Case Study · Infrastructure Teardown

218 / 213 賭博詐騙網絡
完整調查分析

永誠貴賓會（218 系列）與 PG娛樂（213 系列）—— 兩個以香港及內地賭客為目標的離岸非法賭博推廣網絡。本文逐層拆解入口鏈、域名池、DNS 指紋、IP 基建、API 加密、代理後台、佣金追蹤與可打擊面。

分析日期 2026-09-17 最後更新 2026-10-19 樣本 2 個活躍網絡 · 60+ 域名 · 47 IP 方法 DNS / WHOIS / 頁面捕獲 / JS 逆向
⚠️ 教育用途聲明 — 本頁是反詐騙調查報告，不是賭博推廣。文中所有域名、IP、客服連結僅為證據記錄與辨識用途；請勿前往、勿註冊、勿存款。這些站點屬非法離岸賭博，存款不受任何法律保障，且普遍與洗錢、詐騙及個資販賣相關。本頁與任何真實公司、品牌均無關聯。

SECTION 01執行摘要

兩個網絡表面無關（不同品牌、不同註冊商、不同技術棧），但運作模式完全一致：用一個多年前註冊的「乾淨」老域名做品牌入口，實際內容放在一批同日批量註冊的新域名上，再以隨機子域名、備用線路、假瀏覽器、即時客服把人導向真正的原生 App。域名每週輪換，所以黑名單永遠追不上。

維度218 — 永誠貴賓會213 — PG娛樂
平台BBIN 白標（BB電子／BB視訊／BB體育）TruckSDK／OpenShare 門戶網（merchant FNQ2）
入口218.com → 假 Loading → 185.186.146.156:8080 → 218yc.com213.com → 302 → 隨機子域 *.213NNNN.cc
備用線路2182999 / 2183111 / 2183666 / 2185666（:9900、:8866）213h5tz*.cc（H5）＋ 213h5004–08.cc（假瀏覽器）
註冊商GoDaddy（批量）Gname（批量）
DNSCloudflare ＋ 自建 *cne.com NS 層單一 Cloudflare 帳戶（dan / rosemary）＋ 阿里 DNS
核心技術Vue 原生 App ＋ AES-256-ECB APIH5 門戶 ＋ Spring Boot 網關（K8s）
後台已發現 ag.218920.com（代理／佣金／風控）未對外暴露（僅 spring 404）
變現方式代理佣金 ＋ 玩家存款代理佣金（agentName=）＋ App 導流
為什麼這種站一定不能碰：沒有牌照、沒有存款保障、沒有爭議處理機制。域名隨時被換掉、客服隨時失聯、App 是側載（sideload）安裝 —— 它同時取得你手機的完整權限。贏錢只是畫面上一串數字，出金時就會出現「流水不足」、「風控審核」、「賬戶異常」。

SECTION 02218 網絡 — 永誠貴賓會（BBIN 白標）

2.1 入口鏈

218.com  ──▶  假「Loading…」頁
   └─ JS: atob("aHR0cDovLzE4NS4xODYuMTQ2LjE1Njo4MDgw") = http://185.186.146.156:8080
   └─ http://185.186.146.156:8080/?r=<base64(當前網址)>   → 301
   └─ https://www.218yc.com/    （TLS 指紋閘門：curl 得 000，真瀏覽器才過）

2.2 備用線路：真正的 App 就在這裡

域名端口行為IP（地區）
2182999.com:9900302 → /web/#/first → App 200146.88.161.34（WoodsDale「KRJPL」）
2183111.com:8866同一個 App，200146.88.161.34
2183666.com:9900同一個 App，200103.241.116.187（WoodsDale KR）
2185666.com:9900同一個 App，200103.241.116.187

四條線路共用同一組自建 NS：SNM1A0G.317dccne.com / SNN3A0G.317dccne.com。頁面上還列出 www81019827016236468.<line>.com —— 17 位數字 www 前綴，同一條線路可以生成無限個唯一主機名，專門用來繞過「整域封鎖」。

