。
判定阈值：全部同一天注册 → 高度可疑；大部分 2-3 天内注册 → 可疑；分散在不同周/月 → 正常
示例对比：
| 场景 | 下级注册时间 | 判定 |
|---|---|---|
| 正常 | A 3月5日，B 3月18日，C 4月2日 | ✅ 正常——分散 |
| 异常 | A 3月5日14:02，B 3月5日14:15，C 3月5日14:30 | ❌ 同天半小时内连续注册 |
注意： - 代理直推列表本身无"注册时间"列，需点击每个下级 ID 进入详情页查看 - 建议在指标 1/2 有疑点时再重点排查
📝 来源：阿耀
第二层 · 行为深挖（第一层触发后或有疑点时，约 10-15 分钟）¶
进入条件：第一层任一指标触发，或虽未明确触发但审核人有直觉疑点。
指标 5：下级上线时间循环规律¶
检测内容：A 下线后 B 几分钟内上线投注，然后换号，循环操作。
后台查询路径：
后台 → 会员管理 → 历史登录IP
- 逐个输入下级会员 ID
- 查看每个下级的登录时间序列
- 将多个下级的登录时间排列在一起，观察是否呈现"接力"模式
判定逻辑：
如果 A 在 14:00-14:20 活跃，B 在 14:22-14:40 活跃，C 在 14:42-15:00 活跃——这种精确的轮流上线模式不是多个独立用户的正常行为，而是同一个人在不同账号之间切换的典型特征。
识别要点：正常多用户在线时间会有大量重叠（同时在线），套利账号几乎不重叠（一个人无法同时操作两个号）
示例对比：
| 场景 | 登录时间线 | 判定 |
|---|---|---|
| 正常 | A 14:00登录，B 14:05登录，两人都在线到16:00 | ✅ 同时在线 |
| 异常 | A 14:00-14:18，B 14:20-14:38，C 14:40-... | ❌ 接力式上线 |
注意： - ⚠️ 平台无"离线时间"字段，从登录时间间隔推断 - 下级多时先抽查 3-4 个最可疑的
📝 来源：阿耀
指标 6：投注金额固定循环，不随输赢调整¶
检测内容：下级的投注金额呈现机械式固定模式，不因输赢而变化。
后台查询路径：
代理直推列表 → 点击下级用户对应的"投注记录"蓝字链接 → 进入该下级的投注记录
- 代理直推列表中每个下级旁有"投注记录"快捷入口
- 直接点击即可查看该下级的投注金额序列
- 观察金额是否固定不变（例如一直是 0.2、0.2、0.2...）
判定逻辑：
例如充值 50，一直用 0.2 额度投注，完成打码量后不管余额是 45 还是 55 都直接取款。正常玩家会根据心情和输赢调整投注金额——赢了可能加注，输了可能减注或换游戏，不会像机器一样一直用同一个金额投注。
辅助判断：同时看游戏类型是否单一（会员管理 → 用户游戏统计），只玩低风险高返水游戏是套利特征
示例对比：
| 场景 | 投注记录 | 判定 |
|---|---|---|
| 正常 | 5.0→2.0→10.0→1.0（换游戏）→8.0 | ✅ 金额波动，换游戏 |
| 异常 | 0.2→0.2→0.2→...连续300注，同一游戏 | ❌ 机械式固定投注 |
注意：重点看投注金额的变化趋势，不需要逐条核对
📝 来源：阿耀
指标 7：批量操作行为模式¶
检测内容：从注册→充值→游戏→提款的整个时间线呈现有序批量操作特征。
两种典型模式：
模式 A：先批量注册+充值，再轮流游戏
时间线：
09:00 注册账号A → 充值50
09:03 注册账号B → 充值55
09:06 注册账号C → 充值52
09:10 注册账号D → 充值50
（全部注册完毕）
09:15 账号A 开始游戏 → 09:30 完成打码 → 提款
09:32 账号B 开始游戏 → 09:48 完成打码 → 提款
09:50 账号C 开始游戏 → 10:05 完成打码 → 提款
10:07 账号D 开始游戏 → 10:22 完成打码 → 提款
模式 B：逐个完成全流程
时间线：
09:00 注册账号A → 充值50 → 游戏 → 09:20 提款
09:25 注册账号B → 充值55 → 游戏 → 09:45 提款
09:50 注册账号C → 充值52 → 游戏 → 10:10 提款
10:15 注册账号D → 充值50 → 游戏 → 10:35 提款
后台查询路径：
代理直推列表 → 逐个点击下级用户 ID → 用户详情页查充值/提现时间
代理直推列表 → 点击"投注记录"蓝字 → 查游戏时间
- 用户详情页显示最近三笔充值和提现时间
- 投注记录显示每笔投注的时间
- 将多个下级的时间线排列对比，观察是否符合模式 A 或模式 B
判定逻辑：
正常的多个独立用户，操作时间线是随机的、互不相关的。当你把所有下级的操作放在同一时间轴上，如果呈现高度有序的排列（无论是模式A还是模式B），说明这些账号背后是同一个人在流水线式操作。
