本文来自微信公众号： 奇点湃 ，作者：李喆
01
一个「空号」打来的车
如果不是招商银行发来的一条活动短信，齐女士还不会去看自己的支付宝余额。据钱江视频2026年9月9日报道，这位广州用户倒查账单后发现，自2026年7月25日起，她的账户被哈啰打车持续扣款，共109笔订单，累计6551.34元。她从未打过这些车。
账单细节说明这不是普通的异常扣费。最早一批发生在7月25日下午3点半到晚上9点，一天内20笔，全是十几元的小额车费。从7月29日起，对方转为固定节奏下单，金额逐步放大到199元。齐女士的支付宝免密支付限额设为200元，账单里反复出现的199元，正好卡在限额之下一分钱。还有一个细节：多笔订单在支付成功后不久即发生退款。这种「先付后退」更像试探：盗刷者在确认这条扣款通道是否真实可用。齐女士本人一直在用哈啰App打顺风车，开通了支付宝免密支付，没有更换过在用手机号，也没有向任何人透露过密码。
发现异常后，她关闭了哈啰车费免密支付，并向12345投诉。哈啰客服的答复是：盗刷账户绑定的是齐女士两年前已注销的旧手机号，平台尝试联系该号码，发现已是「空号」。客服表示，手机号注销不影响绑定的支付宝免密支付功能，平台「不清楚平台账号和支付账号实名之间的具体关系」，对损失不负责赔偿，建议报警处理，但「考虑到消费者体验」，愿意补偿200元。
齐女士不认可这个方案。6551.34元的损失和200元的补偿之间差着三十多倍，而且问题出在平台的账户核验上，不该由她来承担。截至2026年9月9日，哈啰未就此事作出第二次公开回应，支付宝方面也未公开表态。
还有一个背景。就在齐女士被盗刷的同一时期，2026年7月下旬，全国多地用户集中投诉哈啰「幽灵订单」。哈啰向正观新闻证实存在「换绑合并」问题，知情人士称其已依托工信部官方数据源搭建自动化风控体系，识别二次放号账户并交叉验证后解绑。这套表态发布于7月27日，而齐女士的盗刷从7月25日就已开始。风控是否起效，109笔订单摆在那里。
02
钱是怎么没的
这6551.34元不是一次漏洞造成的，而是四个环节串起来的。
第一个环节是「二次放号」。运营商把已注销的手机号冻结一段时间后重新投放市场，《电信服务规范》规定冻结时限最短为90日，一个号码从停用到重新投放，理论上约需180天。据新华网2025年5月报道，工信部已组织运营商推出「二次号码焕新」服务；工信部2026年1月披露，基础电信企业放号前批量焕新二次号码超2.5亿个、解绑互联网应用超10亿件次。但监管部门承认这套机制「不能做到全量解绑」，运营商也无权替用户清理在第三方平台的绑定。
第二个环节是哈啰的账户核验。据信网·信号新闻报道，哈啰官方客服证实，未完成实名认证的账号，仅凭一条短信验证码就能改绑手机号，不需要人脸或身份证核验。也就是说，谁拿到了二次放号的旧号码，谁就能接管这个号码名下的哈啰账户。
第三个环节是免密授权跟账号、不跟号码。齐女士签约的「支付宝免密支付」，在支付行业叫「代扣协议」：用户授权商户直接发起扣款，不用逐笔输入密码。这份授权绑定的是哈啰账户，不是手机号。旧号注销两年，授权依然有效。
第四个环节是支付宝的代扣执行。支付宝的风控系统会给每笔交易评分，但来自已签约商户的扣款指令，会被视为用户授权过的正常商业扣款，风险评级天然偏低。海峡都市报2026年5月报道中，研究数据合规的学者吴沈括指出，不法分子刻意把金额控制在免密额度之内以规避大额风控，暴露出支付机构在小额高频交易上的核验缺失与监测滞后。
齐女士案单笔平均约60元，109笔分散在40多天，大量发生在凌晨，正落在这个盲区里。代扣交易通常只有App内的账单记录，没有逐笔短信提醒，央行银发〔2020〕248号文要求的「及时向付款人逐笔提示」，在这类场景里落空了。