2.3 App 內部（解包所得）

身分與模板

alias = ZGo4ODg2（base64 → dj4886）

server alias = dj8886 · 模板 dj8886

標題 = 永誠貴賓會 · 主題 7 · 只做手機版（max-width 454px）

追蹤與 CDN

GTM = GTM-5PQDSQV

CDN = g4.cldfvn.com / cdn4.cldfvn.com

遙測 = www992073.ats.elegancepath.online:3637

遊戲供應商（i18n 字串 1,257 條，全簡中）：BBIN（BB電子／視訊／體育）、PG、CQ9、PT、PP（Pragmatic）、KY、JDB、FG、SW、SG、AW、PS、MT、ACE、KA、GTI、LEG、TP、TIAN、XBB、MegaCasino（大滿貫）、FP。玩法：百家樂、龍虎鬥、輪盤⋯⋯全部是白標接入，即這個品牌自己不開發遊戲，只負責拉客與收錢。

2.4 API 加密（已破解）

所有 /entrance/api 流量 = JSON → AES-256-ECB，金鑰 = MD5(alias) 的 ASCII 位元組，外層再包兩層 base64。這代表「加密」只是防止旁人順手讀取，不是真安全 —— 金鑰完全由 alias 推導，拿到 App 就能算出來。

3 個啟動請求：
  lang    → 1,257 條 i18n 字串
  init    → 197 個 key 的完整設定（CDN、連結、導航、橫幅）
  config  → 遊戲分類（element / article / jp / casino / card / sport / live）

API 面：/infe/mcenter、/infe/user/pwdlogin/*、/infe/rest/promotions/advertise/*、/infe/marquee/homeHotNews、/entrance/jackpot/jackpotPoolList、/entrance/offer/、/entrance/sendmail/sendMail、/m/verify/mkcode（驗證碼）。

域名輪換系統

host_utils.js 內建端口池 9900 / 5569 / 6899 / 7730 / 8866：getHost() 打 /api/hostnames → 反向代理到 ai-cli.airegioncare.com/api/mem_domain（AWS Global Accelerator），並用 get.wadidowe.net:9988/api/get_ip 取得訪客真實 IP 與 key_id。兩個端點其後都收緊成 HIHI／ip_not_allow。這就是「為什麼網站天天換域名」的技術答案。

2.5 代理後台（公開在互聯網上）

ag.218920.com — CNAME ag-dj8886.ld0088cne.com → GCP 34.54.245.238 → /vi/ 是 Vue 3 ＋ Element Plus 的完整賭場管理後台，API base /paa/api/，回應標頭洩漏 K8s pod 名 agent-cli-node-api-6cdbcb49bc-6lzhv。

從 SPA 的 JS 可見功能模塊：會員投注統計、佣金查詢、層級管理、積分記錄、現金／紅利、贏家榜、域名 IP 白名單、登入碼、存取／登入結構報表、兩步驗證與設備綁定、子帳號、推送中心、報表匯出、/paa/api/hall/redirect。高價值證據

2.6 域名家族與 *cne.com 指紋

218 網絡有一個非常一致的簽名：自建 NS 域名全部以 cne.com 結尾。跨 GoDaddy 與 Name.com 都出現，證明是同一個運維團隊：

NS 域名服務對象
317dccne.com2182999 / 2183111 / 2183666 / 2185666 / 218920
amjshcne.comvir888.com、vir999.net（平台本體）
wu2222cne.comtripleexperience.net（假瀏覽器）
jmm7788cne.comkco7a3h5.com（BBIN flash loader）
ld0088cne.comag.218920.com（代理後台）

平台本體（App 的 hostname 正則）：local.vir888.net、www-dev.vir888.com、www.bb-in555.com、www.vir999.net。其中 vir888.com 註冊於 2005-11-29 —— 這個網絡至少運作了二十年。vir999.net 有公開的 Google Search Console 驗證 TXT，等於把營運者的 Google 帳戶指紋留在 DNS 裡。

SECTION 03213 網絡 — PG娛樂（門戶農場）

3.1 入口鏈

213.com  ──302──▶  https://yy2iaikt.213001.cc/?agentName=ZYM   (門戶頁，200)
                     └─ CNAME 14da6ec7.skr005.cc
                        └─ gcdca92.cdn.skr005.cc
                           └─ 186.240.215.18 / .47  (Iens，新加坡 geo)

213.com：Gname 註冊、1996-02-24（同樣是 30 年老域名），NS 是 dan/rosemary.cloudflare.com —— 與整個 213 門戶池同一個 Cloudflare 帳戶。即品牌入口已被直接接管到營運基建上。

門戶頁（title「欢迎回家」）固定配置：merchant FNQ2、代理 ZYM、客服 yybet213cscht.yixiangmeiju.top/kefu/…（base64 解出 data3:2911:89:196:0:zh:4022:131:90:data3）、97 客服號 219wy3sj35、頁腳 COPYRIGHT©2025 PG娱乐。