注意：最耗时但最有说服力的指标，建议同时打开三个浏览器标签。下级多时先挑疑点最大的 3-5 个分析。
📝 来源：阿耀
第三层 · 辅助验证（争议案例或需要进一步证据时）¶
进入条件：第二层排查后仍不确定，或需要补充证据。
指标 8：IP/设备关联（辅助参考，不作为主要依据）¶
检测内容：多个下级是否使用相同 IP 地址。
后台查询路径：
方式一：后台 → 会员管理 → IP稽查 → 输入 IP 地址 → 查看同 IP 下所有会员
方式二：后台 → 会员管理 → 历史登录IP → 输入会员 ID → 查看登录 IP 列表 + "同IP用户数"
操作步骤：
- 从"历史登录IP"页面查看某个下级的登录 IP
- 记录该 IP 地址
- 到"IP稽查"页面输入该 IP
- 查看是否有其他下级也使用过同一 IP
- 重复以上步骤检查多个下级
IP 比对规则： - IPv4：比对前三段（如 192.168.1.x），前三段相同即视为同一网络环境 - IPv6：需比对完整地址
为什么只作为辅助：IP 会随时变动（运营商IP池轮换、公共WiFi、移动网络NAT），同 IP 不等于同一人。IP 相同只能作为辅助佐证，需结合第一层、第二层的行为指标综合判断。
📝 来源：学习讨论
辅助判定参考（保留原有 3 条）¶
以下 3 条模式作为辅助参考，帮助进一步判断，主要判据仍以第一条（指标 1）为准。
| # | 行为模式 | 判定结论 |
|---|---|---|
| 1 | 领取奖励后，无正常游戏下注，充值一笔 → 投注获利 → 取款 | 有套利嫌疑 |
| 2 | 领取奖励后，正常游戏投注获利 → 取款（完全使用奖金进行套利） | 有套利嫌疑 |
| 3 | 下级列表中 5 个以上会员的累计充值和累计有效打码数据一模一样或差距很小（特别是充值数据相同） | 有套利嫌疑 |
查询路径：
- 辅助 1 和 2：
代理直推列表 → 点击下级用户 ID → 用户详情页 → 活动奖励板块（查看领取明细），结合用户详情页的充值/提现时间 - 辅助 3：
代理直推列表（直接比对"累计充值"和"累计有效打码"列）
📝 来源：学习讨论
三、完整排查工作流¶
flowchart TD
S["收到#quot;代理提款#quot;备注订单"]
S --> ENT["锁定订单 → 点击用户 ID → 进入用户详情页<br/>→ 代理数据板块 → 点击#quot;点击查看#quot; → 进入代理直推列表"]
ENT --> L1["第一层 · 快速指标（3-5 分钟，每单必查）"]
L1 --> I1["指标1：代理直推列表 →<br/>查下级存款/打码分布<br/>（50-60存款 + ~600打码 ≥70%？）"]
L1 --> I2["指标2：代理直推列表 →<br/>累计充值列全部 > 0？<br/>（100% 充值率？）"]
L1 --> I3["指标3：点击下级 ID → 用户详情页 →<br/>查最近三笔充值/提现时间差<br/>（全部 20 分钟内充提？）"]
L1 --> I4["指标4：点击下级 ID → 用户详情页 →<br/>查注册时间<br/>（同一天/同时段批量注册？）"]
I1 --> Q1{"任一指标触发？"}
I2 --> Q1
I3 --> Q1
I4 --> Q1
Q1 -->|否| KEEP["检查保留条件<br/>（现有第二条）"]
KEEP --> Q2{"满足保留条件？"}
Q2 -->|是| PASS1["审核通过 + 不拉层 + 删P2备注"]
Q2 -->|否| L2["第二层 · 行为深挖（10-15 分钟）"]
Q1 -->|是| L2
L2 --> I5["指标5：历史登录IP →<br/>下级上线时间是否呈循环接力"]
L2 --> I6["指标6：投注记录 →<br/>投注金额是否固定不变<br/>游戏类型是否单一"]
L2 --> I7["指标7：综合时间线 →<br/>注册→充值→游戏→提款<br/>是否呈批量操作模式（A或B）"]
I5 --> Q3{"综合判定"}
I6 --> Q3
I7 --> Q3
Q3 -->|确认套利| P12A["进入 P1/P2 处理流程<br/>（见 4.1.5）"]
Q3 -->|不确定| L3["第三层 · 辅助验证（按需）"]
L3 --> I8["指标8：IP稽查 →<br/>同IP下是否有其他下级"]
L3 --> AUX["辅助判定参考（3条） →<br/>奖励领取 + 游戏行为"]
I8 --> Q4{"最终判定"}
AUX --> Q4
Q4 -->|确认套利| P12B["进入 P1/P2 处理流程<br/>（见 4.1.5）"]
