验证码轰炸是指使用特定软件或工具，对特定目标进行短信验证码的恶意攻击，导致目标收到大量的验证码短信。这种行为确实需要一定的成本，主要包括以下几点。
1、短信费用：由于验证码通常是通过短信发送到目标手机上的，因此每个发送的短信都会产生一定的费用，这些费用通常由验证码服务提供商收取。
2、硬件和软件成本：进行验证码轰炸可能需要使用特定的软件或硬件工具，这些工具可能需要购买、维护或升级，从而产生相关费用。
3、时间成本：进行验证码轰炸需要花费大量时间，特别是当目标不断更换手机号码时，攻击者可能需要花费更多时间来寻找新的目标或更新其系统。
4、人力成本：如果是一个团队或组织进行验证码轰炸，那么还需要考虑人力成本，如人员工资、培训和管理等。
5、法律风险：在某些国家或地区，验证码轰炸可能涉及违法行为，因此还需要考虑可能的法律风险和相关的成本。
虽然单个验证码的费用可能不高，但大量发送会累积产生显著的费用，验证码轰炸不仅会带来经济成本，还会对目标个人或企业造成严重的困扰和不便，甚至可能导致数据泄露或其他安全问题，这种行为是不道德和违法的，应该受到谴责和打击。
