將平台自身漏洞的責任推給奈及利亞人：Celestia 水龍頭禁令真正揭示了什麼

2026年7月7日（UTC +8），Celestia Labs 聯合創始人兼執行長 Mustafa Al-Bassam（在 X 上更廣為人知的帳號為 @musalbas）發布了一則僅有兩行的道歉聲明，隨後悄然走紅：他的團隊發現大多數奈及利亞居民並未按預期使用水龍頭功能來測試產品，而是將發放的 5 美元提現，因此不得不阻止奈及利亞居民使用該功能。 

根據該執行長說法，奈及利亞的跨鏈轉出數量達 9,189 單位，是排名第二的英國（638 單位）的十四倍以上。德國、摩洛哥和荷蘭緊隨其後，數量均在 300 出頭，而美國僅為 214。 

禁令的細節出現在一個名為「bild」的帳號所管理的類似 Discord 的社群頻道中，該帳號使用標有「LAZY」的綠色樹懶頭像，這很可能是在致敬 Celestia 發布前的內部代號 LazyLedger。這條訊息並非單純的道歉，而是極力奉承。 

它讚揚奈及利亞人是世界上最具創造力的人群之一；肯定該國的文化輸出；稱當地人「天生不同」；並表示團隊出於「純粹的尊重」暫時對奈及利亞實施地理封鎖，禁止其使用水龍頭功能，同時強調如果奈及利亞人自行存入 TIA，仍歡迎使用該產品。 

文末宣稱，奈及利亞的影響力遍及音樂、時尚、科技和美食領域，並稱「未來屬於奈及利亞」。這條訊息表面上讀起來善意滿滿，但讚美背後的實質內容並未改變：只有一個國家，且僅此一個國家，失去了免費試用產品的權利。

水龍頭功能究竟發生了什麼事

水龍頭功能是加密貨幣產品中標準的新用戶引導工具。新用戶連接錢包，驗證人類身份後，會收到少量固定數量的代幣，通常僅夠支付交易手續費或演示跨鏈等功能。這些代幣並非用於提現，而是旨在產品內部消耗，從而產生團隊需要觀察的測試活動。

跨鏈數據顯示，水龍頭功能在「接收 TIA」和「立即跨鏈轉出」之間並沒有真正的限制。如果奈及利亞用戶在如此懸殊的樣本中佔比超過 90%，那是系統規範不足的可預測結果：當獎勵具有同質性、可攜帶且與實際產品使用聯繫鬆散時，任何地方的理性用戶都會選擇可用的退出途徑；奈及利亞用戶只是以比其他市場更快的速度和規模這樣做，從而更快地暴露了這一漏洞。 

Kled AI 的先例：形式相同，風險更高

兩個月前發生的 Kled AI 案例是這個故事更為詳盡的版本。Kled 是一家總部位於美國的數據市場平台，於 2025 年推出，付費給普通用戶上傳照片、視頻和其他內容，供 AI 公司用作訓練數據。該公司從奈及利亞應用商店下架了其應用程式，並對整個地區實施了 IP 封禁。 

創始人 Avi Patel 解釋說，經過幾個月的上傳後，公司發現奈及利亞的詐欺率高達約 95%，用戶大規模提交黑屏、重複照片以及 AI 生成或來自網路的圖片。據報導，在濫用規模變得無法維持之前，该平台在四個月內已支付了數十萬美元。

Patel 進行了一項明確的比較，這對聲譽造成了大部分損害：他指出，馬來西亞、印尼和菲律賓在用戶規模大十倍的情況下，詐欺率低於 10%。這種將一個國家單獨點名，而其他國家表現正常的框架，使得許多奈及利亞人將這項防詐欺決策解讀為對國民性的評判，而非平台失敗。 

反彈隨即而來，許多奈及利亞用戶指責該公司對該國進行刻板印象化，儘管 Patel 堅持認為該決定純屬商業驅動，與種族或國籍無關。在禁令實施前，該應用程式在奈及利亞確實擁有真實的影響力，在四個月內多次進入 Apple App Store 前 100 名，並吸引了超過 25,000 名用戶，這削弱了任何關於奈及利亞對該產品需求不真實的說法。

刻板印象承擔了主要責任

值得直接詢問的是，為什麼水龍頭耗盡事件和數據上傳事件都在濫用被發現後的幾週內，最終導致全國性禁令而非技術修復，以及為什麼用來為兩者辯護的語言如此依賴於國民性、「天生不同」、將 95% 的數字呈現為國民特徵，而不是描述漏洞本身。部分答案在於一個比這兩款產品早幾十年的腳本。假設是交易另一端的奈及利亞人很可能是詐欺者。