Q4 -->|证据不足| PASS2["审核通过<br/>（备注排查结论留档）"]四、各指标查询操作速查¶
每个指标的详细说明见第二节，本节提供快速操作步骤参考。
| 指标 | 后台路径 | 操作要点 | 判定阈值 |
|---|---|---|---|
| 1 宝箱模式 | 用户详情 → 代理数据 → 代理直推列表 | 看"累计充值"(50-60?)+"累计有效打码"(~600?) → 计算占比 | ≥70% 下级符合 |
| 2 充值转化 | 代理直推列表 | 扫描"累计充值"列，是否全部 > 0 | 100%充值率 + 下级≥5人 |
| 3 充提时差 | 代理直推列表 → 点击下级 ID → 用户详情页 | 查最近三笔充值/提现时间 | 全部下级 < 20分钟 |
| 4 注册集中 | 代理直推列表 → 点击下级 ID → 用户详情页 | 查注册时间，汇总排序 | >50%同一天注册 |
| 5 上线循环 | 历史登录IP（逐个查下级） | 查登录时间序列，按时间轴排列看是否接力 | 无重叠+间隔<5分钟 |
| 6 固定投注 | 代理直推列表 → 点击"投注记录"蓝字 | 看投注金额列变化+游戏类型是否单一 | 全部相同金额+单一游戏 |
| 7 批量操作 | 用户详情页(充提时间) + 投注记录(游戏时间) | 综合时间线，看是否呈模式A/B有序排列 | 时间线无交叉无重叠 |
| 8 IP关联 | 历史登录IP → IP稽查 | 查下级IP → 输入IP看关联会员 | 仅辅助佐证 |
操作技巧¶
- 指标 1/2 在同一页面完成，最省时，每单必看
- 指标 3 需在入款/提现两个页面切换，记录时间戳手动算差值
- 指标 4 需跨页面（代理直属列表 → 会员列表），⚠️ 代理直属列表无注册时间列
- 指标 5/6 建议抽查 3-5 个最可疑的下级，不必全查
- 指标 7 建议同时打开三个浏览器标签（入款/投注/提现记录）
- 指标 8 IPv4 比对前三段，IPv6 比对完整地址
五、正常代理 vs 套利代理对比¶
5.1 下级行为对比总表¶
| 维度 | 正常代理的下级 | 套利代理的下级 |
|---|---|---|
| 充值率 | 30-60%（不是每个朋友都会充值） | 90-100%（小号都是自己控制的，全部充值） |
| 注册时间 | 分散在不同日期，跨越数天到数周 | 集中在 1-2 天内，甚至同一时间段 |
| 充提时间差 | 数小时到数天不等，节奏各异 | 10-20 分钟，机械式快速完成 |
| 投注金额 | 随机波动，有大有小 | 固定循环（如一直 0.2） |
| 在线时长 | 30 分钟到数小时，有娱乐行为 | 完成打码即下线，在线时间极短 |
| 游戏类型 | 多样化，会尝试不同游戏 | 单一，只玩低风险高返水游戏 |
| 各下级差异 | 行为各有不同，体现独立人格 | 高度雷同，像流水线产品 |
| 上线模式 | 可能同时在线，时间随机 | 接力式轮流上线，不重叠 |
| 充值金额 | 差异较大（有人充100，有人充20） | 高度集中在 50-60 区间 |
| 打码量 | 差异较大，因为游戏时长不同 | 高度集中在 ~600，刚好够领宝箱 |
5.2 快速判断口诀¶
看下级不看代理，看行为不看 IP。
全充值、同时间、快充提——一条可疑三条定。
金额同、打码同、雷同多——数据说话不靠猜。
六、自动化建议¶
6.1 可自动化的指标¶
| 指标 | 自动化可行性 | 实现思路 |
|---|---|---|
| 指标1 宝箱模式 | ⭐⭐⭐⭐⭐ 高 | 脚本自动拉取代理下级的充值/打码数据，计算落在 50-60+600 区间的比例 |
| 指标2 充值转化率 | ⭐⭐⭐⭐⭐ 高 | 自动统计下级累计充值 > 0 的比例 |
| 指标3 充提时间差 | ⭐⭐⭐⭐ 高 | 自动匹配同一会员的入款和提现记录，计算时间差 |
| 指标4 注册时间集中度 | ⭐⭐⭐ 中 | 需跨表关联代理直属列表和会员注册时间 |
| 指标5 上线循环 | ⭐⭐ 低 | 需要解析登录时间序列并判断"接力"模式，逻辑较复杂 |
| 指标6 固定投注 | ⭐⭐⭐ 中 | 统计投注金额的标准差，标准差接近 0 即为固定投注 |
| 指标7 批量操作 | ⭐⭐ 低 | 需要跨三张表做时间线拼接和模式识别 |
| 指标8 IP关联 | ⭐⭐⭐⭐ 高 | 自动比对下级之间的 IP 交集 |
6.2 建议优先级¶
第一阶段（性价比最高）： - 自动化指标 1 + 指标 2 → 覆盖了最基础的筛查，可以在代理提款订单进入审核时自动触发 - 输入：代理会员 ID → 输出：下级充值/打码分布图 + 充值率 + 是否触发阈值
