凌晨两点，转账漏洞我盯着手机银行里那笔多出来的转账漏洞钱，心跳快得像刚跑完八百米。转账漏洞转账金额是转账漏洞4999.99元，来自一个备注为“房租”的转账漏洞陌生账户。

这不是转账漏洞天上掉馅饼，是转账漏洞我发现的漏洞。

事情要从三天前说起。转账漏洞房东催租，转账漏洞我急着用手机银行转账，转账漏洞输完金额点确认，转账漏洞系统提示“余额不足”。转账漏洞可我明明算过账，转账漏洞卡里钱够付房租。转账漏洞重新登录一看，转账漏洞发现上个月的水电费被重复扣款，物业公司说系统故障，七个工作日内退回。

故障？我盯着账单明细，突然觉得哪里不对劲。那笔重复扣款的时间戳，和我上个月手动转账给房东的时间只隔了四分钟。太巧了。

我试着给一个朋友转了1块钱，备注“测试”。他秒收。然后我让他原路退回，他操作时选了“转账”而不是“退还”。结果那1块钱，居然同时出现在了他的账户和我的账户。两边都显示到账，银行系统没有对账冲销。

漏洞不在银行，在转账流程本身。当你发起一笔转账，系统会生成两个记录：付款方的扣款记录和收款方的入账记录。如果收款方用“转账”功能原路退回，系统会生成第三笔记录——但不会自动核销前两笔。于是钱凭空多了一份。

我试了三次，每次都是1块钱，全部成功。第四次我转了5000块给朋友的账户，他退回，然后我们俩的余额都多了5000。我立刻把4999.99元转回自己另一张卡，留下1分钱作为测试标记。

现在，那张卡里躺着不属于我的钱。

我该还回去吗？当然该。但我没有马上操作。我想知道这个漏洞存在多久了，有没有人利用它干过更大的事。我翻遍了论坛，发现有人提过类似情况，但帖子很快被删。有个匿名用户说，他朋友用这个方法“刷”了二十多万，半年后才被银行发现，最后以“不当得利”起诉，判了三年。

三年。那点钱够坐三年牢。

我盯着那笔钱，手指悬在“转出”按钮上方。窗外天开始泛白，鸟叫了。我忽然想起上个月看到的新闻，说某支付平台因为系统升级，导致部分用户余额异常增长，平台追回时发现有人已经提现跑路。评论区全是骂那些“薅羊毛”的人，但没人问为什么系统会允许这种错误。

漏洞从来不是一个人的错。它是无数个“没被检查”的瞬间叠在一起：程序员少写了一条校验逻辑，产品经理没考虑到逆向流程，测试用例里没有“退款后再转账”这个场景。而我，只是恰好在一个凌晨，按下了那个按钮。

最终我把钱转了回去，附言“系统错误，请核实”。客服回了个自动回复，说会在三个工作日内处理。我关掉手机，躺回床上，却睡不着。

第二天早上，我的账户被冻结了。银行电话打过来，说检测到异常交易，需要配合调查。我解释了整个过程，对方沉默了几秒，然后说：“先生，您知道您这种行为属于什么吗？”

我说我知道。但我没说的是，在你们修正这个漏洞之前，一定还有人会试。

电话挂断后，我收到一条短信：您的账户已恢复正常，感谢您的配合。附件里是一份《风险提示告知书》，上面写着“严禁利用系统漏洞获取不当利益”。

我把那条短信截图存了下来。不是为了留证据，是为了提醒自己——有些钱，看着像白捡的，其实早就标好了代价。而那个漏洞，可能还躺在某个系统里，等着下一个凌晨醒来的人。

(责任编辑：知识)