2026年8月26日，Veritasium 发布了一支相当“刺激”的视频：《We Took $10,000 From @mkbhd's Locked iPhone》——团队当着镜头的面，从科技圈顶流博主 Marques Brownlee（MKBHD）一台锁着屏、没有任何用户操作的 iPhone 里，划走了整整一万美元。
这不是魔术，也不是摆拍噱头，而是基于萨里大学（University of Surrey）与伯明翰大学（University of Birmingham）研究团队发表于 IEEE Security and Privacy 的真实学术成果：针对 Apple Pay + Visa “快捷交通卡”（Express Transit）模式的 NFC 中继攻击（relay attack）。这支视频值得看三遍的理由在于：它把一个藏在每个人钱包里的协议级漏洞，拆解成了普通人能听懂的故事——你的手机越安全，这个“绝对安全的锁屏假设”就越值得被重新审视。本文基于视频本身、研究者公开页面和前作视频的完整章节，把这场“当众盗窃”的技术细节、责任拉锯和防御方法一次讲透。
| 项目 | 内容 |
|---|---|
| 视频标题 | We Took $10,000 From @mkbhd's Locked iPhone |
| 频道 | Veritasium（千万级订阅的科普头部频道） |
| 发布时间 | 2026年8月26日 |
| 时长/播放量 | 新片精确数据未抓取到，以YouTube页面显示为准；同主题前作正片章节时间轴显示超23分钟 |
| 核心主题 | Apple Pay × Visa 交通卡模式的 NFC 中继攻击 |
| 关联视频 | 前作《How easy is it to steal $10,000 from a locked phone?》（2025年4月，完整技术拆解） |
视频最聪明的地方在于“人设反差”：被偷的是以数码测评闻名的 MKBHD——全球最懂手机的一批人之一，他的 iPhone 依然在锁屏状态下被划走一万美元。这不是 Veritasium 第一次和 MKBHD 合作做安全实验，2025年3月的姊妹篇《The Secret Spy Tech Inside Every Credit Card》里，MKBHD 就已经“贡献”了自己的银行卡做道具。【延伸分析】 这种“专家也中招”的叙事结构，是科普内容里非常高级的手法：它先击碎观众“我不会被骗”的心理防线，再展开技术细节，学习动机直接拉满。需要强调的是，整场演示是研究团队与两位教授——萨里大学的 Ioana Boureanu 和伯明翰大学的 Tom Chothia——全程技术支持下完成的受控实验，属于负责任的漏洞展示，不是教学作恶。
2019年5月，Apple Pay 推出了 Express Transit（快捷交通）功能：刷地铁时不用解锁手机、不用 Face ID，手机贴近闸机直接扣费。这在早高峰的伦敦地铁站是伟大的用户体验改进，但它制造了一个致命假设——手机在锁屏状态下，也存在一条“无需用户确认即可发起支付”的通路。根据研究者公开的技术摘要，攻击的关键第一步是所谓的 "Magic Bytes"：只要在标准 ISO 14443-A 唤醒命令之前，先发送一段非标准的特定字节序列，iPhone 就会“以为”对面是交通读卡器，主动进入交通卡模式响应。【延伸分析】 这是典型的“便利性与安全性的协议级冲突”：功能本身没有 bug，但它把攻击面从“需要解锁的手机”扩大到了“只要开着机的手机”——包里、兜里的手机都算数。
整场攻击的硬件组合朴素得惊人：一台 Proxmark（开源 NFC 安全研究设备，扮演“假的地铁读卡器”，贴近受害者的 iPhone），加一台支持 NFC 的安卓手机（扮演“假的银行卡”，贴到真正的商店 POS 机上），两者之间用 USB、WiFi 或蓝牙中继数据。视频里研究者甚至演示了从包里的手机完成攻击——机主全程无感。这套“两头骗”的本质是 man-in-the-middle：让 iPhone 以为在和地铁闸机说话，让商店 POS 机以为在和一张正常的卡说话，而实际上两边的数据被实时搬运。【延伸分析】 中继攻击最可怕的地方在于它不破解任何密码学——所有加密数据原样转发，密码算法再强也没用，它攻击的是“距离”这个物理假设：卡和读卡器本该近在咫尺。
这是全片技术含量最高的部分。仅仅中继还不够，因为普通商店 POS 机会要求用户验证（指纹/密码）。研究者的做法是在转发报文时篡改两组协议标志位：一是在终端发来的 TTQ（终端交易限定符）里，置上“支持在线授权的离线数据认证（ODA）”和“支持 EMV 模式”两个比特，让交易看起来像交通场景；二是在 iPhone 返回的 CTQ（卡片交易限定符）里置上 CDCVM（消费者设备持卡人验证）标志——这个标志的含义是“持卡人已在设备上完成过验证”，POS 机一看就放行，不再要求输 PIN。注意 CTQ 在 iPhone 发出的两条报文里各出现一次，必须同时改。【延伸分析】 换句话说，CDCVM 这个“设备已验证”的信任声明，被攻击者从“手机主人验过了”偷换成了“反正手机说了算”。信任链的每一环都只信任上一环，没有人对最终结果负责——这是分布式系统里最经典的信任空隙。
研究者明确指出：该攻击只影响 Apple Pay 里的 Visa 卡，Mastercard 走 Apple Pay 不受影响，Visa 放在 Samsung Pay 里也不受影响。原因在于 Mastercard 的协议实现里不存在可被这样利用的组合条件。这就是安全工程里著名的“组合爆炸”问题：单独审计 Apple Pay 没问题，单独审计 Visa 也没问题，但两者交互的边界地带诞生了漏洞。前作视频里专门有一章就叫 "Why does this hack only work with Visa?"，把这个对比讲得非常清楚。【延伸分析】 对产品人的启示是：安全评审的粒度不能停在“我的系统”，必须覆盖“我和别人握手的地方”——生态越开放，边界越是战场。
