1月20日凌晨，拼多多现严重漏洞，任何用户均可随意领取100元无门槛优惠券。这一漏洞先是由职业“羊毛党”发现，后传播至网络，直至20日早上10左右才被拼多多官方修复。

当天下午一点，拼多多发布声明称，有黑伙产团伙通过一个过期的优惠劵漏洞盗取数千万元平台优惠券，进行不正当牟利。同时已向公安机关报案。

"没想到在系统没有任何数据安全漏洞的情况下，灰黑产还能利用规则漏洞薅走总价值数千万的优惠券。"拼多多发言人井然表示，羊毛党散尽，拼多多正在亡羊补牢中。他预测，已向警方报案，最终还能追回不少，实际资损大概率低于千万元。

一些消费者了解到此漏洞后，也开始领取优惠券，并购买可以快速到账的商品。例如，充值100元话费仅需4毛钱。且因未限量、未设置使用门槛，用户可无限领取并使用。

拼多多发现该漏洞后，部分用户未使用的优惠劵被收回。冲科技记者找到拼多多客服询问收回优惠券一事，对方回复称，对于收回优惠券的用户，拼多多将会补偿一张期限为50年的5元无门槛优惠券。

违反电商业“虚拟商品和投资品不适用优惠券”常识

熟悉行业的IT互联网工作者林先生表示，“这个很奇怪，而且对于电商/支付运营来说，犯的错误很低级。一般来说代金券都是不能用于Q币充值，手机支付，黄金购买，iphone手机这类几乎等同于现金的业务的，更别提还有自然人排重策略，同一手机号同一身份证同一账户同一设备只能使用一张券。"

林先生还表示，通常来说，在各个平台，8块、10块的无门槛券都很谨慎，手机话费券都是1块、2块，而且都转化率不错，这个100块无门槛券真是超出认知。这个锅、产品、运营、测试、风控，一个都跑不了。

拼多多公告中提及，此次事件源于一个"已过期的优惠券漏洞"，据了解，黑伙产团伙多将拼多多优惠券用于话费充值、Q币充值、黄金购买等，一些还在网络上晒出交易总额。

而实际上，游戏点卡、话费、虚拟币等虚拟、金银投资品交易过程简单，且能快速生效；专业羊毛党又大多通过网吧洗钱，平台想追回困难程度极高，此类漏洞出现概率理应很低。某上市电商平台负责人表示，优惠券不应应用于虚拟商品、金融等投资品，这是行业常识。

蜻蜓FM战略项目经理程彤博同样认为，此次事件后果与拼多多的风控控制有关。他在社交媒体上表示：“拼多多自己的风控没做好，包括没有限制单ID的领用数量、没有禁止充话费等货品，这种事情在淘宝上每年都有，从来没发生过这么大的事，拼多多这锅是背定了。”

法学家称拼多多可撤销优惠券

冲科技就此事采访了北京工商大学商法研究中心主任吕来明教授，他表示：“1.重大误解(表意错误)产生的合同，可以撒销。当然并非情况下经营者发行的优惠券都可以重大误解为由撒销。但我认为，今天拼多多这个构成了重大误解，可以要求追回。2.之前也有类似情形，电商经营者选择不追回而自行承担损失，是综合衡量各种利弊的选择，并非法律上不可以。3.有的时候也不排除经营者有意制造一个热点事件吸引流量。所以是Bug还是有意为之，还要根据具体细节判定。4.若用户用优惠券从商家买了东西，除非卖家已接到通知或明知出现Bug仍接受优惠券，否则，一般情况下，用户和卖家的买卖合同仍成立，平台Bug的损失可以向用户追偿，商家发货后可用此优惠券和平台结算。5.若是平台自营，用户用优惠券购买商品，则平台可要求撒销优惠券使用，买方应支付剩余价款，如不同意，可撒销订单。”

可以说，拼多多这次的损失，是自己给自己带来的。从以往的经历来看，其他大公司因自身问题造成失误，多数都是自掏腰包。对于拼多多来说，大概率也依然会是如此。不过从拼多多的声明来看，他们更主要是针对职业羊毛党进行追讨，而并非针对普通消费者。

什么是“薅羊毛”？

羊毛党属于搜集各大电子商城、银行、实体店等各渠道的优惠促销活动、免费业务之类的信息的人群。他们有选择地参与活动，从而以相对较低成本甚至零成本换取物质上的实惠。

而今天的职业羊毛党已经属于黑灰产业链。团伙化、规模化、自动化，规模不容小觑。羊毛党如今遍布互联网，通过利用优惠漏洞低价买进高价卖出，大量获利。

相关法律条文

现在大众最关心的就是，拼多多对于消费者大量使用漏洞消费券会不会追究赔偿；还有已经领取的优惠券，拼多多自动收回是否合法合规。冲科技就去查询了一下相关法律条文，供大家参考。

《中华人民共和国消费者权益保护法》 第十六条

经营者向消费者提供商品或者服务，应当依照本法和其他有关法律、法规的规定履行义务。经营者和消费者有约定的，应当按照约定履行义务，但双方的约定不得违背法律、法规的规定。经营者向消费者提供商品或者服务，应当恪守社会公德，诚信经营，保障消费者的合法权益；不得设定不公平、不合理的交易条件，不得强制交易。

《中华人民共和国消费者权益保护法》 第四十四条

消费者通过网络交易平台购买商品或者接受服务，其合法权益受到损害的，可以向销售者或者服务者要求赔偿。网络交 易平台提供者不能提供销售者或者服务者的真实名称、地址和有效联系方式的，消费者也可以向网络交易平台提供者要求赔偿；网络交易 平台提供者做出更有利于消费者的承诺的，应当履行承诺。网络交易平台提供者赔偿后，有权向销售者或者服务者追偿。网络交易平台提供者明知或者应知销售者或者服务者利用其平台 侵害消费者合法权益，未采取必要措施的，依法与该销售者或者服务 者承担连带责任。

《中华人民共和国消费者权益保护法》 第四十五条

消费者因经营者利用虚假广告或者其他虚假宣传方式提供商品或者服务，其合法权益受到损害的，可以向经营者要求赔偿。广告经营者、发布者发布虚假广告的，消费者可以请求行政主管部门予以惩处。广告经营者、发布者不能提供经营者的真实名称、地址和有效联系方式的，应当承担赔偿责任。广告经营者、发布者设计、制作、发布关系消费者生命健康商品或者服务的虚假广告，造成消费者损害的，应当与提供该商品或者服务的经营者承担连带责任。社会团体或者其他组织、个人在关系消费者生命健康商品或者服务的虚假广告或者其他虚假宣传中向消费者推荐商品或者服务，造成消费者损害的，应当与提供该商品或者服务的经营者承担连带责任。

《中华人民共和国电子商务法》 第十七条

电子商务经营者应当全面、真实、准确、及时地披露商品或者服务信息，保障消费者的知情权和选择权。电子商务经营者不得以虚构交易、编造用户评价等方式进行虚假或者引人误解的商业宣传，欺骗、误导消费者。

《中华人民共和国电子商务法》 第四十九条

电子商务经营者发布的商品或者服务信息符合要约条件的，用户选择该商品或者服务并提交订单成功，合同成立。当事人另有约定的，从其约定。

电子商务经营者不得以格式条款等方式约定消费者支付价款后合同不成立；格式条款等含有该内容的，其内容无效。