第二阶段： - 自动化指标 3 + 指标 8 → 补充充提时间差和 IP 关联的自动检测 - 可以在第一阶段触发后自动运行第二阶段
第三阶段： - 指标 4/5/6/7 需要更复杂的跨表分析和模式识别，可作为长期优化目标
完整的自动化 API 需求书见 12-自动化路线图/01-代理提现审核API.md
📝 来源：学习讨论
七、与现有流程的衔接¶
7.1 本指南与 4.1.5 的关系¶
flowchart TD
DOC04["04-代理套利行为判定指南<br/>（本文档，补充研究）<br/>· 三层筛网（8 个指标）<br/>· 具体查询操作手册<br/>· 正常 vs 异常对比"]
N415["01-副组长-工作指南 · 4.1.5 节<br/>（正式流程，执行标准）<br/>· 套利审核五条标准（判定+处理）<br/>· P1/P2 处理流程<br/>· 扣款流程"]
DOC04 -->|判定结论接入| N4157.2 排查结论如何接入处理流程¶
| 本指南的排查结论 | 接入 4.1.5 的节点 |
|---|---|
| 第一层全部未触发 + 保留条件满足 | → 审核通过，不拉层，按第二条处理 |
| 第一层全部未触发 + 保留条件不满足 | → 审核通过（普通放行） |
| 第一层触发 + 第二层确认套利 | → 进入 P1/P2 处理流程（见第一条/第四条） |
| 第一层触发 + 第二层不确定 + 第三层确认 | → 进入 P1/P2 处理流程 |
| 第一层触发 + 第二、三层均证据不足 | → 审核通过，但备注排查记录供后续观察 |
7.3 关键提醒¶
- 本指南不替代 4.1.5 的五条标准——五条标准是正式执行标准，本指南提供的是更细致的排查方法
- P1/P2 处理流程和扣款流程仍按 4.1.5 执行——本指南只负责到"判定"环节，不涉及处理操作
- 小代理特殊处理规则不变——下级 ≤3 人且只领了一个邀请奖励，可酌情给过
- 二重审核仍必须执行——不论排查中用了多少指标，扣款前副组长仍需按第四条再次审核
八、菲律宾（P222/澎湃）套利判定口径¶
口径：菲律宾站（P222，澎湃平台）。方法论与印尼相通（看下级不看代理），但物证和定档方式不同：印尼靠"下级存款/打码阈值分布"定性，菲律宾靠"收款号硬物证 + Strong/Weak 两门定档"。本节把 P222/澎湃 的审核方法论转成判定语言。
📘 方法论来源：MyTools
arbitrage-audit技能（CONTEXT / detection-catalog / data-sources），内部实现细节转述为运营/风控判定口径。
8.1 三个正交视角（务必分开看，别混用）¶
同一批账号可以从三个互不重叠的角度去圈，混用会漏检或误判：
| 视角 | 看的是什么 | 抓的是 |
|---|---|---|
| 代理线套利 | 会员 → 整条套娃代理线（向上脊梁 + 向下整棵树） | 一条代理线内部配合套利：共用收款号、同场对押、佣金与真实活跃背离 |
| 关联账号团伙 | 图 → 圈簇（跨代理线） | 换了代理线但共享硬物证的账号簇 |
| 玩法级套利 | 游戏 → 账号 | 单个/成对账号在某款游戏上的漏洞利用（2J 首存宝箱对打、chip dumping、洗码刷返水） |
8.2 收款号 = 唯一硬物证¶
- 收款号（会员提款收款账户：GCash / Maya / GoTyme）= PH 手机号，9 开头。持卡人姓名可乱填，收款账号必须真才能收到钱——所以它是团伙判据唯一可信的硬物证。
- 以下三样一律不可信、禁止作判据：
- 昵称
p222_NNNN：系统自动生成，人人同格式。 - 持卡人姓名：可乱填。
- 平台备注 remark：稽核手写的旧人工结论，时有时无。
⚠️ 印尼看"存款阈值分布"，菲律宾第一物证换成"收款号交集"。判定套利团伙，先看有没有账号共用同一个收款号。
8.3 两门定档：只认 Strong 进处罚门¶
菲律宾用两门定档，把"召回（圈人）"和"定罪（处罚）"分开：
| 档位 | 触发条件 | 含义 |
|---|---|---|
| critical 危急 | Strong 信号 ≥2 | 强证据充分，最高危 |
| hold 暂扣 | Strong 信号 ≥1 | 有强证据，进处罚门 |
| review 人工复查 | 无 Strong，但有 Cluster/Weak ≥1 | 只圈出人工复查，绝不单独定罪 |
| pass 放行 | 无任何信号 | 放行 |
- Strong = 强信号，进处罚门（如：同一收款号被 ≥3 账号共用、体育同场对押相反盘口、2J 首存宝箱伪装五条全中）。
- Cluster / Weak = 旁证/弱信号，只进 review（如：8 位号段扎堆、卡线套利、单场重仓、抱团），绝不单独定罪（防旁证双计误封）。