3.2 門戶池（全部批量註冊）

池域名註冊NS
主門戶2138051–2138059.cc ＋ 3128060.cc2026-07-24（Gname，同一分鐘）dan/rosemary（CF）
H5 門戶213h5tz0069–71 → 0072–74（每週遞增）部署當日新註冊同上
假瀏覽器213h5004–08.cc（chrome / firefox / quark / 寰宇 / opera）2026-07-24同上
中繼skr004.cc ＋ skr005.cc2025-04-30（同一分鐘）阿里 DNS
三個可直接用於執法的指紋：
① 18 個域名共用同一對 NS → 單一 Cloudflare 帳戶即可一次下架；
② 主池同一分鐘批量註冊（Gname）→ 同一次操作、同一個付款人；
③ 門戶池是泛解析（wildcard DNS） —— 任何 8 位隨機子域名都能解析，所以「換網址」成本幾乎為零。

另注意 3128060.cc 這類手誤域名（應為 2138060）：連打字打錯的人都被接住，是典型「把 typo 也買下來」的流量收割。

3.3 SDK 後端

主機角色備註
gw.gwpg.cc生產網關→ skr004.cc → 137.220.152.41（Iens 東京）；同一 CF 帳戶
gateway.cocokobe.comAWS 網關CNAME 洩漏 K8s 集群名 「ccgame」（AWS NLB）
app.cocokobe.comApp 下載CloudFront
h5.e107–e122.ccH5 池CloudFront；部分已荒廢（見 §3.5）
app-2wsx.ee131.cc / int-app-1qaz.ee131.ccApp 鏡像家族Amazon Registrar 2023-11-08
gymk9r.mianmashe.com下載主機Gname 2017-05-25
yybet213cscht.yixiangmeiju.top客服138.113.55.202（Meteverse HK）
97chat.app97 聊天 IM169.150.230.98（Datacamp）—— 客服號在此收客
m1.openfpcdn.ioFingerprintJS每個訪客都被取設備指紋

3.4 追蹤與佣金

?agentName=ZYM 是代理編號。所有入口、備用線路、二維碼都帶這串，玩家每一次存款都會按比例回佣給代理。這就是「為什麼有人不停在群組貼連結」的商業模式：不是為了賭，是為了抽佣。

3.5 已荒廢的 H5 池（重要觀察）

3.6 後台：對外沒有暴露（已驗證的否定結果）

admin.213001.cc、ag.213001.cc、/admin、/manager、/webadmin、/phpmyadmin 全部落在泛解析的門戶頁（9,027 B「欢迎回家」），不是面板。gw.gwpg.cc 回傳 Spring Boot 風格 JSON 404 —— 商家後台是跑在 K8s「ccgame」裡的 Java 服務，沒有公開入口。這是有價值的結論：不是每個網絡都會像 218 那樣把代理後台放上網。

SECTION 04共用基建指紋 — 一眼認出同一批人

① 老域名開路

218.com（1998）、213.com（1996）—— 品牌入口一定是多年老域名，內容一定在新域名上。老域名讓過濾器「看起來正常」。

② 同日批量註冊

同一個註冊商、同一分鐘、同一個 NS 對。這是「同一次操作」最硬的證據，比任何內容相似度都可靠。

③ 隨機子域名＋泛解析

8 位隨機字母前綴、17 位數字 www 前綴。目的是讓「封一個、長十個」成立。

④ 自建 NS 命名法

218 用 *cne.com 家族；213 用同一個 Cloudflare 帳戶。NS 是最難洗掉的指紋。

⑤ 假「瀏覽器」

「寰宇瀏覽器」、「chrome/firefox/quark/opera 下載頁」—— 全部是同一個 APK／側載包的包裝。

⑥ 真客服在人手 IM

網站上沒有真客服，只有 97chat／m2gnkr 聊天窗 → 真人接手 → 引導存款。這一步才是詐騙核心。

SECTION 05IP 與託管清單（47 個唯一 IP）

218 側

入口中繼185.186.146.156（Cnservers，洛杉磯）
樞紐 CDN45.77.28.136（Vultr 東京）
備用線路146.88.161.34、103.241.116.187（WoodsDale KR）
平台開發103.241.237.92 / .238（WoodsDale 印度）
217 CDN103.53.80.225（xTom 日本）
假瀏覽器103.240.219.191 · BBIN loader 103.241.113.49
GCP34.36.138.75（m2gnkr）· 34.54.245.238（代理後台）
AWS GA99.83.226.164 / 75.2.0.125（輪換 API）· 76.223.106.153 / 13.248.237.124（遙測）
輪換出口89.238.156.195（M247 英國）

