# 一部锁死的iPhone，为何拦不住1万美元 ## 导语 2026年8月26日，Veritasium 发布了一支相当“刺激”的视频：**《We Took $10,000 From @mkbhd's Locked iPhone》**——团队当着镜头的面，从科技圈顶流博主 Marques Brownlee（MKBHD）一台**锁着屏、没有任何用户操作**的 iPhone 里，划走了整整一万美元。 这不是魔术，也不是摆拍噱头，而是基于萨里大学（University of Surrey）与伯明翰大学（University of Birmingham）研究团队发表于 IEEE Security and Privacy 的真实学术成果：针对 **Apple Pay + Visa “快捷交通卡”（Express Transit）模式**的 NFC 中继攻击（relay attack）。这支视频值得看三遍的理由在于：它把一个藏在每个人钱包里的协议级漏洞，拆解成了普通人能听懂的故事——**你的手机越安全，这个“绝对安全的锁屏假设”就越值得被重新审视**。本文基于视频本身、研究者公开页面和前作视频的完整章节，把这场“当众盗窃”的技术细节、责任拉锯和防御方法一次讲透。 ## 视频背景卡片 | 项目 | 内容 | |------|------| | 视频标题 | We Took $10,000 From @mkbhd's Locked iPhone | | 频道 | Veritasium（千万级订阅的科普头部频道） | | 发布时间 | 2026年8月26日 | | 时长/播放量 | 新片精确数据未抓取到，以YouTube页面显示为准；同主题前作正片章节时间轴显示超23分钟 | | 核心主题 | Apple Pay × Visa 交通卡模式的 NFC 中继攻击 | | 关联视频 | 前作《How easy is it to steal $10,000 from a locked phone?》（2025年4月，完整技术拆解） | ## 核心内容拆解 ### 1. 一场“双重合作”的安全演示：自愿被黑的顶流博主 视频最聪明的地方在于“人设反差”：被偷的是以数码测评闻名的 MKBHD——全球最懂手机的一批人之一，他的 iPhone 依然在锁屏状态下被划走一万美元。这不是 Veritasium 第一次和 MKBHD 合作做安全实验，2025年3月的姊妹篇《The Secret Spy Tech Inside Every Credit Card》里，MKBHD 就已经“贡献”了自己的银行卡做道具。**【延伸分析】** 这种“专家也中招”的叙事结构，是科普内容里非常高级的手法：它先击碎观众“我不会被骗”的心理防线，再展开技术细节，学习动机直接拉满。需要强调的是，整场演示是研究团队与两位教授——萨里大学的 Ioana Boureanu 和伯明翰大学的 Tom Chothia——全程技术支持下完成的**受控实验**，属于负责任的漏洞展示，不是教学作恶。 ### 2. 锁屏为什么形同虚设：Express Transit 留的那扇窗 2019年5月，Apple Pay 推出了 Express Transit（快捷交通）功能：刷地铁时不用解锁手机、不用 Face ID，手机贴近闸机直接扣费。这在早高峰的伦敦地铁站是伟大的用户体验改进，但它制造了一个致命假设——**手机在锁屏状态下，也存在一条“无需用户确认即可发起支付”的通路**。根据研究者公开的技术摘要，攻击的关键第一步是所谓的 "Magic Bytes"：只要在标准 ISO 14443-A 唤醒命令之前，先发送一段非标准的特定字节序列，iPhone 就会“以为”对面是交通读卡器，主动进入交通卡模式响应。**【延伸分析】** 这是典型的“便利性与安全性的协议级冲突”：功能本身没有 bug，但它把攻击面从“需要解锁的手机”扩大到了“只要开着机的手机”——包里、兜里的手机都算数。 ### 3. 中继攻击三件套：Proxmark + 安卓手机 + 一根“看不见的线” 整场攻击的硬件组合朴素得惊人：一台 **Proxmark**（开源 NFC 安全研究设备，扮演“假的地铁读卡器”，贴近受害者的 iPhone），加一台支持 NFC 的安卓手机（扮演“假的银行卡”，贴到真正的商店 POS 机上），两者之间用 USB、WiFi 或蓝牙中继数据。视频里研究者甚至演示了从**包里**的手机完成攻击——机主全程无感。这套“两头骗”的本质是 man-in-the-middle：让 iPhone 以为在和地铁闸机说话，让商店 POS 机以为在和一张正常的卡说话，而实际上两边的数据被实时搬运。**【延伸分析】** 中继攻击最可怕的地方在于它不破解任何密码学——所有加密数据原样转发，密码算法再强也没用，它攻击的是“距离”这个物理假设：卡和读卡器本该近在咫尺。 ### 4. 改两个标志位就破防：TTQ 与 CTQ 的协议陷阱 这是全片技术含量最高的部分。仅仅中继还不够，因为普通商店 POS 机会要求用户验证（指纹/密码）。