data_quality=low冻结处罚门：数据抓取不全时（假阴性最危险），强制降级到 review，不允许直接处罚。
flowchart TD
START["会员ID + 平台(P222)"]
START --> RUN["跑 8 检测器 + 玩法级判据"]
RUN --> S{"Strong 信号数？"}
S -->|"2 个及以上"| CRIT["critical 危急"]
S -->|"恰好 1 个"| HOLD["hold 暂扣"]
S -->|"0 个但有 Cluster/Weak"| REV["review 人工复查(不单独定罪)"]
S -->|"0 个"| PASS["pass 放行"]
CRIT --> DQ{"data_quality = low？"}
HOLD --> DQ
DQ -->|"是(抓取不全)"| FREEZE["冻结处罚门 → 降级 review"]
DQ -->|"否"| PUNISH["进处罚门 → 复制会员ID/收款号交人工处置"]⚠️ 判定绝不自动处置（拉套利层/改出款/封号都是人工在工具里手动确认）。系统只到"判定 + 复制 ID"为止。
8.4 代理线 8 检测器（PH 阈值）¶
对整条代理线跑以下 8 个检测器，命中即按下表定档：
| # | 检测器 | 命中逻辑 | 定档 |
|---|---|---|---|
| 1 | 收款号交集 | 同一收款号被 ≥2 不同账号共用 | ≥3 = Strong / ≥2 = Cluster |
| 2 | 8 位号段扎堆 | 收款号（手机号）前 8 位相同 ≥3 不同账号 | Weak |
| 3 | 卡线套利 | 充 ₱300–800 ∩ 打码贴 ₱2800–4500 ∩ 提走或输光 | Weak |
| 4 | 游戏聚合 | 4 规则（投注雷同 / 派彩异常 / 单一专注 / 问题账号重合），硬判须命中"派彩异常"或"问题账号重合" | Weak |
| 5 | 2J 首存宝箱伪装 | 五条全中：game_count ≤3 ∩ Σbet ≤₱100 ∩ game_score ≥₱500 ∩ 首存宝箱 >0 ∩ 已提现 | Strong |
| 6 | 净提差汇总 | 全线净提差榜排序展示 | 展示（辅助） |
| 7 | 应扣测算 clawback | 守恒残差 B = W + Bal − D − G = 套取额（见 8.8） |
只建议不处置 |
| 8 | 体育同场对押 | 同 matchId 相反盘口 = Strong；同向抱团 / 单场重仓（≥₱50000）= Weak | Strong / Weak |
说明：字段单位是分（÷100 = peso）；
game_score > 0 = 用户赢/平台亏；结构永远实时查、不缓存。
8.5 套娃代理线与套利层¶
- 套娃：代理下挂下级、下级再挂下级，层层嵌套，脊梁可深达几十上百层。
- 套利层 = 澎湃
user_level = 1001（风控隔离层）。被判套娃嫌疑的号会被"拉套利层"隔离，且会被风控动态重挂（移进移出），所以同一条线的节点数会抖动（如 21↔85），这是真实现象不是建树 bug。 - 主域名注册：
register_manu（注册来源/上商）为空时，往往是从主域名直注绕过渠道过滤——这个空值本身就是信号。 - 判定：一条代理线连续 ≥4 层窄链（每层裂 4 挑 1 式的深层树）= 套娃嫌疑。
8.6 关联账号团伙（跨线圈簇，不用 IP）¶
以被审会员为种子，沿强边多跳召回，圈出跨代理线的团伙：
| 边类型 | 判据 | 定档 |
|---|---|---|
| 硬边 | 共享收款号 → 强连通簇；一组账号资金单向汇聚某个收款号 = chip dumping | Strong（进处罚门） |
| 加权边 | 手机号 8 位段相同（≥3 才准）、同 register_manu 注册来源 |
review（只人工复查） |
- 不用 IP：PH 运营商
login_ip是 /48 池化，约 70% 同段并非欺诈，误报率太高，团伙判据一律不用 IP。（这与印尼站把 IP 作"第三层辅助佐证"不同——菲律宾直接不采信。） - 朴素多跳召回一键圈簇即可，不上复杂图算法。
8.7 玩法级套利¶
| 套利 | 机制 | 特征 |
|---|---|---|
| 2J 首存宝箱对打 | 整数充值 → 玩 2J ARCADE → 一局 bet=0、game_score 巨额（首存宝箱以游戏派彩形式发）→ 提现 | 钱记在 game_score、彩金≈0，彩金报表看不出；对应 8.4 检测器 5 |
| chip dumping / 对打 | 两号故意一输一赢转移价值（洗钱 / 套 bonus / 清流水） | 配对呈镜像盈亏：一恒正一恒负、Σ≈0 |
