Device farms vs. liveops
Мы поймали ферму, которая 11 месяцев проходила наши же старые фильтры. Разбираем, как эволюционировали device farms, что их выдало — и какие сигналы нельзя подделать.
Как это началось
До января 2025-го мы считали, что наш антифрод работает «достаточно чисто». Потом один из аналитиков заметил странную корреляцию: 47 000 устройств с одинаковой моделью сенсоров.
Ферма использовала старые версии наших фильтров, которые мы сами публиковали в документации. Операторы фермы подстраивали поведение под каждый порог, который мы задавали, и проходили проверки как «чистые» игроки.
Мы решили разобрать этот кейс подробно: от того, как ферма маскировалась, до конкретных сигналов, которые её выдали. Это не теория — это живые данные из нашего пайплайна.
Анатомия
Новые фермы больше не просто спамят клики. Они эмулируют сессии, добавляют рандомизированные задержки и даже имитируют ошибки ввода.
Ключевая идея — «человеческий» шум. Ферма добавляет паузы 0.4–2.3 секунды между действиями, случайные свайпы мимо цели и редкие «ошибки» (тап по не тому элементу). Для старых фильтров это выглядело как живая аудитория.
Но под маской скрывается жёсткая структура: одна и та же последовательность сессий повторяется на десятках устройств с микроскопическими отклонениями. Это и есть главный маркер, о котором мы поговорим ниже.
Сигналы
Эти паттерны возникают из-за физической природы фермы и не имитируются рандомизацией поведения. Каждый из них проверяется напрямую по сырым событиям.
Паузы между действиями квантованы к значениям 0.4, 0.8, 1.2, 1.6 с — даже с «человеческим» шумом распределение остаётся пикообразным.
Одинаковый fingerprint акселерометра и гироскопа на сотнях устройств с разными «серийными номерами» и «моделями».
Ферма запускает и завершает сессии по расписанию, а не по «естественному» графику игрока — пик в 3:12 ночи и ровные интервалы между запусками.
Живые игроки закрывают игру, переключают приложения, уходят в спящий режим. Ферма держит сессию открытой почти непрерывно — без фоновых пауз.
Ряд устройств генерируют идентичные события с разницей <15 мс — признак общего источника или оркестрации, а не независимых игроков.
Ферма «проходит» контент по скрипту, но не исследует: глубина сессии и разнообразие экранов заметно ниже, чем у живых игроков той же когорты.
Практика
Шесть запросов к твоему warehouse или API, которые займут меньше часа и покажут, не спряталась ли у тебя ферма.
Дайджест + аудит
Подпишись на еженедельный дайджест о фроде и liveops — без спама, только конкретика. А если хочешь разовый аудит своих метрик — оставь заявку, и инженер GamePoe пройдёт с тобой по чек-листу выше.
Вопросы
Коротко о том, что спрашивают после прочтения расследования.
Нет. Современные фермы используют ротацию прокси и разные сетевые сегменты. IP — это первый, но самый слабый сигнал. Реальная поимка идёт по поведенческим и аппаратным паттернам.
Прогони чек-лист из шести запросов за последние 30–90 дней. Если найдёшь хотя бы два-три сигнала одновременно — это почти наверняка кластер. Дальше — изоляция и пересчёт метрик.
По нашим наблюдениям — раз в 6–10 недель, обычно после того, как издатель ужесточает порог. Поэтому статичные фильтры быстро устаревают: нужен непрерывный мониторинг базовой линии.
Разовый аудит метрик — от 120 000 ₽, в зависимости от объёма событий. Включает прогон чек-листа, разбор кластеров и отчёт с рекомендациями. Подписка на дайджест — бесплатно.
