# 锁屏被掏一万：拆解NFC中继漏洞 ## 导语：你以为锁屏就是保险箱 试想这样一个画面：你站在拥挤的地铁闸机口，手机装在口袋里、屏幕熄灭、从未解锁。三分钟后，你账户里的一万美元不翼而飞。没有短信验证，没有 Face ID，没有任何你能察觉的瞬间——钱就没了。这不是科幻，而是 Veritasium 在 2024 年那期播放量突破 1080 万的视频《Exposing The Flaw In Our Phone System》里亲自复现的真实演示，被「掏空」的对象正是科技博主 MKBHD（Marques Brownlee）的锁屏 iPhone。 这期视频之所以值得反复研究，不在于它「吓人」，而在于它精确地揭示了一类**长期存在、却无人修复**的安全漏洞：当一项功能的「便利性」与「安全性」分别由两家不同的公司负责时，漏洞就成了没人认领的孤儿。它解决的不是「手机会不会被黑」这种玄学问题，而是用一个价值一万美元的实验，把抽象的 NFC、EMV、中继攻击（relay attack）这些术语，变成你下次刷地铁时应该担心的事。读完这篇拆解，你会理解：为什么漏洞只在 Visa 卡上奏效、为什么苹果和 Visa 互相甩锅、以及你今晚就能做的那个一键防护动作。 ## 视频背景卡片 | 项目 | 内容 | |------|------| | 视频标题 | Exposing The Flaw In Our Phone System（暴露我们手机系统的漏洞）| | 频道 | Veritasium（Derek Muller），订阅约 2000 万 | | 时长 | 完整深度长视频（约 20 分钟）| | 播放量 | 约 1081 万次，点赞约 36.5 万 | | 发布日期 | 2024 年 9 月 21 日（2026 年因 MKBHD iPhone 17 Pro 演示再次走红）| | 核心主题 | Apple Pay「快捷交通」模式的 Visa 中继攻击：锁屏手机如何被远程「借道」付款 | ## 核心内容拆解 ### 一、Express Transit：被设计成「不设防」的便利通道 要理解这次攻击，得先理解它锁定的目标功能——**Apple Pay 的快捷交通模式（Express Transit / Express Travel）**。视频里反复出现 transit、EMV 这两个词（在视频脚本中分别出现 69 次和 122 次），它们正是整个故事的主角。 正常情况下，Apple Pay 刷卡需要先解锁手机、验证 Face ID 或 Touch ID，然后才靠近读卡器完成支付。但地铁、公交场景对速度极其敏感——早晚高峰成千上万人挤在闸机口，没人愿意为了刷一次卡去点亮屏幕、看一眼手机、等 Face ID 识别。于是苹果设计了 Express Transit：你只需把（锁屏的）手机往闸机上一贴，支付瞬间完成，全程不解锁。 **便利的代价是两扇被悄悄拆掉的「门」**：第一，免解锁，意味着「手机在你身边」就被等同于「你本人授权」；第二，更重要的是——为了能支付任意金额的车票（从 2 块到长途高铁几百块），Express Transit **默认不设单笔交易上限**。视频点明的关键洞察是：当你把「免验证」和「无上限」这两个特性叠加在一个 Visa 卡上时，这扇为通勤设计的便利之门，本质上就变成了一条不设上限的付款通道。攻击者要做的，只是骗你的手机相信「这是一次交通扣费」。 ### 二、中继攻击：把你的手机和读卡器「拉郎配」 整个攻击的核心是密码学里一类经典手法——**中继攻击（relay attack）**，视频里也称之为 Man-in-the-Middle（中间人）攻击。它的精髓用一句话概括就是：**我不需要破解密码，我只需要在「真卡」和「真读卡器」之间充当一根会变形的电线。** 具体到这个演示，攻击链是这样的：研究者用一台叫 **Proxmark** 的专业 RFID/NFC 工具，伪装成地铁闸机，靠近受害者口袋里那部锁屏的手机。手机处于 Express Transit 模式，立刻「热情地」响应，以为是闸机在催它付车费。Proxmark 把抓到的 NFC 支付信号实时转发给一台笔记本电脑，电脑里跑着一段 **Python 脚本**，对信号做关键改写，再通过网络发给攻击者手里的第二部「烧机」手机。最后，这第二部手机被贴到一个**真实的商户 POS 终端**上，完成一笔大额消费（演示中是一万美元）。 妙处在于：受害者的 iPhone 全程以为自己在付一笔地铁车费，POS 终端则以为这第二部手机就是那张真卡。两端各自「诚实」，却都被欺骗——因为中间那台 Proxmark＋笔记本的组合，实时把「地铁扣费」的语境，偷换成了「商场大额消费」。