以公开披露的撞库案例为线索，说明泄露凭证如何被批量验证、转售与再利用，并给出个人可执行的防护动作。
事件时间线
撞库（Credential Stuffing）的可怕之处在于它不需要攻破目标系统。攻击者拿着从其他站点泄露的账号密码组合，用自动化脚本在成千上万个站点批量尝试。由于大量用户跨站复用同一组密码，命中率虽然只有个位数百分比，绝对数量却非常惊人。
T+00h 凭证包在小圈子内流转，样本可验证
T+06h 自动化脚本开始对主流站点批量试登
T+18h 有效凭证被分类打包（邮箱/电商/游戏）
T+40h 转售链条形成，价格随时效性快速衰减
T+72h 受害者陆续收到异地登录提醒
为什么改密码经常来不及
从泄露到被利用的窗口期常常短于用户收到通知的时间，而暗网百科相关渠道中的凭证流转速度又比多数人想象的更快。这意味着被动响应几乎必然滞后，唯一有效的策略是提前把损失面切小：每个站点使用独立密码，关键账号强制开启第二因素，并为高价值邮箱单独准备一个从不外泄的地址。
图示：credential-flow · 凭证扩散路径（CSS 渐变占位）
个人可以立刻做的四件事
- 用密码管理器生成随机长密码，彻底放弃记忆式规律密码
- 对邮箱、支付、云盘三类账号优先开启硬件或应用型二次验证
- 定期在权威泄露查询服务中检查自己的邮箱是否出现在已知泄露集合
- 关闭不再使用的旧账号，减少历史遗留的攻击面
泄露不可避免，可控的是泄露之后你还剩下多少防线。
[locked] 该条目引用的原始材料需自行核验来源，本站不存储也不分发任何加密网络地址。
[idle] 等待指令 ...
WARNING: 请使用洋葱浏览器访问深层链接，注意保护隐私；不要在任何未经签名验证的页面输入凭证或转账。