# 锁屏偷走1万美元：Apple Pay漏洞五年无人修 ## 导语 你的iPhone锁屏了，Face ID没通过，密码也没输——但有人居然从你的手机上划走了10000美元。这不是科幻电影的桥段，而是2026年4月YouTube顶流频道Veritasium在一支将近59分钟的视频中亲自演示的真实攻击。更令人震惊的是，**Apple和Visa早在五年前就被告知这个漏洞，但至今无人修复**。这支视频上线一个月播放量突破650万，引发了全球科技圈对移动支付安全的空前讨论。当两家市值加起来超过4万亿美元的巨头互相甩锅时，普通用户的钱正暴露在风险之中。本文将深入拆解这个被称为"Ghost Tap"的攻击，揭示它背后的技术原理、产业博弈，以及你应该立刻做的事。 ## 视频背景卡片 | 项目 | 内容 | |------|------| | 视频标题 | How easy is it to steal $10,000 from a locked phone? | | 频道 | Veritasium | | 主持人 | Derek Muller（Veritasium）+ Marques Brownlee（MKBHD） | | 时长 | 58分54秒 | | 播放量 | 650万+（1个月内） | | 频道订阅 | 2080万 | | 发布日期 | 2026年4月15日 | | 核心主题 | Apple Pay + Visa Express Transit模式的安全漏洞 | ## 核心内容拆解 ### 一、Express Transit：一个为便捷而生的安全让步 Apple Pay的Express Transit（快捷交通）模式设计的初衷非常美好——在地铁闸机前，你不需要解锁手机、不需要Face ID验证，只需将iPhone靠近读卡器就能瞬间完成扣费进站。这个功能在全球几十个城市的公共交通系统中被广泛使用，包括纽约MTA、伦敦TfL、东京Suica等。 但便利从来都是安全的敌人。Express Transit模式的核心设计逻辑是：**跳过一切身份验证**。在正常Apple Pay交易中，系统要求Face ID、Touch ID或密码确认后才会生成一次性交易密钥。而Express Transit模式下，iPhone在检测到NFC信号后会直接响应，不做任何用户认证。这个设计决策本身就是一颗定时炸弹。 视频中原话指出：Express Transit模式本质上是Apple在便捷性和安全性之间做的一次"有意识的让步"。问题在于，这个让步的范围远超大多数用户的想象——**它不仅仅适用于地铁闸机**。 ### 二、攻击的技术原理：Ghost Tap如何偷天换日 英国萨里大学（University of Surrey）和伯明翰大学（University of Birmingham）的计算机科学研究团队发现了一种被称为"Ghost Tap"的中继攻击（Relay Attack）。Derek Muller在视频中与这些研究人员合作，完整演示了攻击的全过程。 攻击的核心原理可以用三个步骤概括： **第一步：伪造读卡器身份。** 攻击者使用一个经过特殊改造的POS终端（或自制的NFC设备），模拟公共交通系统的读卡器。关键在于利用"Magic Bytes"——一组未加密的标识符，让iPhone误以为面前站的是一个合法的地铁闸机。 **第二步：触发Express Transit响应。** 当攻击设备靠近受害者的iPhone（即使在口袋里）时，iPhone检测到NFC信号，认为是交通读卡器，于是自动进入Express Transit模式——完全不需要Face ID、Touch ID或密码。 **第三步：中继到真实支付终端。** 攻击设备将iPhone的响应信号实时中继（relay）到远处的一个真实Visa支付终端。此时，支付终端收到的是一个经过Apple Pay tokenize的合法支付令牌，金额可以是最高10000美元的任意数字。 整个过程中，**受害者完全无感知**。iPhone没有震动、没有弹窗、没有声音提示。MKBHD在视频中亲身体验了这一过程——他的iPhone静静躺在手中，屏幕锁定，而10000美元的支付已经完成。 ### 三、为什么只有Visa卡中招？ 这个漏洞并非影响所有Apple Pay绑定的银行卡。关键限制条件是：**必须同时满足Express Transit模式开启 + 绑定的卡片是Visa**。 这里涉及到支付网络的协议差异。Mastercard和其他卡组织在Express Transit模式下使用了不同的加密验证机制，能够区分"这是地铁闸机"还是"这是POS终端"。而Visa的协议在这个场景下缺少这种区分能力——或者说，**Visa信任了Apple告诉它的"这是一个交通支付"的声明，但没有独立验证这个声明的真实性**。 用更技术的语言来说：Apple Pay在Express Transit模式下生成的支付令牌包含了交易类型标识（transit vs. 零售），但Visa的处理流程在检测到特定"magic bytes"时，会跳过对交易类型的二次校验。这就给了攻击者伪造交易类型的空间。 ### 四、五年已知，无人修复：Apple和Visa的甩锅游戏 这可能是视频中最令人愤怒的部分。