研究者的做法是在转发报文时**篡改两组协议标志位**：一是在终端发来的 TTQ（终端交易限定符）里，置上“支持在线授权的离线数据认证（ODA）”和“支持 EMV 模式”两个比特，让交易看起来像交通场景；二是在 iPhone 返回的 CTQ（卡片交易限定符）里置上 **CDCVM**（消费者设备持卡人验证）标志——这个标志的含义是“持卡人已在设备上完成过验证”，POS 机一看就放行，不再要求输 PIN。注意 CTQ 在 iPhone 发出的**两条报文里各出现一次，必须同时改**。**【延伸分析】** 换句话说，CDCVM 这个“设备已验证”的信任声明，被攻击者从“手机主人验过了”偷换成了“反正手机说了算”。信任链的每一环都只信任上一环，没有人对最终结果负责——这是分布式系统里最经典的信任空隙。 ### 5. 为什么只有 Visa 中招：不是 Apple 的锅，也不是 Visa 的锅，是“组合”的锅 研究者明确指出：该攻击**只影响 Apple Pay 里的 Visa 卡**，Mastercard 走 Apple Pay 不受影响，Visa 放在 Samsung Pay 里也不受影响。原因在于 Mastercard 的协议实现里不存在可被这样利用的组合条件。这就是安全工程里著名的“组合爆炸”问题：单独审计 Apple Pay 没问题，单独审计 Visa 也没问题，但两者交互的边界地带诞生了漏洞。前作视频里专门有一章就叫 "Why does this hack only work with Visa?"，把这个对比讲得非常清楚。**【延伸分析】** 对产品人的启示是：安全评审的粒度不能停在“我的系统”，必须覆盖“我和别人握手的地方”——生态越开放，边界越是战场。 ### 6. RSA 与动态签名：EMV 的安全设计不是没用，而是被“降级使用” 前作视频有一章专门讲 "How does RSA encryption work?"，因为 EMV 协议里的离线数据认证（ODA）正是靠 RSA 签名完成的：卡片用私钥对交易数据签名，终端用预置的证书公钥验签，从而确认“这是真卡不是克隆”。这套体系对抗的是**卡片克隆**，而且相当成功——这就是为什么过去十几年“复制银行卡”变得罕见。但中继攻击根本不需要克隆卡：真卡（手机）全程在线，只是“人不在场”。RSA 签名验证的是数据完整性，验证不了**时空一致性**。**【延伸分析】** 学术上这叫“缺失的距离绑定”（distance bounding）——协议没有度量和证明“卡确实在这台读卡器旁边”。研究团队自己提出的修复方案 L1RP，就是在 ISO 14443 层（Level 1）加入响应时间测量来实现距离绑定，并用 Tamarin 形式化验证工具证明了其安全性。 ### 7. 四年拉锯：Apple 说该 Visa 修，Visa 说该 Apple 修 研究者页面记录的时间线很能说明问题：漏洞在 **2020年10月报告给 Apple，2021年5月报告给 Visa**，双方都承认漏洞严重，但始终没谈拢该由谁改——Apple 认为问题在 Visa 的协议设计，Visa 认为问题在 Apple 的交通模式实现。直到研究团队公开演示（包括在锁屏 iPhone 上完成 1000 英镑的真实支付）、BBC、The Independent 等多家媒体报道之后，漏洞长期处于"still LIVE"状态。**【延伸分析】** 这不是哪家公司傲慢，而是平台经济的结构性问题：跨生态漏洞没有天然的“第一责任人”，修复成本和声誉风险的不对称，让“等待对方先动”成为博弈均衡。用户的安全，卡在了两家巨头的商务谈判桌上。 ### 8. 用户现在能做什么：三条立刻可执行的自保动作 视频和研究页面都给出了明确建议：**第一**，检查 Apple Pay 里是否有 Visa 卡被设成了交通卡/快捷交通模式，有的话立刻改用普通模式或换一张 Mastercard 作为交通卡——这一步直接拆掉攻击的前置条件；**第二**，手机丢失或被盗，第一时间开启“丢失模式”并致电银行挂失，不要抱有“反正有锁屏”的侥幸；**第三**，保持对账习惯，中继攻击的交易会正常出现在账单里，及时发现、及时争议（chargeback）是最后的止损线。**【延伸分析】** 值得欣慰的是，风险场景是有边界的：攻击者需要物理贴近你的手机（背包、口袋距离），且这是受控研究环境下的演示，日常小额免密交易的整体风险依然远低于现金时代被扒窃的概率——理解风险，是为了精准防御，不是为了恐慌。 ## 知识结构图 ```mermaid flowchart TD A[Apple Pay + Visa 中继攻击] --> B[漏洞根源] A --> C[攻击实施] A --> D[为何难修] A --> E[用户防御] B --> B1[Express Transit 锁屏免验证通路] B --> B2[EMV 协议缺失距离绑定] B --> B3[双生态组合的信任空隙] C --> C1[Proxmark 假装地铁闸机
Magic Bytes 触发交通模式] C --> C2[安卓手机假装银行卡
贴近真实 POS] C --> C3[篡改 TTQ 标志位
伪装交通交易] C --> C4[篡改 CTQ 置 CDCVM