这就是中继攻击：攻击者从不碰密钥，只操控两端对彼此身份的认知。 ### 三、根因：「魔数字节」与未加密的 EMV 标志 真正让研究者「啊哈」的，是这个漏洞为什么能成立。视频剖析的根因落在两个技术细节上：**未加密的「魔数字节」（magic bytes）和 EMV 标志（EMV flags）**。 EMV（Europay/Mastercard/Visa）是当今所有芯片卡、非接触支付背后的国际标准，它规定了支付流程里那些应该被密码学保护的字段——比如这笔交易的类型、金额、终端身份。视频揭示，在 Apple Pay 的 Express Transit 这条「快速通道」里，为了追求极致速度，某些本应被认证的标志位（例如标识「这是一笔交通支付」vs「这是一笔零售消费」的字段）**竟然是明文、未加密的**。攻击者的 Python 脚本要做的，就是在中继途中把这几个标志位改写：把「transit（交通）」改写成「retail（零售）」，把原本会触发额外验证的标志清掉。改完之后，这笔被中继过来的交易，在 Visa 的校验系统眼里，就跟一笔再正常不过的零售消费没有区别——于是无上限的闸门，为大额扣款敞开。 【延伸分析】这其实是「**深度防御（defense in depth）**」被便利性侵蚀的典型。安全工程里有一条铁律：任何一条信息（哪怕只是「这是什么类型的交易」），只要它能影响授权决策，就必须被认证。Apple 为了通勤场景的流畅，在「快速通道」上对几个字段网开一面，结果这几个字段恰恰成了攻击者重写现实认知的支点。 ### 四、为什么只有 Visa 中招：密码学的「差一点」 视频里一个反复强调、也最让普通观众意外的结论是：**这个攻击只对 Visa 卡有效，对 Mastercard、American Express，以及 Samsung Pay 全部无效。** 这不是苹果偏袒谁，而是不同卡组织的密码学协议有「差一点」的鸿沟。 关键在于 Visa 与 Mastercard/Amex 在「**持卡人验证方法（CVM）**」和**附加密码校验（cryptogram）**上的设计差异。Mastercard 和 Amex 的非接触支付会要求额外的密码学校验步骤——这一步会绑定终端身份，让中继攻击在改写语境后被卡住。而 Visa 在与 Express Transit 配合的那条路径上，恰好省略了这种强绑定校验，使得被中继、被改写标志的交易依然能通过 Visa 的风控。换句话说，Visa 的「快」换来了「松」，而这道松开的缝隙，被中继攻击精准地钻了过去。 【延伸分析】这也解释了为什么这是个**协议级、而非产品级**的漏洞。换一张 Mastercard 进 Express Transit，问题瞬间消失——可苹果没法替 Visa 修协议，Visa 也未必愿意为一个「理论风险」改动全球清算体系。这就是下一节甩锅大战的伏笔。 ### 五、一万美元的活体演示：MKBHD 的锁屏 iPhone 视频最具冲击力的部分，是用 MKBHD 的锁屏 iPhone 17 Pro 复现了完整攻击（2026 年 4 月 MacRumors、Mashable 等媒体再次报道这一演示时，把它的传播推向新高）。研究者让 MKBHD 的手机保持锁屏、Express Transit 挂着一张 Visa 卡，然后整套中继链路跑起来——最后，一万美元从这部从未解锁的手机里被「付」了出去。 这个演示的真正价值，不在于「偷了一万」，而在于它**把一个 2021 年就被英国萨里大学（University of Surrey）和伯明翰大学（University of Birmingham）研究者公开披露、却五年未修的漏洞，变成了肉眼可见的金钱损失**。在此之前，这是个「论文里的漏洞」；在此之后，它成了「我的钱」级别的危机。这种从抽象到具象的转化，正是科普视频最稀缺的能力。 ### 六、甩锅大戏：没人认领的「孤儿漏洞」 视频最值得玩味的，不是技术，而是结尾那场教科书级的甩锅。**苹果告诉 Veritasium：这是 Visa 系统的问题，不是 iPhone 的安全缺陷。Visa 则回应：在真实世界中，这种欺诈「极不可能」大规模发生，而且持卡人受 Visa 的「零责任政策（zero liability policy）」保护，任何可疑交易都能申诉撤销。** 翻译成人话就是——苹果说「卡组织的锅」，Visa 说「出事我赔、所以不算严重」。双方都没有说谎，但双方也都没有动手修复。研究者给出的唯一实用建议干脆利落：**别在 iPhone 的快捷交通模式里挂 Visa 卡**，改用 Mastercard 或 Amex。 【延伸分析】这是整个故事最深刻的一课。