当你的iPhone屏幕漆黑、Face ID休眠、Touch ID闲置，你以为它和你一样在"沉睡"。但Veritasium这支爆款视频用一个实验告诉你：在特定条件下，一台完全锁屏的iPhone，可以被陌生设备在几秒内"按"出一笔高达10,000美元的支付——而且全程不需要你的脸、你的指纹、你的密码。
这不是科幻，也不是标题党。它是一个被英国两所顶尖大学（University of Birmingham与University of Surrey）早在2021年就发现的真实漏洞，沉睡了五年，直到Veritasium拉来全球第一科技YouTuber MKBHD当"小白鼠"，当着镜头完成这次盗刷，才终于把它砸进大众视野。这支视频之所以值得每一个用手机支付的人看，不只是因为它足够刺激，而是因为它把一个本来只有密码学家才看得懂的协议级缺陷，翻译成了你我都能听懂、而且能立刻动手防御的现实风险。
| 项目 | 内容 |
|---|---|
| 视频标题 | How easy is it to steal $10,000 from a locked phone?（从锁屏手机偷10,000美元有多容易？） |
| 频道 | Veritasium（Derek Muller主理，约1900万订阅） |
| 合作出镜 | Marques Brownlee（MKBHD） |
| 发布时间 | 2026年4月 |
| 核心主题 | Apple Pay「快速交通卡」(Express Transit) + Visa 卡的NFC中继攻击 |
| 实验结果 | 成功从MKBHD锁屏iPhone授权一笔10,000美元交易 |
| 研究来源 | Birmingham大学Tom Chothia团队、Surrey大学Ioana Boureanu团队（2021年起研究） |
要理解这次攻击，得先理解Apple Pay里那个低调却关键的功能——Express Transit（快速交通卡）。它的设计初衷非常合理：早高峰地铁站里，几万人排队过闸，如果每个人都要Face ID解锁、再点开钱包、再贴卡，整个地铁系统会瘫痪。更麻烦的是，地下常常没有网络，云端验证根本走不通。于是Apple做了一个工程上的天才妥协：允许用户把某张卡设为"快速交通卡"，在锁屏状态下，只要手机靠近闸机感应区，就能直接完成扣费，全程不需要生物识别、不需要点亮屏幕、不需要联网。
这个妥协的逻辑是：交通单次金额小（几块到几十块），即便被盗刷，损失可控；而换来的，是每天数亿人次的顺畅通勤。问题在于，安全从来不是单一功能的事，而是整个系统的事。Express Transit本身没问题，但它和后面的Visa清算规则一结合，就裂开了一道深不见底的缝。这就是软件工程里反复上演的剧本：每一个模块单独看都合理，组合起来却致命。
攻击的核心技术叫中继攻击（Relay Attack）。它的本质，是攻击者在受害者设备和真正的服务端之间，架设一条"看不见的桥"，让双方都以为自己在和对方直接对话，实际上信号被偷偷转发。打个比方：你按门铃想进自己家，攻击者把你的门铃信号转发到你邻居家，邻居以为是你家主人按的，开了门，攻击者就趁机溜进去——你和邻居都没错，错的是中间那条被劫持的链路。
在这次攻击里，攻击者手持一个自制的NFC读卡器，伪装成地铁闸机。当它靠近你的iPhone，手机会以为"哦，是地铁站让我刷交通卡"，于是以交通模式响应——注意，交通模式跳过了所有生物识别验证。紧接着，这个伪造的请求并不会真的去地铁系统，而是通过一条中继链路（其中一台root过的Android手机充当"卡模拟器"，card emulator），最终被转发到一个真实的商户支付终端上完成扣款。整个过程，iPhone以为自己在刷地铁，Visa以为这是一笔正常交易，而钱，已经被划走了。这是典型的"两头骗"。
光有中继还不够——如果Visa像处理普通大额消费一样做风控，这笔异常交易早就被拦下了。漏洞的第二块拼图，藏在Visa的清算规则里。交通支付因为常常离线、批量结算，Visa对"交通类"交易设计了一套宽松的处理逻辑：不强制在线授权、不触发高额欺诈检查、甚至放宽单笔上限。