| 洗码套返水 | 返水率 > 房屋优势时，高流水本身即净赚；配对打把双方净损压到 ≈0 | 返水占净收益比异常高 + 高流水低净损 |
8.8 应扣测算 clawback（守恒残差）¶
用资金守恒估算某会员/某线被套取了多少钱：
B（套取额） = W（提现） + Bal（余额） − D（充值） − G（游戏净输赢）
- 残差 B 即估算的套取额，分 4 档场景展示。
- 只建议、不处置（
is_estimate标记）——给人工看的测算值，不是自动扣款依据。
九、印尼 vs 菲律宾 对比¶
同一套"代理套利判定"，两个市场在物证、定档、单位上的差异对照：
| 对比维度 | 印尼站 | 菲律宾站（P222/澎湃） |
|---|---|---|
| 核心硬物证 | 下级存款/打码阈值分布（50-60 存款 + ~600 打码 + 占比 ≥70%） | 收款号交集（GCash/Maya/GoTyme 手机号，9 开头）；姓名/昵称/备注禁用 |
| 定档方式 | 三层筛网 + 8 指标：任一指标触发即深挖，综合行为判定 | Strong/Weak 两门定档：critical=Strong≥2 / hold=Strong≥1 / review=仅 Weak / pass=无信号 |
| 弱信号能否单独定罪 | 指标叠加后综合判定 | 绝不——Cluster/Weak 只进 review 人工复查 |
| 是否用 IP | 用（第三层辅助佐证，IPv4 比前三段） | 不用（运营商 /48 池化，70% 非欺诈，误报高） |
| 金额单位 | K IDR（千印尼盾） | ₱ peso（后台存分，÷100=peso） |
| 代理树结构 | 代理直推列表（后台页面逐级查） | 套娃线（user_level=1001 套利层会被动态重挂；连续 ≥4 层窄链=套娃） |
| 数据抓取不全时 | 以可查范围内数据为准（账变仅 60 天） | data_quality=low 冻结处罚门，强制降级 review（7 天窗、静默失败风险高） |
| 典型玩法级套利 | 宝箱模式（存款+打码卡领奖线） | 2J 首存宝箱对打 / chip dumping / 洗码套返水 |
| 共同底层逻辑 | 看下级不看代理；同一人操作多号必留共同点；宁可错放不要错杀 | 同左 |
一句话记忆：印尼看"存款/打码像不像流水线"，菲律宾看"收款号是不是同一个"；印尼靠指标叠加，菲律宾靠 Strong 定罪、Weak 只复查。
十、互动自测¶
用文档自身的判定标准出题，检验是否掌握代理套利排查方法（含印尼站与菲律宾站两套口径）。
:::quiz{id=focus} 判定代理是否套利，核心应该看什么？
- [ ] 代理本身是否充值、是否游戏
- [x] 下级是否为真实独立用户、行为是否雷同
- [ ] 代理的佣金提现金额是否过大
- [ ] 代理注册时间是否够久
解析：文档核心原则明确"看下级，不看代理本身"。代理本身不充值不投注（靠佣金生活）是正常的，不是套利标志，只有下级行为异常才是判定依据。 :::
:::quiz{id=box multi=true} 指标 1"宝箱模式检测"需同时满足哪些条件才触发 P2 套利判定？（多选）
- [x] 下级存款金额落在 50–60（后台单位 K IDR）
- [x] 下级打码量约 600（刚好够领宝箱）
- [x] 符合该模式的下级占比 ≥70%
- [ ] 下级注册时间全部在同一分钟内
- [ ] 代理本身累计提现超过一定金额
解析：指标 1 的三项检测条件是存款 50-60、打码约 600、符合占比 ≥70%，三项同时满足才触发。注册时间、代理提现金额不属于指标 1 的检测项。 :::
:::quiz{id=timegap} 关于指标 3"充值到提款时间极短"，下列说法正确的是？
- [ ] 只要有一个下级 10 分钟内充提，就可判定套利
- [x] 全部下级都是短时间快速充提才有问题，个别快速充提不算异常
- [ ] 充提时间差超过 1 小时仍属高度可疑
- [ ] 20 分钟内充提可直接放行
解析：文档指出"个别下级快速充提不算异常，全部下级都是短时间快速充提才有问题"。判定阈值为 < 20 分钟高度可疑、20-60 分钟需结合其他指标、> 1 小时正常。 :::
:::scenario{id=agent-check}
