把一台手机寄出去，虚拟三天后收到一个刷好机的视频刷机“新”设备，开机后系统提示要人脸识别。包过这时候你拿自己的人脸脸去扫，过不了。虚拟屏幕弹出“请使用原机主面部信息”。视频刷机这不是包过段子，是人脸闲鱼上某些“刷机包”卖家的日常售后对话。

所谓“虚拟视频刷机包”，虚拟说白了就是视频刷机一套预装了特定ROM和虚拟摄像头框架的安卓镜像。卖家把包发给你，包过你刷进手机，人脸再配合一个叫“VCAM”或类似名字的虚拟Xposed模块，就能在系统层面劫持摄像头调用。视频刷机微信、包过支付宝、银行App以为自己在调用真实摄像头，实际上拿到的是你提前放进去的一段视频——通常就是机主本人的点头、眨眼、张嘴。

这套东西最早在游戏工作室圈子里流传。批量注册账号需要过人脸，但不可能找几百个真人来扫。有人就写了虚拟摄像头模块，把预先录好的视频循环注入。后来二手手机贩子发现了，收来的机器解不开锁，直接刷这个包，把原机主的验证视频塞进去，转手当“已解BL锁”的机器卖。

我上个月在某个Telegram群里蹲了三天。一个卖家展示了他的“成功案例”：一台小米11，刷完包后打开某银行App，人脸识别界面直接跳过了活体检测，因为虚拟视频里的人在“摇头”。他报价80块一个包，附赠一段15秒的“通用人脸视频”——就是网上随便找的一个人对着镜头做动作的片段。我问他这能过支付宝吗，他说“看运气，有的版本行，有的不行，你得自己试”。

技术原理不复杂。安卓的Camera2 API允许应用层注册虚拟设备，Xposed模块把onPreviewFrame回调里的数据替换成视频解码帧。活体检测通常靠动作指令和纹理分析，但很多App只做了动作指令——让你转头你就转头，让你眨眼你就眨眼。虚拟视频里提前把这些动作做一遍，系统就认了。真正难搞的是那些带红外或3D结构光的机型，比如iPhone的Face ID，虚拟视频基本没戏。所以这套东西主要活跃在安卓中低端机市场。

风险在哪？第一，你的脸被录进去了。卖家给你的“通用视频”可能是别人的脸，但你如果自己录一段传上去，那你的生物特征就留在了一个来路不明的刷机包里。第二，银行App不是吃素的。去年开始，多家银行升级了活体检测，加入了随机动作和光线反射分析。你放视频，屏幕反光不对，直接拒。第三，卖刷机包的人随时跑路。群里的“技术支持”通常只持续两周，之后你刷完机发现过不了，找他，他回一句“版本更新了，等新包”。

更黑色幽默的是，有些买家买这个包是为了解开自己忘记密码的旧手机。结果刷完发现，手机里原机主的支付宝还在，人脸识别一过，直接能转账。这已经不是刷机了，是帮人洗钱。上个月广东警方破的一个案子，嫌疑人就是靠卖这种包，让买家去扫别人手机里的钱，抽成30%。

你要是真想刷机，老老实实去官方渠道申请BL解锁，等七天。别碰这种包。它过的不只是人脸，还有你的底线。