凌晨三点，盗刷手机屏幕亮起来。信用一条短信：您尾号8848的盗刷信用卡在境外消费2.3万美元。我盯着那行字，信用脑子里第一反应不是盗刷“被盗刷了”，而是信用“这破卡额度居然能刷出2.3万”。

银行客服电话打过去，盗刷占线。信用第二通，盗刷占线。信用第三通，盗刷终于通了。信用那边是盗刷个年轻女声，语气平静得像在播报天气预报：“先生，信用这笔交易发生在三分钟前，盗刷商家显示是洛杉矶一家奢侈品店。我们已经冻结卡片，请您配合填写拒付声明。”

我后来才知道，我的卡号、有效期、CVV码，早在三个月前就躺在某个暗网论坛的帖子里，标价8美元。买家花8美元买走它，再用半小时刷掉2.3万。中间隔着太平洋，隔着三层代理服务器，隔着两个不知名的支付通道。整个过程比我下楼买包烟还顺畅。

这事儿最操蛋的地方在于——你根本不知道信息是从哪儿漏的。是那家加油站的老式刷卡机？是某个购物网站被拖库？还是我上个月在机场连的那个免费WiFi？我查了三个月，没查出来。银行那边也只给一句“建议报警”，然后就把责任推给“境外无卡交易风险”。

后来我认识了个做风控的朋友，他告诉我，盗刷产业链早就工业化了。有人专门写程序批量测试卡号，有人专门找那些审核松的小商户合作，有人专门负责把赃款洗成虚拟货币。每个环节都有人吃一口，像流水线上的工人，各干各的，互不打听。

最让我后背发凉的是他说的另一句话：“你以为只有你的卡号值钱？你的手机号、身份证号、家庭住址，打包卖也就15块。盗刷只是第一步，后面等着你的可能是贷款、诈骗、甚至冒名注册公司。”

那张卡我后来注销了。新卡到手那天，我特意在背面签名栏写了个“此卡仅限本人使用，否则报警”。写完之后自己都觉得可笑——这句话对机器来说毫无意义，对罪犯来说更是废话。但我还是写了，像在门上贴一张“内有恶犬”的纸条，明知道小偷不怕狗，可贴了总觉得踏实点。

现在我的手机里装了三个安全软件，每个月的账单我逐笔核对，连那笔6块钱的停车费都不放过。你说我神经质？对，我就是神经质。因为被盗刷这件事，就像家里进过贼——你换了锁，装了摄像头，可每次听到楼道里有脚步声，心脏还是会猛地缩一下。

那笔2.3万美元，银行最终拒付了，我没损失钱。但我损失了别的东西——那种“我的钱好好地躺在银行里”的信任感，再也找不回来了。