四个环节，每一环单看都有自己的说法：运营商有规范依据，哈啰说用户签约在先，支付宝认为商户指令正常。但叠加起来的结果是，一个广州上班族在毫不知情的情况下，替空号背后的陌生人买了109次单。订单金额卡在199元，说明盗刷者很清楚各家平台的免密限额。
03
200元话术与支付宝的角色
哈啰的「补偿200元」不是临场反应，而是一套用过的话术。
据华商报2026年7月报道，陕西郭先生从未用过哈啰打车，因妻子停用的手机号被二次放号，账户被他人共用扣款800余元。哈啰承认账户被共用，赔付方案却从50元起步，被拒后涨到80元、100元、120元，最后停在200元的「最高补偿」，始终拒绝全额退款。两个月后，齐女士收到同一个报价。
这个报价或许算过维权成本：12315调解最长45个工作日且没有强制力，报警和诉讼都以月计，多数人会选落袋的200元。2024年9月，上海一名用户被哈啰免密扣款21笔、3000余元，哈啰的表态是「平台不能作为承担无限牵连责任的一方」。把赔付说成「协助追回」，把民事纠纷推向刑事程序，是同一种处理方式。
哈啰的账户安全问题早有记录：据搜狐2026年1月报道，郑州元先生注销6年的手机号仍能扣他的支付宝，哈啰承认系统只靠手机号识别用户，没有与运营商同步号码状态；其租电动车业务还被央视「3·15」晚会曝光。
这场纠纷里，支付宝被淡化了：哈啰建议用户报警，用户找哈啰讨说法，真正扣款的支付机构至今没有说话。但从资本结构看，它不是旁观者。
据哈啰2021年递交的纳斯达克招股书，蚂蚁集团旗下Antfin(Hong Kong)Holding Limited持股36.3%，是哈啰第一大股东。齐女士被盗刷的通道，正是「哈啰出行免密支付」这条支付宝代扣协议。订单在哈啰App产生，钱从支付宝划出，商户是蚂蚁持股36.3%的公司，通道是蚂蚁运营的产品。用户眼中的两家公司扯皮，其实是同一生态内部的责任分割。
支付宝自己也作过承诺。「你敢付我敢赔」始于2005年，对免密场景的口径是「被盗全赔、先行赔付」，但赔不赔由平台裁量：被诈骗、泄露验证码，都可能算作「用户原因」拒赔。腾讯新闻2026年3月报道，福州一名用户挂失支付宝后仍被盗刷约400笔、2.84万元，支付宝反复判定「非他人盗刷」，媒体介入后才道歉和解。实践中的逻辑是验证要素通过即推定本人操作，而日志、IP、设备指纹都在平台手里，取证负担落回了用户。
法律文本的安排相反。央行2015年《非银行支付机构网络支付业务管理办法》（第43号令）第十九条规定，支付机构应当对「不能有效证明因客户原因导致的资金损失」及时先行全额赔付；第二十四条要求，对不足两类要素验证的小额免密交易，支付机构应承诺无条件全额赔付。最高法2021年《关于审理银行卡民事纠纷案件若干问题的规定》第四条确立举证责任倒置：支付机构主张交易系用户本人操作的，应当自己举证；第十条明确，宣传材料中的先行赔付允诺构成合同内容。指导案例169号（徐欣诉招商银行案）更直接：仅以「身份识别信息和交易验证信息相符」为由免责的，法院不予支持，判银行全额赔偿14.62万元。
监管在收紧：三部门《互联网平台价格行为规则》2026年4月施行，首次把免密支付写入部门规章，要求扣款前显著提醒并允许随时取消。规则越来越全，齐女士案偏偏发生在规则最严的年份。
回到齐女士案：按第43号令第十九条，支付宝不能有效证明损失系客户原因，就应先行全额赔付；其「被盗全赔」的宣传，按最高法司法解释第十条构成合同内容。截至2026年9月9日，支付宝尚未公开表态。这条扣款链条上，每一环都能找到免责的理由，唯一没有理由的，是没犯任何错的用户。