广州的齐女士翻账单翻到心凉：从2026年7月25日开始，她的支付宝账户被哈啰打车陆续扣走了109笔订单，累计6551.34元。她平时一直用哈啰App打顺风车，开了支付宝免密支付，没换过手机号，也没跟任何人透露过密码。
城市路边整齐排列的蓝色哈啰共享单车
倒查之后真相更离谱--盗刷账户绑定的，是她两年前就已经注销的旧手机号，目前这个号是空号。发现异常后，齐女士关了免密支付、投诉到12345，哈啰客服的答复是：不负责赔偿，最多补偿200元，理由是"金额过大，要等实际乘车人还款后才能处理"。
这不是个例。长沙的姚女士，账户里冒出90多笔江苏徐州的异地订单，她2022年起就定居湖南，根本没去过徐州，哈啰一开始要求她自证不是本人操作，最终才承认是她2019年注销的旧手机号二次放号导致，全额退款。
陕西的郭先生，账户在凌晨被连续扣款21笔，累计超3000元，哈啰提出的方案同样是最高200元补偿，没有同意全额退款。江西一位用户，9月份刚被旧账号的免密代扣刷走696.44元，四笔订单全是深夜到凌晨发生的，单笔金额99.8元到199元，和齐女士的遭遇高度相似。
T3出行也没逃过--罗女士2024年注销的手机号被二次放号后，新号主打车的费用全部从她微信免密支付里扣走，累计600多元，平台要求她提供两年前异地营业厅的注销凭证才肯核实。
从哈啰到T3，从支付宝到微信支付，从广州到长沙、陕西、江西，这不是某一个平台的漏洞，这是二次放号支付漏洞--一个正在被反复触发、却始终没有制度性解决方案的结构性风险。
漏洞是怎么被精准触发的，三步就能看懂
齐女士的遭遇把这套漏洞拆解得足够清楚。
第一步，旧手机号注销后被运营商回收，进入"二次放号"流程，重新投放市场。齐女士两年前注销的旧号码，现在已经被新机主拿到手里。手机号循环复用是行业通行做法，运营商本身没有义务、也没有能力去解绑原号主绑定的第三方平台账号。
第二步，新机主用短信验证码登录哈啰，直接走进了齐女士当年的旧账号。旧账号上绑着什么？绑着齐女士的支付宝免密支付授权。这个授权一旦签约，除非用户手动关闭，否则永不过期、不随手机号注销而失效。
支付宝客服明确表示，与签约平台之间没有定期重新核对双方账户实名认证信息的机制。
第三步，新机主下单打车，钱自动从齐女士的支付宝里扣。关键在于，哈啰后台能清楚看到下单人的实名信息与付款账户的实名信息完全不一致，但平台没有触发任何二次校验--没有人脸核实，没有密码验证，连个弹窗提醒都没有。
盗刷者还精准地利用了免密支付的额度边界：齐女士设置的单笔免密限额是200元，账单一水的199元，凌晨三四点都在刷，还有"先付后退"的试探操作，一看就是在摸额度天花板。
三步走完，6551元就没了。而平台的风控，全程沉默。
为什么赔200元成了哈啰的统一口径，深层原因在这里
哈啰的处理逻辑在所有已曝光的同类事件中高度一致：初期推责，后期以"金额过大"为由只肯补偿200元，剩下的让用户自己去找实际乘车人追讨。这不是针对齐女士一个人的"难看"，而是平台在二次放号支付漏洞上建立的一套默认风险定价。
这套逻辑能成立，依托的是三个制度性缺失。
第一个缺失，免密支付授权没有动态终止机制。支付宝的《付款授权服务协议》写得很清楚：用户授权第三方发送扣款指令，无需输入密码、短信验证码或其他验证。一旦签约，这条授权链路就永久开放，除非用户手动关闭。
手机号注销、账号废弃、长时间不使用，都不触发自动终止--这意味着，只要用户忘了关，授权就永远是一扇打开的门。
第二个缺失，跨平台实名校验长期缺位。哈啰账户的实名信息与支付宝的实名信息出现不一致时，交易环节没有任何强制二次核验步骤。平台能识别出"下单人"与"付款人"不是同一个人，但系统选择不拦截。
央广网在分析类似盗刷案件时指出，小额免密额度区间（普遍150-200元）内的无真实场景、高频异地、凌晨时段交易，未被支付机构与第三方平台纳入强制二次核验范围，让不法分子可以精准利用这个规则漏洞持续作案。
第三个缺失，运营商与互联网平台之间没有号码状态联动核验机制。手机号注销后，运营商只清理自身业务，无权解绑第三方平台账号，而互联网平台普遍没有接入运营商的号码状态数据，无法实时获知某个手机号是否已被注销、是否已被二次投放。
这中间的信息断层，就是盗刷的温床。
三个缺失叠加在一起，形成了一个责任真空：运营商说我只管放号，解绑是你的事；支付机构说我只管执行指令，授权是你自己签的；服务平台说我只管提供服务，追钱你得找实际乘车人。每一方都只负责自己那一段，没有一个环节被要求对整条链路的安全负责。
用户被夹在中间，承担了所有溢出成本。
200元，就是这个真空中，哈啰给自己定的"安抚成本上限"。在齐女士案之前，陕西郭先生就收到过同样的200元方案。这不是个案协商的结果，而是平台在反复处理同类事件后形成的内部口径--一个"给点钱把用户打发了"的标准化操作。
这个漏洞不会自己消失，但风控责任不可能再推给用户
齐女士的案子目前还没有终局结论。她已向12345投诉，不认可200元补偿方案，截至2026年9月9日双方未达成和解。哈啰也未发布针对该事件的公开官方声明，目前所有回应均来自客服转述。最终赔付方案后续存在变更可能，监管部门也未给出终局定性。
但这件事的走向，不会只取决于这一个案子的调解结果。
2024年到2026年，"旧手机号二次放号+免密支付跨平台盗刷"已经反复发生，从哈啰到T3，从支付宝到微信支付，受害者的经历高度雷同，平台的处理模式高度雷同。
当一个漏洞被反复触发、受害人群不断扩大，而平台始终用同一套"200元封顶"的方案应对时，监管介入的必要性就在累积。
从法律层面看，平台把"用户主动开通免密支付"当作免责挡箭牌，站不住脚。《电子商务法》明确要求平台经营者对消费者负有安全保障义务，未尽责造成损害要承担相应责任。
平台明知下单人与付款人信息不一致、明知订单发生在异地凌晨高频场景，却不触发二次校验，风控的缺位本身就是责任。赔付之后平台有权向实际盗刷方追偿，但这个追责流程本应是平台去做，不该转嫁到普通消费者身上。
从技术层面看，解决这个漏洞并非无解。哈啰方面此前曾向南都记者表示，已依托工信部官方数据源搭建自动化风控处置体系，对二次放号账户进行识别和解绑。但齐女士的案子说明，这套体系远未覆盖所有场景。
央广网在调查同类盗刷事件时指出，支付机构需要建立小额高频异常交易监测模型，对无真实消费场景、非实名商户的支付指令强制触发身份核验与风险告知。这不是技术做不到，是成本没花到位。
对普通用户来说，眼下能做的只有一件事：注销手机号之前，把绑了免密支付的所有App一个一个解绑，尤其是出行、电商、视频会员这些高频场景。齐女士的109笔扣款、6551元的损失，本质上是一个提醒--平台之间的数据断层不会替你兜底，你的支付授权，只能你自己关。