實際數據並不支持將其視為國民特徵。衡量網路犯罪來源最嚴謹的嘗試是牛津大學/新南威爾士大學世界網路犯罪指數，該指數將俄羅斯排在首位，其次是烏克蘭、中國、美國、奈及利亞和羅馬尼亞，這意味著包括美國在內的四個其他國家在整體網路犯罪威脅方面排名高於奈及利亞。 

奈及利亞領先的是一個單一且更狹窄的類別：奈及利亞在線上詐騙方面排名第一，而北韓在攻擊和勒索方面領先，英國則在變現和洗錢方面居首。 

同一項研究指出，在複雜程度方面存在顯著差異。俄羅斯和烏克蘭的網路罪犯運作高度技術化的行動，而奈及利亞罪犯則集中在技術含量較低的網路犯罪形式，這一描述既不符合水龍頭跨鏈行為，也不符合 Kled AI 的上傳濫用行為。

規模也很重要。奈及利亞經濟和金融犯罪委員會該國主要的反詐欺機構，在 2014 年至 2025 年間至少獲得了 20,011 項定罪，其中與網路犯罪相關的定罪僅佔一部分。即使將這些數字視為實際罪犯數量的嚴重低估，它們描述的也是一個小而可識別的犯罪少數群體，而非國民特徵。 

EFCC 主席本人也公開反駁了看似奈及利亞的詐欺即由奈及利亞人操作的假設：2025 年，他披露奈及利亞逮捕了 194 名外國國民，主要是中國人和菲律賓人，他們使用奈及利亞身份、電子郵件帳戶和 IP 地址，正是因為這樣做讓他們的詐欺行為在外人看來像是奈及利亞人所為。僅此單一案例就意味著，平台用來證明禁止奈及利亞合理的數據中，有一部分未知比例根本不是奈及利亞的活動；而是戴著奈及利亞面具的外國詐欺，利用了地理封鎖創始人所依賴的相同聲譽捷徑。

這並非否認他們的擔憂不合法，但他們的主張範圍更窄。每個國家都有一部分不良行為者，少數幾個國家比其他國家更專門從事詐騙類型的網路犯罪，而奈及利亞在低技術難度詐騙方面的具體、真實專業化仍然是一種少數中的少數現象，但當美國創始人需要為產品決策尋找快速且公開可辯護的理由時，這種現象就會被映射到所有 2.3 億多奈及利亞人身上。 

這就是替罪羊機制在起作用。對一個國家實施地理封鎖並稱之為「純粹的尊重」，比坦率承認產品自身的防護措施對於其所建立的激勵機制來說過於薄弱要快得多，而無論與實際數字相比多麼不成比例，國家的詐欺聲譽使得第一種選擇在不進一步解釋的情況下感覺合理。

這兩個案例具有共同的結構。美國平台構建了一個存在軟肋的功能：價值可以在最小化驗證且用戶嘗試無實際成本的情況下被提取。奈及利亞人與其他高移動設備滲透率、現金受限市場的用戶一起，迅速發現了這個軟肋，因為工人階級的智慧型手機經濟既有激勵機制，又有足夠的用戶密度，能在幾週內對系統中的任何洩漏進行壓力測試。平台隨後並未加強機制，而是對整個國家實施地理封鎖。

這種回應解決了眼前的失血問題，但也做了兩件值得明確指出的事情。首先，它將設計失敗視為人口統計學失敗。漏洞存在於產品的每個用戶面前，但只有一個國籍被要求離開。其次，它關閉的是市場而非漏洞；從未觸及漏洞的合法奈及利亞用戶、開發人員和測試人員與那些利用漏洞的人一起失去了訪問權限，而底層漏洞往往根本沒有詳細披露。 

這些都不能為詐欺開脫，假裝平台沒有面臨真實且昂貴的濫用也是不誠實的。如果準確的話，Kled 自身的數據描述了真正不可持續的損失率。但「我們被利用了，所以我們要禁止該國」是一個包裝成對人群觀察的商業決策。在這兩種情況下，更準確且更有用的說法應該是「我們的驗證機制對於我們建立的激勵來說太弱了」。這是關於產品設計的主張，也是創始人真正可以去修復的事情。