公众号旧文
免费 VPS 最高送三年
#便宜没好货
“免费 VPS，最高送三年。”
如果你平时混 VPS、服务器、运维或者网络技术圈，看到这种活动，大概很难完全没有一点兴趣。
毕竟一台 VPS 哪怕配置再低，一年也要几十甚至上百块。现在有人告诉你，不要钱，注册一下，再拉几个朋友，最长可以白嫖三年。
点进去看看，好像也没什么损失。
但最近出现的“极点云 PolarNode”事件告诉我们：
有时候，你以为自己在薅羊毛，真正被薅的可能是你自己。
事情发生在 2026 年 9 月初。
一个名叫“极点云 PolarNode”的网站突然出现，打着“免费 VPS”的旗号做所谓的内测预约。
页面做得相当像那么回事。
硅谷、首尔、香港节点，服务器配置、带宽、预约人数、活动倒计时，该有的都有。
活动规则也很懂互联网用户的心理：
先预约，可以免费获得 VPS；
邀请朋友注册，还可以继续增加免费使用时间；
邀请得越多，送得越久，最高甚至可以获得三年使用权。
于是链接很快开始在 VPS、运维、网络技术以及加密货币相关论坛和群组里传播。
每一个参与邀请的人，实际上都在免费帮攻击者扩大传播范围。
问题是：
这个网站真正想送给你的，可能从来就不是 VPS。
安全研究人员随后对网页代码进行了分析，发现页面中加载了针对 iPhone 的恶意利用代码。
根据公开的技术分析，当部分使用旧版本 iOS 的用户通过 Safari 打开页面时，攻击代码可以尝试直接利用浏览器和系统中尚未修复的漏洞。
危险之处就在这里。
传统钓鱼网站往往需要骗你做点什么。
比如：
让你输入 Apple ID；
让你下载一个 App；
让你安装描述文件；
让你点击“允许”；
甚至让你手动打开一个恶意文件。
但高级浏览器利用并不一定需要这些步骤。
你觉得自己只是打开网页看了一眼，对攻击者而言，这一次网页访问本身就可能已经足够。
研究人员在相关代码中发现了与 DarkSword、Coruna 等 iOS 高级利用框架相似的痕迹。
其中 DarkSword 并不是什么普通网页木马。
Google Threat Intelligence Group 在今年 3 月披露过这套攻击链：DarkSword 由多个漏洞组成，可以从 Safari 浏览器漏洞一路向系统更深层推进。Google 当时确认，它使用了 6 个漏洞，并曾出现在商业监控软件厂商以及疑似国家级攻击者的攻击活动中。
换句话说，这原本是那种过去更多出现在“高级持续性攻击”“商业间谍软件”报道里的东西。
现在却开始出现在一个看起来像：
“注册账号免费领 VPS”
的网站背后。
这才是整件事情真正值得警惕的地方。
很多懂技术的人，防骗意识其实并不低。
看到“投资稳赚”“刷单返利”“恭喜中奖”，可能一眼就关掉了。
但换一种包装：
“免费 VPS”
“内测服务器”
“免费云主机”
“注册送一年”
“限量机器”
“香港节点白嫖”
很多人的警惕心就会瞬间下降。
因为这个诱饵不是为普通大众设计的。
它非常清楚自己的目标用户是谁。
玩 VPS 的人往往同时懂服务器、网络、代理、域名、加密货币，有的人手机里还装着交易所、Authenticator、密码管理器、Telegram，甚至直接保存着钱包和助记词相关信息。
对于攻击者来说，这群人的设备价值可能远远高于普通用户。
所以送你一台价值几十块钱的 VPS，哪怕真送，都未必亏。
更何况，它甚至可能根本不需要真的送。
做一个漂亮的活动页面，买一个新域名，编几个服务器套餐，再设计一套邀请码裂变机制，就可以让用户主动把恶意链接发送给更多同类型用户。
这是一套非常漂亮的社会工程学模型。
攻击者甚至不需要自己到处发广告。
受害者会主动替他发。
因为大家脑子里想的是：
“这个活动好像挺值，我的邀请码你也注册一下。”
而不是：
“我正在帮一个未知网站精准寻找更多使用 VPS、加密货币和 iPhone 的目标。”
这也是为什么我看到这件事以后，第一个想到的就是一句很俗的话：
便宜没好货。
当然，这句话不是说网上所有便宜 VPS 都有问题，更不是说所有免费服务都是诈骗。
真正应该警惕的是：
当一个来源不明的平台，突然给出明显超出正常商业逻辑的优惠时，你至少应该先问一句——它为什么愿意付这个成本？
一家正常 VPS 商家可以送一个月，可以送优惠券，可以用低价吸引新用户。
但一个刚注册不久、没有清晰公司主体、没有长期运营记录的网站，突然告诉你：
免费送几年服务器。
这时候真正需要思考的已经不是：
“这 VPS 能不能跑 Docker？”
而是：
“它靠什么赚钱？”
如果你完全找不到答案，那么还有另一种可能：
你不是客户。
你本身就是商品。
这几年大家已经慢慢习惯了不要点击陌生 EXE、不要安装来路不明的 APK、不要随便输入密码。
但移动设备攻击正在提醒我们一个更麻烦的现实：
未来有些攻击，甚至不会给你一个明显的“危险操作”。
浏览网页本身，就可能成为攻击面。
尤其是 iPhone 用户，不要因为“苹果比较安全”就长期拒绝更新系统。
DarkSword 的公开分析已经说明，即便漏洞后来都被修复了，只要用户仍然停留在旧版本系统上，这些已经公开的漏洞依然可以被重新组合成有效攻击链。
所谓 n-day 漏洞最可怕的地方就在这里：
厂商已经补了。
攻击者也已经知道怎么打了。
但你的手机还没更新。
这时候漏洞对于攻击者而言，几乎就像一道已经公布答案、但你还没有修改密码的门锁。
所以如果你的 iPhone 仍然停留在旧版 iOS，最简单有效的事情不是研究几十个 CVE 编号，而是：
打开“设置 → 通用 → 软件更新”，升级到这台设备目前能够获得的最新安全版本。
如果曾经访问过来源可疑的类似活动页面，同时设备当时又处于明显较旧的 iOS 版本，则应当提高警惕。尤其是手机里保存有重要账号、加密资产或者高价值工作数据的人，可以进一步考虑更换重要账号密码、检查登录记录，并根据风险程度评估是否需要彻底重置设备。
安全世界里有一句话其实一直没有过时：
免费的东西往往最贵。
一台 VPS 一年可能只值几十块钱。
你的邮箱、Telegram、照片、密码、身份凭据、工作资料和数字资产，可不止这个价。
所以下一次再看到：
“永久免费”
“白送三年”
“限量 VPS”
“不抢血亏”
不妨先别急着复制邀请码。
先想一想：
这次到底是谁在薅谁的羊毛？