支付宝的陈某“顺手付”功能里有个隐藏的“亲密付”入口，陈某在2018年夏天盯上了它。利用他花了一个通宵，支付用三个手机号注册了十几个新账号，宝漏挨个测试系统在绑定他人银行卡时的陈某校验逻辑。凌晨四点，利用他发现了漏洞：当收款方是支付已实名认证的账号，而付款方是宝漏未实名认证的“临时账户”时，系统不会触发短信验证码。陈某
陈某立刻用这个漏洞给自己转了500块，利用成功了。支付他没停手，宝漏又转了一笔2000，陈某还是利用没触发风控。他后来跟朋友说，支付那晚他抽了半包烟，手一直在抖——不是怕，是兴奋得抖。他以为自己找到了一台ATM机的后门。
接下来的三天，他分批转出17万。每次都控制在3000元以下，间隔半小时以上，用的全是不同手机号注册的临时账户。他特意挑凌晨操作，因为那时候人工审核不在线，而系统规则在凌晨会放宽对“新用户首笔交易”的限额。这是他从一个电商运营群里学到的：很多平台为了拉新，会在深夜偷偷放宽风控阈值。
第四天下午，支付宝的风控系统终于把他的一条转账记录标记为异常。原因很蠢——他转给同一个收款账号的次数超过了5次，触发了“关系链分析”的规则。陈某没料到的是，支付宝的风控不是靠单笔金额，而是靠“图计算”识别资金流向的聚集性。他之前所有的小心翼翼，在算法眼里就是一张清晰的蜘蛛网。
警方找到他的时候，他正在网吧打游戏。账户里的17万，他只花掉了3万，买了一台二手笔记本和给女朋友买了个包。剩下的钱原封不动躺在支付宝余额里。他说自己本来想还回去的，因为漏洞在第三天晚上就被补上了，他没机会再转。
这个案子最讽刺的地方在于，支付宝的漏洞本身只存在了72小时，而且只影响“未实名临时账户”这一种冷门场景。但陈某的“聪明”用错了地方——他以为自己在对抗一个机器系统，实际上他是在对抗一个由无数工程师维护的、会不断自我修复的生态。系统漏洞可以补，但他留下的转账记录、设备指纹、网络IP，这些痕迹永远删不掉。
后来我查了裁判文书，陈某被判了四年。庭审时他反复强调“是系统先漏洞的”，法官一句话怼了回去：“系统漏洞不是你犯罪的许可证。”这话糙理不糙。技术圈子里有句老话叫“漏洞是代码的呼吸”，但呼吸是给有权限的人用的，不是给路过的贼用的。
说到底，支付宝这类平台的风控逻辑从来不是“防住所有攻击”，而是“让攻击成本远高于收益”。陈某以为自己在薅羊毛，其实是把自己活成了一只被算法标记的羊。那17万里有14万没花出去，但他照样得坐牢——因为法律看的是行为，不是结果。