这类漏洞在安全圈有个名字——**共享责任漏洞（shared-responsibility / orphan vulnerability）**。当一项安全属性横跨两个甚至多个责任方时，每一方都有正当理由说「我这边没问题」，于是没有任何一方有足够动机去承担修复的全部成本和兼容性风险。它不是技术难题，它是**激励错配（incentive misalignment）**。只要「出事的概率 × 单次损失 < 修复的成本与风险」，这个漏洞就会一直存在——用你的钱去赌它的概率。2021 到 2026，五年过去，它依然完好无损。 ### 七、更广阔的图景：中继攻击与「距离证明」的缺位 跳出 Apple Pay，视频把这件事放进了一个更大的家族——**中继攻击**。最著名的同类案例不是支付，而是**汽车盗窃**：盗贼用一对中继设备，把放在门口的车钥匙信号实时中继到车旁的接收器，骗汽车以为「钥匙就在身边」，于是无钥匙启动被解锁。另一个例子是**短信/通话拦截（如 SS7 信令协议的缺陷）**——「phone system」这个标题，暗示 Veritasium 把中继攻击作为一种横跨交通、汽车、电信的普遍病理来呈现。 学界早就给出了理论上的根治药方：**距离证明（distance bounding）**。让读卡器和卡片通过测量信号往返时间（round-trip time），数学上证明「对方确实在我面前几厘米内」，而不是远在天边被中继过来。问题在于，NFC 支付早期为了快和便宜，几乎没有实现强距离证明——这恰恰给了中继攻击生存空间。 【延伸分析】这揭示了安全的另一个残酷真相：**许多漏洞不是「没想到」，而是「修起来太贵或会拖慢体验」**。距离证明会让每次交易多花几毫秒、多要求更精密的芯片——在一个每秒要刷过上万人的交通系统里，这几毫秒乘以万，就是运营商和厂商难以接受的成本。于是安全永远在和「便利—成本」这个三角形谈判，而消费者往往是最后被告知风险的那一方。 ### 八、延伸判断：谁该为「便利税」买单 【延伸分析】把这期视频读到最后，我最想留给读者的判断是：**我们正在为「无感支付」缴纳一笔隐形的「便利税」——它以「概率性失窃」的形式，被悄悄分摊到所有用户头上。** Visa 的零责任政策看似仁慈，本质上是把损失社会化：只要总量可控，赔付的钱最终会变成更高的手续费、更严的风控、或者被拒付的商户承担。而你我，既是潜在的受害者，也是这笔税的最终缴纳者。 理解了这一点，你就不会再问「这个漏洞什么时候修」，而是会问「**我能不能让自己不在这条概率曲线上**」——这正是下一节实战启示要回答的。 ## 知识结构图：一次中继攻击的全链路 ```mermaid flowchart LR V["受害者锁屏 iPhone
Express Transit + Visa 卡
免验证 + 无上限"] A["攻击者：Proxmark 设备
伪装成地铁闸机"] L["笔记本
Python 中继脚本
改写 EMV 标志"] B["第二部烧机手机
充当'真卡'"] M["真实商户 POS 终端
完成大额扣款"] V -->|"① NFC 主动响应
以为在付车费"| A A -->|"② 实时转发支付信号"| L L -->|"③ 把 transit 改写成 retail
清除验证标志"| B B -->|"④ 贴到读卡器
POS 以为它就是真卡"| M M -.->|"⑤ 一万美元扣款成立"| V R1["Mastercard / Amex
额外密码学校验 → 攻击失败"]:::safe R2["Visa 无强绑定校验 → 攻击成功"]:::danger V -.-> R1 V -.-> R2 classDef safe fill:#d4edda,stroke:#28a745 classDef danger fill:#f8d7da,stroke:#dc3545 ``` ## 实战启示：今晚就能做的三道防线 **第一道防线（最有效，5 秒搞定）：检查并替换你的 Express Transit 卡。** 打开 iPhone「设置 → 钱包与 Apple Pay → 快捷交通卡」，看看你挂的是不是一张 Visa。如果是——把它换成一张 Mastercard 或 American Express。根据视频的论证，这一步**直接让你退出漏洞的影响范围**，因为攻击只对 Visa 有效。这是性价比最高的一招，相当于在赌场里换个不抽水的桌子。 **第二道防线（场景隔离）：给快捷交通用一张「限额、专卡专用」的副卡。** 即便你舍不得换 Visa，也可以为 Express Transit 专门准备一张小额、单独的预付卡或低额度卡。