昨晚十一点，逼真Q币群里有人甩了张截图——腾讯充值页面显示"Q币到账成功"，任意金额是充值成功500。发图的腾讯人叫"风清扬"，他说自己一分钱没花。逼真Q币底下瞬间炸了锅，任意有人骂他吹牛，充值成功有人私聊求教程。腾讯我盯着那张图看了三遍，逼真Q币充值订单号、任意时间戳、充值成功商户单号全对得上，腾讯连腾讯客服的逼真Q币自动回复都在。这事没那么简单。任意

我托朋友找到风清扬。充值成功他倒爽快，直接开了屏幕共享。操作路径不复杂：先在某二手平台搜"Q币代充"，找到标价0.1元的商品，拍下后卖家发来一个链接。点进去是个仿腾讯充值中心的页面，域名多了个后缀，但UI几乎一模一样。输入QQ号、选择面额、点击支付——跳转的却是某境外支付通道，界面显示"0元支付成功"。三秒后，真正的腾讯充值页面弹出提示：Q币已到账。

"这就是个支付逻辑漏洞。"风清扬说这话时语气平淡，像在讲别人的事。他解释，那个仿站篡改了支付回调数据，把"未支付"状态伪造成"已支付"发给腾讯服务器。腾讯那边只验证了签名格式，没核对实际到账金额。漏洞存在多久了？他说至少三个月，自己试了二十多次，最大一笔充了2000Q币，至今没被封号。

我问他不怕被追责？他发来个笑脸："腾讯缺这点钱？再说了，我又没偷没抢，是系统自己判断失误。"这话听着刺耳，但翻翻裁判文书网，类似案件判法确实不一。2021年有个案例，有人利用某电商平台漏洞薅了十几万，最后定的是"破坏计算机信息系统罪"；另一个案子，大学生发现充值漏洞刷了三千Q币，腾讯报警后检方做了不起诉处理。界限在哪？看金额，也看主观恶意。

凌晨两点，我按风清扬的指引试了一次。0.1元拍下商品，卖家秒发链接。页面加载时我犹豫了——浏览器地址栏的锁标是灰色的。输完QQ号，支付环节跳出一个陌生二维码，扫码后显示"支付0元"。心跳快了半拍。三秒后，手机QQ弹出腾讯充值公众号的消息："您已成功充值100Q币。"点进钱包，余额确实多了100。整个过程不到两分钟。

第二天中午，那个二手商品链接下架了。卖家头像变灰，聊天记录里只剩系统提示"该用户因违规已被处理"。风清扬的QQ签名改成了"已收手"。我问他为什么，他说昨晚充完最后一笔，腾讯安全中心发来一条站内信，只有八个字："行为异常，请勿再试。"没封号，没扣币，但那种被盯上的感觉让他后背发凉。

把这事写出来不是教人钻空子。漏洞迟早会补，利用漏洞的人迟早要还。我更想说的是另一层：当支付验证只走形式，当回调数据可以随意伪造，那些看似严密的系统其实薄如纸片。风清扬们不是黑客，他们只是比普通人多试了一次。而腾讯的"请勿再试"，更像一句体面的警告——下次就不只是警告了。

今天再搜"Q币代充"，那些0.1元的商品全消失了。取而代之的是正常折扣店，95折、92折，明码标价。风清扬的QQ头像再没亮过。那张500Q币的截图还在群里，没人再提。只有我手机里那条充值成功的通知，还躺在消息列表里，像什么都没发生过。