根据多方报道确认，**这个漏洞最早在2021年就被研究团队报告给了Apple和Visa**。当时BBC也对此进行了报道。然而五年过去了，双方都没有采取实质性的修复措施。 为什么？因为这是一场典型的"责任外部化"博弈： - **Apple的立场**：Express Transit是Apple Pay的一个功能，但实际的支付验证和风险控制是支付网络（Visa）的职责。如果Visa的协议能正确区分交通支付和零售支付，这个攻击根本不可能成功。 - **Visa的立场**：Apple设计了一个允许免认证支付的功能，Apple有责任确保这个功能不被滥用。如果Apple的NFC通信能更严格地验证对端设备的身份，攻击者就无法伪造交通读卡器。 正如Daring Fireball的John Gruber评论道：这是一个典型的"谁该为安全边界负责"的灰色地带。在Apple看来，Visa应该在支付网络层做验证；在Visa看来，Apple应该在设备层做防护。**结果就是：用户被夹在中间，承担着真实的财务风险。** InfoSecWriteups的一篇文章标题直白地概括了这个困境：*"Apple Knows. Visa Knows. Nobody Has Fixed It. Here's Why."* ### 五、攻击的现实可行性：没那么容易，但也不容忽视 需要公平地指出，这个攻击在现实中的执行门槛并不低。要成功实施Ghost Tap，攻击者需要： 1. 获取或自制特殊的NFC中继设备 2. 物理接近受害者（NFC通信距离通常只有几厘米） 3. 受害者必须同时满足：使用iPhone + 开启了Express Transit + 绑定了Visa卡 4. 在支付完成后，Visa的交易风控系统可能会检测到异常 AppleInsider将这种攻击描述为"不太可能发生在你身上"（improbable），但同时也承认它在技术上是完全可行的。Forbes的网络安全专栏作家Davey Winder则持更为严肃的态度，指出"低概率不等于零风险"，尤其是当攻击者有明确目标时（比如针对特定高净值个人）。 Veritasium的视频核心观点不是制造恐慌，而是强调一个更深层的问题：**当一个安全漏洞被两家万亿级别的公司互踢皮球五年不管时，这本身就是系统性的失败**。 ### 六、视频的叙事手法：科学传播的教科书 值得一提的是，这支视频不仅是技术内容的展示，更是科学传播的经典案例。Derek Muller做了几件非常聪明的事： **邀请MKBHD作为"受害者"角色。** Marques Brownlee是YouTube科技领域最有影响力的创作者（订阅超过1900万）。让他在视频中充当"被黑"的对象，瞬间将一个技术性较强的话题变得生动、直观、有代入感。当观众看到MKBHD一脸震惊地看着自己的锁屏iPhone完成了一笔10000美元的支付时，冲击力远超任何技术说明。 **用"盗贼视角"讲述安全故事。** 视频没有从枯燥的"漏洞分析报告"切入，而是从一个问题开始："从锁屏手机上偷钱有多容易？"这种叙事框架让安全研究变得像一部悬疑片。 **平衡技术深度和大众可理解性。** 在将近59分钟的篇幅中，Derek从NFC基础原理讲到中继攻击，从支付令牌化讲到责任归属，层层递进但始终保持了通俗易懂。这需要对材料有极深的理解才能做到"深入浅出"。 ### 七、延伸思考：无感支付的安全悖论 这个事件折射出一个更广泛的行业趋势——**无感支付（Frictionless Payment）正在成为一个系统性风险点**。 Express Transit只是冰山一角。想想你身边有多少"免确认"场景：Apple Watch的腕上检测自动解锁、智能音箱的语音支付、Amazon Go的拿了就走、刷脸支付……每一个"你不需要做任何操作"的便捷功能背后，都是一个被绕过的安全检查点。 NFC技术本身并不脆弱——Apple Pay的token化机制在正常交易中是极其安全的。脆弱的是那些为了"用户体验"而被打开的"后门"。这不是说便捷功能不该存在，而是说**安全架构需要在设计之初就把"便捷模式被滥用"的场景纳入威胁模型**。 ## 知识结构图 ```mermaid mindmap root((Ghost Tap漏洞)) 技术原理 Express Transit模式 跳过Face ID/密码验证 NFC自动响应机制 中继攻击Relay Attack 伪造交通读卡器身份 Magic Bytes未加密标识 实时转发支付令牌 Visa协议缺陷 缺少交易类型二次校验 信任Apple的 transit声明 Mastercard不受影响 攻击条件 受害者条件 iPhone用户 开启Express Transit 绑定Visa卡 攻击者条件 特制NFC中继设备 物理近距离接触 配合真实POS终端 责任归属 Apple立场 支付验证是Visa职责 NFC通信安全充分 Visa立场 Apple应验证对端设备 Express Mode是Apple设计 五年未修复 2021年首次报告 BBC最初报道 双方互踢皮球 用户防护 关闭Visa的Express Transit 设置路径: Wallet→Apple Pay 改用Mastercard交通卡 ``` ## 实战启示 ### 立刻检查你的iPhone 如果你是iPhone用户并且绑定了Visa卡，请立即做以下检查： 1. **打开"设置"→"钱包与Apple Pay"→"快捷交通卡"** 2. **查看是否有一张Visa卡被设置为快捷交通卡** 3. 