谎称持卡人已验证] D --> D1[2020.10 报告 Apple] D --> D2[2021.05 报告 Visa] D --> D3[责任归属僵持
漏洞长期未修复] E --> E1[勿将 Visa 卡设为交通卡] E --> E2[丢失立即挂失+丢失模式] E --> E3[对账监控与争议交易] C --> F[后果
锁屏状态下任意金额扣款
机主全程无感] F --> E ``` ## 实战启示 **对普通用户：** 这支视频最值钱的三分钟是“自查环节”。今天就可以打开钱包 App，看看快捷交通卡绑定的是哪家卡组织——如果是 Visa，换个绑法只需要十秒钟。安全研究里有个规律：**99% 的协议漏洞，用户侧的最优解往往是一个极小的习惯改动**，前提是你得知道漏洞存在。 **对开发者与产品经理：** 这个案例应该进每一份系统设计教材。它同时踩中了三个经典陷阱——便利性功能悄悄扩大攻击面（Express Transit）、信任链无人对端到端结果负责（CDCVM 被冒用）、以及跨系统组合未做联合威胁建模（Apple × Visa）。做支付、IoT、任何“两个系统握手”的功能时，请务必问一句：**协议验证的是什么？是数据真实性，还是物理在场性？** 这两个问题的答案不同，防御方案天差地别。 **对安全从业者：** 研究团队的方法论同样值得学习——形式化验证（Tamarin 证明 L1RP 协议安全）+ 真实环境复现（伦敦地铁采数）+ 负责任披露 + 公众传播（与 Veritasium 合作）的完整闭环，展示了学术漏洞研究如何真正推动产业修复。相比之下，单纯发论文的影响半径要小得多。 **认知层面：** 这个案例最大的价值是纠正一个普遍误解——“生物识别 + 锁屏 = 安全”。安全不是手机的一个状态，而是每一次交易的属性。锁屏保护的是“发起”，协议保护的是“执行”，两者之间的缝隙，就是一万美元流走的通道。 ## 延伸学习路径 1. **前作正片**《How easy is it to steal $10,000 from a locked phone?》（Veritasium，2025年4月）— 完整版技术拆解，含 RSA、免密限额、Visa 应对等章节，建议先看这支建立框架。 2. **研究者技术摘要页**（ve42.co/HackSummary）— 萨里/伯明翰团队官方页面，含攻击报文级细节、L1RP 修复协议与 Tamarin 形式化验证说明，想深挖协议细节从这里开始。 3. **姊妹篇**《The Secret Spy Tech Inside Every Credit Card》（Veritasium，2025年3月）— 从苏联无源窃听器“the Thing”讲到磁条卡与芯片卡的安全演进史，理解 EMV 设计动机的最佳铺垫。 4. **关键词检索**：以 "EMV relay attack"、"distance bounding protocol"、"CDCVM" 为关键词检索学术库（IEEE Xplore），可找到 Radu 等人 2022 年发表于 IEEE Security and Privacy 的原始论文《Practical EMV Relay Protection》及后续研究。 5. **横向对比**：检索 NFC 中继攻击在车钥匙（keyless entry）领域的同类研究，会发现完全相同的攻击范式——一个漏洞模式，跨行业复用。 ## 一句话总结 这支视频用一万美元的“当众行窃”证明：**最坚固的锁，锁不住协议设计里留给便利的那扇窗——真正的安全，永远在细节的边界处。** ## 参考来源 1. [We Took $10,000 From @mkbhd's Locked iPhone — Veritasium](https://www.youtube.com/watch?v=b3KpFdb1pW8) — 本文分析的核心视频（2026-08-26发布） 2. [Practical EMV Relay Protection 研究摘要 — 萨里大学/伯明翰大学研究团队](https://ve42.co/HackSummary) — 攻击技术细节、披露时间线与防御建议的一手来源 3. [How easy is it to steal $10,000 from a locked phone? — Veritasium](https://www.youtube.com/watch?v=PPJ6NJkmDAo) — 同主题前作，完整章节拆解（章节时间轴佐证内容结构） 4. [The Secret Spy Tech Inside Every Credit Card — Veritasium](https://www.youtube.com/watch?v=YSJY3DvnybE) — 信用卡安全技术演进史姊妹篇 5. [Veritasium 频道视频引用文献汇总（MKBHD Hack Refs）](https://ve42.co/MKBHDHackRefs) — 含 Radu et al. (2022) IEEE Security and Privacy 原始论文索引 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。