213 側

門戶來源186.240.215.18 / .47、186.240.219.10、186.240.239.8 / .10（Iens，新加坡 geo）
網關137.220.152.41（Iens 東京）
客服138.113.55.202（Meteverse 香港）
97 聊天169.150.230.98、109.61.92.193（Datacamp）
213.com154.219.98.13（Vapeline 香港）
雲端CloudFront（鏡像／H5）· AWS NLB（網關）

托管商觀察：WoodsDale、Iens、Cnservers、xTom、M247 這類「灰色容忍」主機商是整個生態的底座。它們的共同點是：接受加密貨幣付款、對投訴反應慢、IP 段可以整段更換。真正有效的打擊點是 註冊商 ＋ Cloudflare ＋ 阿里雲 DNS，不是主機商。

SECTION 06時間線

2005  vir888.com ........... 平台域名源頭（BBIN 白標年代）
2013  bbinproblem.support .. BBIN 官方支援域名
2014  yixiangmeiju.top · 84992020.xyz
2015  vir999.net · 97chat.app
2016  bd742.com ............. 追蹤 stub
2017  mianmashe.com ......... 213 下載主機
2021  217jc02.com · bb-in555.com
2022  airegioncare.com（06）· wadidowe.net（08）
2023  218cdn.com（01）· cocokobe.com（09）· elegancepath.online（09）· ee131.cc（11）
2024  217cdn.com（06）· m2gnkr.com（07）· cldfvn.com（11）
2025  04-30  skr004 / skr005.cc（阿里 DNS 中繼層建好）
      09-18  218yc.com 上線
      10-28  vir888.net 重新註冊（2025 版重啟）
2026  07-24  213 主門戶池批量註冊 · 213.com 轉到營運方 Cloudflare
      09-15  H5 門戶 0069–71 當日部署
      09-17  門戶 0072–74 上線（被捕獲）
      10-19  新一輪捕獲：池內全部域名仍共用同一 NS 對

「當日註冊、當日部署」是最值得注意的模式：門戶域名壽命以天計，不是以月計。

SECTION 07打擊面（Takedown Surface）

層目標渠道
品牌入口218.com（GoDaddy）· 213.com（Gname）註冊商 abuse 表單
樞紐與線路218yc.com · 2182999/3111/3666/5666.com · 218920.comGoDaddy 法務入口
平台本體vir888.net · vir999.net · vir888.com · bb-in555.com各註冊商
CDN / DNScldfvn.com · 218cdn.com · 217cdn.com；CF 帳戶 clint/tess、marlowe/randy、henry/kami、clyde/phoenix、razvan/ziggy、dan/rosemaryabuse.cloudflare.com
輪換與遙測wadidowe.net · airegioncare.com · elegancepath.online註冊商 ＋ AWS abuse
213 池2138051–59.cc · 3128060.cc · 213h5tz*.cc · 213h5*.cc · skr004/005.ccGname ＋ 阿里雲
來源主機Vultr 45.77.28.136 · WoodsDale 146.88.161.34 / 103.241.x · Cnservers 185.186.146.156 · xTom 103.53.80.225 · GCP 34.36.138.75 / 34.54.245.238各托管商 abuse
效率排序（個人判斷）：① Cloudflare（一次投訴可打掉整個 213 池的解析）→ ② Gname（213 池的註冊商，同一付款人）→ ③ GoDaddy（218 品牌與線路）→ ④ 阿里雲 DNS（skr 中繼）→ ⑤ 托管商（最慢，通常只換 IP 就復活）。