这种设计本意是为了让地铁闸机即便断网也能放行乘客，事后批量补传。但当攻击者用中继链路把一笔本该是"地铁2美元"的交易，包装成"交通模式"送到真实商户终端时，Visa的系统也按交通规则放行了——于是单笔金额可以一路飙升到10,000美元的上限。这就像给所有穿"地铁工服"的人开了VIP通道，结果有人套了件工服就去搬走了金库。视频里的关键洞察是：这不是某一个环节的Bug，而是Apple的"交通模式"与Visa的"交通清算规则"两套各自合理的系统，在拼接处产生的系统性裂缝。10,000美元，正是这条裂缝能吞下的最大数字。
很多人看完第一反应是：那我是不是该把Apple Pay卸了？视频和原始研究都明确划定了边界——这是一个又窄又深的缝。窄，是因为它要求三个条件同时成立：①iPhone；②绑定了Visa卡；③开启了Express Transit。三者缺一不可。深，是一旦条件满足，损失可以非常惊人。
那些不在射程内的人可以松一口气：用Mastercard的iPhone用户安全（万事达对交通模式有额外校验）；Samsung Pay用户安全（三星会标记大额交通交易并触发验证）；Google Wallet / Android用户也安全——谷歌钱包要求屏幕点亮才能支付，从根上堵死了"锁屏中继"这条路。换言之，这个漏洞是Apple的Express Transit实现方式与Visa的清算规则之间独有的化学反应。理解"范围"非常重要：它既避免了过度恐慌，也提醒我们，真正危险的安全问题，往往不是全面崩塌，而是某个被忽视的精确组合点。
视频最精彩也最让人无奈的部分，不是技术，而是责任归属。漏洞从2021年被报告，到2026年Veritasium拍这支视频，已经过去了整整五年，Apple和Visa谁都没修。原因？经典的互相甩锅：Apple说，这是支付网络（Visa）的问题，iPhone硬件没问题；Visa说，这是设备（iPhone）的问题，而且我们还有"零责任政策（Zero Liability）"，真被盗了给你赔。
学术界把这种现象叫做分布式系统的安全责任真空（accountability gap）：当风险发生在两个系统的接口处，每一方都有充分理由说"这归对方管"，结果就是没人管。这在现实里太常见了——HTTPS中间人、邮件伪造（SPF/DKIM）、短信2FA劫持，都是同一类剧本：协议本身有缺陷，但修复需要多方协调，每一方都不愿第一个动刀，因为动刀意味着成本和兼容性风险。Veritasium这次"当众盗刷"，本质上是用舆论压力逼这个五年死结动一动——当技术圈吵了五年没用，可能只有"让一千万观众看见"才有用。
必须给这支视频补一个视频没强调、但极其重要的判断：这是一个高门槛攻击。媒体原文（BigGo Finance等）的技术参数写得清清楚楚——攻击复杂度"HIGH"，需要专业NFC硬件、一台root过的Android手机、以及与受害者的物理接近（几厘米内的NFC距离）。它至今没有在野（in the wild）大规模出现的报告，Visa也正是以此为由称之为"理论风险"。
所以，正确的心态是：重视，但不必恐慌。你被路边小偷用这套手法盯上的概率，远低于手机被顺手牵羊。但这支视频的价值恰恰在于——它把一个"只有密码学家知道"的协议级风险，翻译成了"每个用Apple Pay的人都该知道"的常识。研究团队花五年推进，不是为了吓唬你，而是为了推动厂商补上那个谁都不愿意先动手的缝。理解攻击门槛，恰恰能让你做理性的、而不是情绪化的防护决策。
那到底怎么修？这才是技术人最该深思的部分。表面上，修复路径有两条：要么Apple在Express Transit里加一道校验（比如要求屏幕点亮，像Google Wallet那样），要么Visa对"交通类"交易也套上正常的高额风控。但两条路都牵动巨大的兼容性和体验代价——Apple动一刀，可能让全球地铁闸机的"秒刷"体验倒退；Visa动一刀，可能误伤海量真实交通交易。