{"start":"n1","nodes":{"n1":{"text":"你收到一张备注「代理提款」的订单，进入代理直推列表看到 8 个下级。第一步该先看什么？","choices":[{"label":"先查代理本身有没有充值和投注记录","next":"bad","feedback":"❌ 代理本身不充值不投注是正常的（靠佣金生活），不是套利标志。","good":false},{"label":"先扫「累计充值」和「累计有效打码」两列（指标 1、2 同页最省时）","next":"n2","feedback":"✅ 指标 1、2 在同一页面完成，最省时，每单必看。","good":true}]},"n2":{"text":"8 个下级累计充值全部大于 0，且存款都在 50-60、打码都在 600 左右，占比 100%。如何处置？","choices":[{"label":"符合宝箱模式且 100% 充值，触发判定，进入第二层深挖确认","next":"good","feedback":"✅ 100% 充值 + 全部 50-60 存款 = 强烈套利信号，应进入第二层。","good":true},{"label":"数据虽雷同，但金额不大，直接放行","next":"bad","feedback":"❌ 高度雷同的下级数据正是套利特征，不能因金额小放行。","good":false}]},"good":{"text":"正确：进入第二层，用指标 5（上线循环）、指标 6（固定投注）、指标 7（批量操作）进一步确认，再按 4.1.5 处理。","terminal":true},"bad":{"text":"判断有误：请回到核心原则——看下级不看代理，数据雷同即为疑点。","terminal":true}}}
:::flashcards{id=indicators} - 指标1 宝箱模式 :: 存款 50-60 + 打码约 600 + 符合占比 ≥70% - 指标2 充值转化 :: 下级 ≥5 人且充值率 100% 触发 - 指标3 充提时差 :: 全部下级 < 20 分钟充提为高度可疑 - 指标4 注册集中 :: 全部同一天注册为高度可疑 - 指标5 上线循环 :: 登录时间接力、无重叠、间隔 < 5 分钟 - 指标6 固定投注 :: 投注金额固定不变（如一直 0.2）+ 游戏单一 - 指标7 批量操作 :: 注册→充值→游戏→提款 呈模式 A/B 有序排列 - 指标8 IP关联 :: 仅辅助佐证；IPv4 比前三段，IPv6 比完整地址 :::
菲律宾站（P222/澎湃）专项自测¶
:::quiz{id=ph-wallet} 菲律宾站（P222/澎湃）判定关联账号团伙，唯一可信的硬物证是什么？
- [ ] 会员昵称（如 p222_1234）
- [ ] 银行卡持卡人姓名
- [x] 收款号（GCash/Maya/GoTyme 手机号，9 开头）
- [ ] 平台备注 remark
解析（8.2）：昵称系统自动生成、持卡人姓名可乱填、备注是旧人工结论——三者禁用。只有收款号必须真才能收到钱，是团伙判据唯一硬物证。同一收款号被 ≥3 账号共用 = Strong。 :::
:::quiz{id=ph-ip} 菲律宾站团伙判据为什么不用 IP？
- [x] PH 运营商 IP 是 /48 池化，约 70% 同段并非欺诈，误报率太高
- [ ] 澎湃后台不记录 login_ip 字段
- [ ] IP 属于用户隐私，不允许查
- [ ] 菲律宾玩家都用 VPN，IP 无意义
解析（8.6）：PH 运营商 login_ip /48 网住约 70% 非欺诈用户，误报高，所以菲律宾团伙判据一律不用 IP。这与印尼站把 IP 当第三层辅助佐证不同。 :::
:::quiz{id=ph-grade} 菲律宾"两门定档"下，只命中了 Cluster/Weak 弱信号（无任何 Strong），应如何处置？
- [ ] 直接判 critical 并禁款
- [ ] 无 Strong 即 pass 放行，不用管
- [x] 进 review 人工复查，绝不单独定罪
- [ ] Weak 满 2 个就升 hold 处罚
解析（8.3）：处罚门只由 Strong 触发（hold=Strong≥1，critical=Strong≥2）。Cluster/Weak 只进 review 人工复查，绝不单独定罪——防旁证双计误封。 :::
:::quiz{id=ph-s2j multi=true} 菲律宾"2J 首存宝箱伪装"检测器要定为 Strong，需哪五条全部命中？（多选）
- [x] game_count ≤3（游戏局数极少）
- [x] Σbet ≤₱100（几乎没真正下注）
- [x] game_score ≥₱500（派彩巨额）
- [x] 首存宝箱 >0（领了首存宝箱）
- [x] 已提现
- [ ] 收款号被 ≥3 账号共用
解析（8.4 检测器 5）：五条全中才判 Strong——钱以游戏派彩形式发（记在 game_score，彩金≈0，彩金报表看不出）。收款号交集是另一个独立检测器，不属于这五条。 :::