SECTION 08十條辨識紅旗（給任何人看）

  1. 域名很老，內容很新。1996／1998 年註冊的域名掛著 2025 年的賭場頁 —— 老域名只是門面。
  2. 網址由一堆隨機字母組成。yy2iaikt.213001.cc、www81019827016236468.2182999.com —— 正常人不會這樣命名。
  3. 一開始就是「Loading…」動畫。真正的加載不需要三秒假動畫；那是為了同時跑指紋腳本與跳轉。
  4. 問你要不要「下載專用瀏覽器」。沒有正規賭場需要你安裝一個自製瀏覽器。那是側載 APK 的包裝。
  5. 客服只在 97chat／Telegram／WhatsApp 出現。沒有工單系統、沒有公司地址、沒有牌照號。
  6. 網址裡有一串 ?agentName=。你在替某個代理賺佣金，那個人可能就是你群組裡「分享好康」的人。
  7. 有所謂「備用線路」清單。正規平台不需要每天換網址。
  8. 存款用 USDT／支付寶個人碼／「代付」。錢一進就無法追溯，也無法退款。
  9. 出金要先「打流水」或「審核」。 贏的錢永遠差一點才能拿。
  10. 頁面叫你關掉廣告攔截器或「網絡安全軟件」。它想繞過的就是唯一能保護你的東西。

SECTION 09方法、證據與限制

方法

證據檔案

鏡像完整性（實測）

限制（必須說明）

▶ 互動模擬器 🎓 深度導覽 🪞 213 鏡像 🪞 218 鏡像 📄 原始調查檔案

SECTION 10建置與驗證紀錄

這一節是本頁與兩個鏡像的建置紀錄：做了什麼、用什麼方法驗證、以及哪些地方「看起來壞但其實是原站本身就壞」。留低紀錄的原因很簡單 —— 下次同類案件可以直接照這個流程重做。

交付物

交付物路徑內容
完整分析（本頁）demos/casino-scam-sim/analysis.html10 節：摘要、兩條入口鏈、基建指紋、IP 清單、時間線、打擊面、紅旗、方法限制、建置紀錄
213 門戶鏡像demos/casino-scam-sim/door.html「欢迎回家」頁全資產複本 ＋ 外部跳轉封鎖 ＋ 教育橫幅
218 樞紐鏡像demos/casino-scam-sim/hub.html「永诚贵宾会官方备用网址资讯站」全資產複本 ＋ 同上防護
原始調查檔案demos/casino-scam-sim/investigation-file.md197 行完整表格版（含每個域名／IP 的原始查詢結果）
安全模擬器 ＋ 導覽sim.html · tour.html逐頁複刻（所有按鈕只連本地）＋ 10 課深度導覽
建置規格prompts/casino-scam-sim-prompt.md可重建的完整步驟、陷阱與驗證方法

驗證（真瀏覽器，非推測）

檢查方法結果
卡片與按鈕Playwright 載入 /portfolio/，定位卡片並讀取按鈕6 個按鈕全部存在（Live Demo／完整分析／深度導覽／213 鏡像／218 鏡像／Files）
分析頁載入點擊按鈕 → iframe 內讀 h1 與 section 數標題正確，10 個 section
213 鏡像直接載入 ＋ 數 naturalWidth>0 的圖片10/10 圖片、10 個 CSS、12 個 script、頁高 3,147px
218 鏡像同上50/50 圖片、18 個 CSS、頁高 7,946px；另補 75 張 CSS 背景圖、61 個圖示
外部跳轉防護實際點擊 https://www.218yc.com/ 錨點彈出攔截提示、URL 不變（no-navigation 生效）
手機版溢出390px 視窗量 scrollWidth分析頁 390 = 390，無橫向滾動
4xx 稽核監聽所有 response ≥ 400218：只有頁面自己的 /api/hostnames；213：只有 4 張原站已失效的 /img/*.png

過程中修正的兩個真問題

  1. 橫幅掉進擴充套件 template：儲存頁內有多個 </body>（MaxAI 之類的擴充把整個 HTML 塞進 <template>），用「第一個 </body>」插入會令橫幅落在不會渲染的 template 裡 —— HTML 原始碼搜得到、瀏覽器 DOM 卻不存在。改用最後一個 </body> 後才真正顯示（用 DOM 檢查驗證，不是 grep）。
  2. 兩個 session 同時部署：部署腳本寫死同一個 /tmp/isaac-site-bundle，同時跑會出現 rsync 檔尾截斷並在 wrangler 之前中止，而外層 | tail 仍回報 exit 0。已改為先偵測、等對方完成，並以 log 內出現 Deployment complete 為準。

「看似缺漏、實為原站缺陷」清單

為何不提供更「完整」的鏡像

登入後的會員區、存款頁、遊戲大廳需要真實帳號才能取得 —— 本調查沒有亦不會註冊、存款或下載任何執行檔。因此鏡像的邊界就是「未登入前可見的公開頁面」，這一點必須誠實標明，否則任何「100% 完整鏡像」的說法都是假的。