前作视频有一章专门讲 "How does RSA encryption work?"，因为 EMV 协议里的离线数据认证（ODA）正是靠 RSA 签名完成的：卡片用私钥对交易数据签名，终端用预置的证书公钥验签，从而确认“这是真卡不是克隆”。这套体系对抗的是卡片克隆，而且相当成功——这就是为什么过去十几年“复制银行卡”变得罕见。但中继攻击根本不需要克隆卡：真卡（手机）全程在线，只是“人不在场”。RSA 签名验证的是数据完整性，验证不了时空一致性。【延伸分析】 学术上这叫“缺失的距离绑定”（distance bounding）——协议没有度量和证明“卡确实在这台读卡器旁边”。研究团队自己提出的修复方案 L1RP，就是在 ISO 14443 层（Level 1）加入响应时间测量来实现距离绑定，并用 Tamarin 形式化验证工具证明了其安全性。
研究者页面记录的时间线很能说明问题：漏洞在 2020年10月报告给 Apple，2021年5月报告给 Visa，双方都承认漏洞严重，但始终没谈拢该由谁改——Apple 认为问题在 Visa 的协议设计，Visa 认为问题在 Apple 的交通模式实现。直到研究团队公开演示（包括在锁屏 iPhone 上完成 1000 英镑的真实支付）、BBC、The Independent 等多家媒体报道之后，漏洞长期处于"still LIVE"状态。【延伸分析】 这不是哪家公司傲慢，而是平台经济的结构性问题：跨生态漏洞没有天然的“第一责任人”，修复成本和声誉风险的不对称，让“等待对方先动”成为博弈均衡。用户的安全，卡在了两家巨头的商务谈判桌上。
视频和研究页面都给出了明确建议：第一，检查 Apple Pay 里是否有 Visa 卡被设成了交通卡/快捷交通模式，有的话立刻改用普通模式或换一张 Mastercard 作为交通卡——这一步直接拆掉攻击的前置条件；第二，手机丢失或被盗，第一时间开启“丢失模式”并致电银行挂失，不要抱有“反正有锁屏”的侥幸；第三，保持对账习惯，中继攻击的交易会正常出现在账单里，及时发现、及时争议（chargeback）是最后的止损线。【延伸分析】 值得欣慰的是，风险场景是有边界的：攻击者需要物理贴近你的手机（背包、口袋距离），且这是受控研究环境下的演示，日常小额免密交易的整体风险依然远低于现金时代被扒窃的概率——理解风险，是为了精准防御，不是为了恐慌。
flowchart TD
A[Apple Pay + Visa 中继攻击] --> B[漏洞根源]
A --> C[攻击实施]
A --> D[为何难修]
A --> E[用户防御]
B --> B1[Express Transit 锁屏免验证通路]
B --> B2[EMV 协议缺失距离绑定]
B --> B3[双生态组合的信任空隙]
C --> C1[Proxmark 假装地铁闸机<br/>Magic Bytes 触发交通模式]
C --> C2[安卓手机假装银行卡<br/>贴近真实 POS]
C --> C3[篡改 TTQ 标志位<br/>伪装交通交易]
C --> C4[篡改 CTQ 置 CDCVM<br/>谎称持卡人已验证]
D --> D1[2020.10 报告 Apple]
D --> D2[2021.05 报告 Visa]
D --> D3[责任归属僵持<br/>漏洞长期未修复]
E --> E1[勿将 Visa 卡设为交通卡]
E --> E2[丢失立即挂失+丢失模式]
E --> E3[对账监控与争议交易]
C --> F[后果<br/>锁屏状态下任意金额扣款<br/>机主全程无感]
F --> E
对普通用户： 这支视频最值钱的三分钟是“自查环节”。今天就可以打开钱包 App，看看快捷交通卡绑定的是哪家卡组织——如果是 Visa，换个绑法只需要十秒钟。安全研究里有个规律：99% 的协议漏洞，用户侧的最优解往往是一个极小的习惯改动，前提是你得知道漏洞存在。
对开发者与产品经理： 这个案例应该进每一份系统设计教材。它同时踩中了三个经典陷阱——便利性功能悄悄扩大攻击面（Express Transit）、信任链无人对端到端结果负责（CDCVM 被冒用）、以及跨系统组合未做联合威胁建模（Apple × Visa）。做支付、IoT、任何“两个系统握手”的功能时，请务必问一句：协议验证的是什么？是数据真实性，还是物理在场性？ 这两个问题的答案不同，防御方案天差地别。
对安全从业者： 研究团队的方法论同样值得学习——形式化验证（Tamarin 证明 L1RP 协议安全）+ 真实环境复现（伦敦地铁采数）+ 负责任披露 + 公众传播（与 Veritasium 合作）的完整闭环，展示了学术漏洞研究如何真正推动产业修复。相比之下，单纯发论文的影响半径要小得多。
认知层面： 这个案例最大的价值是纠正一个普遍误解——“生物识别 + 锁屏 = 安全”。安全不是手机的一个状态，而是每一次交易的属性。锁屏保护的是“发起”，协议保护的是“执行”，两者之间的缝隙，就是一万美元流走的通道。
这支视频用一万美元的“当众行窃”证明：最坚固的锁，锁不住协议设计里留给便利的那扇窗——真正的安全，永远在细节的边界处。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。