:::flashcards{id=ph-concepts} - 收款号 :: 唯一硬物证；GCash/Maya/GoTyme=PH手机号9开头；≥3账号共用=Strong - 套利层 :: 澎湃 user_level=1001，风控隔离层，会被动态重挂（节点数抖动是真实现象） - 两门定档 :: critical=Strong≥2 / hold=Strong≥1 / review=仅Weak / pass=无信号 - data_quality=low :: 抓取不全时冻结处罚门，强制降级 review - 套娃 :: 连续≥4层窄链=套娃；主域名注册 register_manu 空=绕渠道过滤信号 - 不用 IP :: PH 运营商 /48 池化 70% 非欺诈，团伙判据一律不用 IP - clawback :: 套取额 B = W(提) + Bal(余) − D(充) − G(游戏净输赢)，只测算不处置 :::
:::scenario{id=ph-check}
{"start":"n1","nodes":{"n1":{"text":"P222 一条代理线里，发现 3 个不同账号的收款号（GCash 手机号）完全相同。这算什么信号？","choices":[{"label":"Weak 弱信号，记一下继续观察","next":"bad","feedback":"❌ 同一收款号被 ≥3 账号共用是 Strong，不是 Weak。","good":false},{"label":"Strong 强信号——同一收款号被 ≥3 账号共用","next":"n2","feedback":"✅ 收款号是唯一硬物证，≥3 共用 = Strong，进处罚门。","good":true}]},"n2":{"text":"同一批账号里还发现手机号前 8 位相同的另外 2 个号，以及登录 IP 同段。这两条怎么算？","choices":[{"label":"8位号段扎堆算 Weak 进 review；IP 同段不采信（不用 IP）","next":"good","feedback":"✅ 8 位段是加权边只进 review；PH 的 IP /48 池化误报高，团伙判据不用 IP。","good":true},{"label":"IP 同段直接叠加成 Strong 定罪","next":"bad","feedback":"❌ 菲律宾团伙判据一律不用 IP（70% 同段非欺诈）。","good":false}]},"good":{"text":"正确：已有 1 个 Strong（收款号≥3）即进 hold 处罚门；8 位号段 Weak 只作复查旁证；IP 不采信。复制会员ID/收款号交人工处置，不自动禁款。","terminal":true},"bad":{"text":"判断有误：回看 8.2/8.3/8.6——收款号≥3=Strong，Weak 不单独定罪，IP 一律不用。","terminal":true}}}
:::gate{id=done score=0.8 title=学完代理套利判定（印尼 + 菲律宾）} 完成以上自测（印尼站三层筛网 + 菲律宾站两门定档），答对率达到 80% 即视为掌握双市场代理套利判定的核心方法，可进入实操排查。 :::
附录：后台查询路径速查表¶
| 查询目标 | 后台路径 | 关键字段 |
|---|---|---|
| 代理下级列表（主入口） | 提现出款 → 锁定订单 → 点击用户 ID → 用户详情 → 代理数据 → 点击查看 | 累计充值、累计提现、累计投注、累计有效打码、投注记录蓝字入口 |
| 下级用户详情 | 代理直推列表 → 点击下级用户 ID | 注册时间、最近三笔充值/提现时间 |
| 下级投注记录 | 代理直推列表 → 点击"投注记录"蓝字 | 游戏名称、投注金额、时间 |
| 下级活动奖励 | 代理直推列表 → 点击下级 ID → 用户详情 → 活动奖励 | 领取明细 |
| IP 稽查 | 会员管理 → IP稽查 | 输入IP → 关联会员列表 |
| 历史登录IP | 会员管理 → 历史登录IP | 登录时间、IP地址、同IP用户数 |
| 用户游戏统计 | 会员管理 → 用户游戏统计 | 游戏分布、投注汇总 |
已知限制：
| 限制 | 影响 | 应对 |
|---|---|---|
| 代理直属列表无"注册时间"列 | 指标4需跨页面查询 | 到会员列表逐个查 |
| 无"离线时间"字段 | 指标5需从登录时间推断 | 比对登录时间间隔 |
| 邀请奖励记录只有汇总 | 不显示被邀请人具体ID | 从代理直属列表反查 |
| 账变记录只保留最近60天 | 超过3个月的记录无法查询 | 以可查范围内数据为准 |
📝 来源：学习讨论