Express Transit 的风险根源于「无上限」——你人为给它加上一个上限（比如卡里只放两三百块通勤费），就把最坏情况从「一万美元」压缩成了「两三百块」。这是用账户结构来对冲协议缺陷。 **第三道防线（认知升级）：建立「便利即风险」的直觉。** 任何宣称「无需验证、瞬间完成、无上限」的功能，都值得多问一句——这扇便利的门，是单方面为「我」开的，还是也为「攻击者」留着？面对中继攻击这类不碰密码、只操控认知的威胁，传统的「强密码」「开双重认证」都无效，因为它绕过的是验证本身。你能做的，是**减少自己在高风险语境下的暴露面**：拥挤的闸机口、贴身但锁屏的手机、挂着的 Visa——这三者同时出现时，就是攻击者最理想的中继现场。 最后一句给开发者和产品同学：这期视频是「**责任划分如何杀死安全**」的活教材。下次你设计一个跨方协作的功能时，请把「这个漏洞该由谁修」写进需求文档的第一行——而不是等到事发后，让用户去当那个唯一的买单者。 ## 延伸学习路径 1. **Veritasium 原视频**《Exposing The Flaw In Our Phone System》——完整观看中继攻击的现场复现，理解 EMV/transit 流程的可视化拆解。 2. **原始学术论文**：英国纽卡斯尔大学与伯明翰大学团队 2021 年关于 contactless 支付中继攻击的研究论文（研究者 Tom Chothia、Ioana Boureanu 等），理解距离证明（distance bounding）的理论框架。 3. **EMVCo 官方规范文档**——读懂 ARQC/ARPC/TC 等密码学流程，理解「为什么 Visa 和 Mastercard 的校验会有那一点差异」。 4. **中继攻击的姊妹案例：汽车钥匙 Relay Attack**——搜索「relay attack keyless car」，对比支付与汽车两类中继攻击的异同，体会「距离证明」为何是通用解药。 5. **MacRumors / Mashable 2026 年 4 月的报道**——跟踪这一漏洞的最新进展，以及 Visa「零责任政策」对普通用户的实际覆盖范围。 ## 一句话总结 **这个视频最大的价值，是用一万美元的活体演示，让你看清一类「便利性催生、协议层诞生、责任方集体失语」的孤儿漏洞——并告诉你，换掉 Express Transit 里那张 Visa 卡，是你今晚就能做的、最划算的一次安全升级。** ## 参考来源 1. [Exposing The Flaw In Our Phone System — Veritasium](https://www.youtube.com/watch?v=wVyu7NB7W6Y) — 本次分析的核心视频 2. [Here's How Researchers Stole $10,000 From MKBHD's Locked iPhone — MacRumors](https://www.macrumors.com/2026/04/15/apple-pay-visa-transit-exploit/) — 攻击机制与卡组织差异的技术细节 3. [Researchers stole $10,000 from MKBHD's iPhone, exploiting Apple tap-to-pay vulnerability — Mashable](https://me.mashable.com/tech/69932/researchers-stole-10000-from-mkbhds-iphone-exploiting-apple-tap-to-pay-vulnerability) — 中继攻击步骤与 Proxmark/Python 实现 4. [You Must Stare Into the Heart of the $400 Million Machine — Gizmodo](https://gizmodo.com/you-must-stare-into-the-heart-of-the-400-million-machine-2000705100) — Veritasium 视频风格的背景与传播分析 5. [Apple Pay / Visa Express Transit Relay Attack — University of Surrey & Birmingham 原始研究（2021）](https://www.birmingham.ac.uk/) — 距离证明与共享责任漏洞的学术溯源 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。