更深层的解法，是密码学界研究了几十年的距离边界协议（Distance Bounding Protocol）——通过测量信号往返的纳秒级时间，证明对方设备确实在几厘米内，而不是被中继到了几公里外。这正是当下"无钥匙启动汽车"被中继盗窃后，车企在补的方向。NFC支付如果要根治中继，迟早也要走这条路。这个案例给所有做系统设计的人一个提醒：任何"为便利而绕过验证"的设计，都要预先想清楚——当便利的通道被攻击者借用时，谁来兜底。
flowchart TD
A["受害者锁屏 iPhone<br/>已开启 Express Transit + 绑定 Visa 卡"] --> B["攻击者持伪装 NFC 读卡器<br/>模拟地铁闸机信号"]
B --> C["iPhone 误判为交通终端<br/>跳过 Face ID / Touch ID 验证"]
C --> D["支付凭证以「交通模式」发出<br/>无需生物识别"]
D --> E["中继链路<br/>Rooted Android 充当卡模拟器"]
E --> F["请求被转发至真实商户支付终端"]
F --> G{"Visa 清算规则判断"}
G -->|"判定为交通交易<br/>跳过高额风控与限额"| H["单笔最高授权 10,000 美元"]
G -->|"若为正常非交通大额交易"| I["触发限额与风控<br/>交易被拒"]
H --> J["资金被「盗刷」成功"]
K["不受影响范围"] --> K1["Mastercard 卡"]
K --> K2["Samsung Pay"]
K --> K3["Google Wallet / Android<br/>要求屏幕点亮"]
L["防护措施"] --> L1["关闭 Visa 卡的 Express Transit"]
L --> L2["交通卡改用 Mastercard"]
L --> L3["从 Apple Pay 移除 Visa 卡"]
style A fill:#fde2e2,stroke:#c0392b,stroke-width:2px
style G fill:#fff3cd,stroke:#d39e00,stroke-width:2px
style H fill:#fde2e2,stroke:#c0392b,stroke-width:2px
style C fill:#e8f4fd,stroke:#2980b9
第一步，也是最有效的一步——关掉Visa卡的Express Transit。 路径很简单：设置 → 钱包与Apple Pay → 选中你的Visa卡 → 关闭「Express Transit / 快速交通卡」。关掉之后，你刷地铁时需要点亮屏幕（或按侧边按钮呼出钱包），多花一秒钟，但彻底切断中继攻击的入口。这秒数，就是你为安全付的"过路费"，性价比极高。如果你重度依赖地铁秒刷又不想妥协体验，最优雅的解法是：把交通卡换成Mastercard，把Visa留给需要Face ID的普通消费——鱼与熊掌兼得。
第二步，理解便利与安全的永恒权衡。 这支视频真正的认知升级，不是"Apple Pay不安全"，而是让你看清一个底层规律：凡是"为了便利而绕过验证"的通道，都要假设它会被攻击者借用。汽车无钥匙启动如此，Wi-Fi自动连接如此，浏览器的"记住密码"如此，AI助手的"免授权调用工具"也如此。下次你看到一个"超方便、零摩擦"的设计，本能地多问一句：它的免验证通道，最坏会被谁、怎么利用？这种"攻击者视角"的直觉，是这支视频能给你的、比关一个开关更值钱的东西。
第三步，对技术从业者的系统性启示。 如果你做系统设计、做支付、做IoT、做任何"多端协作"的产品，请把"接口处的安全责任归属"写进设计文档的第一页。Apple和Visa的五年僵局就是反面教材——双方都没错，但用户错了。提前约定"这个风险归谁兜底、出事谁先赔、修复谁先动"，远比事后甩锅重要。对于协议层的安全，主动引入距离边界、设备证明等机制，是治本之道。
这支视频用一个10,000美元的锁屏盗刷实验，揭示了现代数字支付最隐蔽的真相——最致命的安全漏洞，往往不在某一个环节，而在两个"各自合理"的系统拼接的那条缝里，而那条缝，五年没人补。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。