如果有，**关闭该卡的快捷交通功能**（你仍然可以正常使用Apple Pay乘坐公共交通，只是需要像普通支付一样先验证身份） 这是目前最直接、最有效的防护手段。关闭Express Transit后，Apple Pay会要求Face ID/Touch ID验证才完成支付，攻击者无法从锁屏状态触发交易。 ### 更深层的安全思考 这次事件给我们的启示远不止Apple Pay： **不要盲目信任"安全品牌"。** Apple以注重安全和隐私著称，Visa是全球最大的支付网络。但当两者的系统对接处出现缝隙时，"大品牌"的光环反而可能让用户放松警惕。 **关注安全边界。** 系统安全最脆弱的地方往往不是单个组件本身，而是组件之间的接口和协议。Express Transit安全、Visa支付网络也安全——但它们之间的交互逻辑有漏洞。 **安全社区的公开披露机制仍然至关重要。** 正是因为研究团队通过BBC（2021年）和Veritasium（2026年）进行了公开披露，公众才得以了解这个风险并采取自我保护措施。这种"通过公开倒逼修复"的机制，在巨头不作为时是公众最后的武器。 ## 延伸学习路径 1. **University of Surrey原研究论文** — 搜索"Visa Apple Pay Express Transit vulnerability University of Surrey"可找到研究团队的学术论文，了解更深入的技术细节 2. **InfoSecWriteups技术拆解** — *Apple Knows. Visa Knows. Nobody Has Fixed It.* 一文对责任归属问题有极好的分析 3. **NFC安全入门** — 搜索"NFC relay attack explained"了解中继攻击这一类安全威胁的通用原理 4. **支付令牌化（Tokenization）** — Apple Pay的token化机制本身是一个值得学习的安全架构，理解它有助于理解为什么这个漏洞只影响Express Transit模式 ## 一句话总结 **当一个安全漏洞的修复成本被两家巨头互相转嫁了五年，Veritasium用650万播放量告诉世界：你的便捷，可能是别人的提款机。** --- ## 参考来源 1. [How easy is it to steal $10,000 from a locked phone?](https://www.youtube.com/watch?v=PPJ6NJkmDAo) — Veritasium, 2026年4月15日 2. [Here's How Researchers Stole $10,000 From MKBHD's Locked iPhone](https://www.macrumors.com/2026/04/15/apple-pay-visa-transit-exploit/) — MacRumors, 2026年4月15日 3. [Is the MKBHD Apple Pay Hack Real? $10k Visa Exploit Explained](https://www.idropnews.com/news/mkbhd-veritasium-apple-pay-10000-hack-explained/262545/) — iDropNews 4. [A Locked iPhone Made $10,000 Apple Pay Payment—No Face ID Or Passcode](https://www.forbes.com/sites/daveywinder/2026/05/04/a-locked-iphone-made-10000-apple-pay-payment-no-face-id-or-passcode/) — Forbes, Davey Winder 5. [Apple Knows. Visa Knows. Nobody Has Fixed It. Here's Why.](https://infosecwriteups.com/apple-knows-visa-knows-nobody-has-fixed-it-heres-why-e37796a6e8e2) — InfoSecWriteups 6. [Visa and Apple Pay vulnerabilities leaves iPhone users open to payment fraud](https://www.surrey.ac.uk/news/visa-and-apple-pay-vulnerabilities-leaves-iphone-users-open-payment-fraud) — University of Surrey --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。