去年冬天，电支洞专一位朋友在便利店买水，付漏扫码付款后手机显示成功，题报店员却坚称没收到钱。电支洞专两人对着屏幕僵持了五分钟，付漏最后发现是题报支付平台的风控系统误判了这笔交易，钱卡在中间状态。电支洞专这种事不罕见，付漏只是题报大多数人没注意。

电子支付的电支洞专漏洞，很少是付漏电影里那种黑客攻破服务器的大场面。更多时候，题报问题出在"中间态"——钱从A账户扣了，电支洞专但没到B账户。付漏这个时间窗口可能只有几百毫秒，题报但足够让一笔交易变成悬案。某第三方支付公司的技术负责人跟我聊过，他们每天要处理上千笔"单边账"，大部分靠自动对账系统消化掉，剩下的就得人工介入。人工介入意味着时间，时间意味着用户可能已经打了投诉电话。

二维码支付有个经典漏洞：替换收款码。2019年，温州警方破获一起案件，犯罪嫌疑人在菜市场摊主的二维码上覆盖了自己的收款码，顾客扫码付款，钱进了嫌疑人账户。摊主忙着称重，根本没注意。这个漏洞的本质不是技术问题，是物理世界的信任被数字化了，但数字化没有解决信任验证。你扫的码到底是谁的？支付平台不告诉你，它只负责转账。

免密支付是另一个雷区。打车软件、视频会员、外卖平台，到处都在诱导你开通。开通时一键搞定，关闭时得翻三层菜单。有次我帮长辈关掉某App的自动续费，发现关闭按钮藏在"帮助中心"的二级页面里，字体还是灰色的。这不是漏洞，这是设计出来的陷阱。但陷阱用多了，用户就会把所有问题都归为"漏洞"，信任就是这么消耗掉的。

技术层面，Token化支付算是个进步。信用卡号不直接传输，换成一次性令牌。但令牌也有寿命，有些平台为了省事，令牌有效期设得太长，被截获后依然能复用。去年某电商平台的数据泄露事件，泄露的不是卡号，是令牌。攻击者用令牌在别的商户消费，持卡人收到账单才发现。银行说这是商户的责任，商户说这是支付平台的锅，支付平台说用户没保管好信息。三方踢皮球，用户买单。

还有一类漏洞跟"异步"有关。你转账时看到"处理中"，以为等一会儿就好。但系统可能已经失败了，只是没通知你。某银行App的推送延迟高达十几分钟，用户以为转账成功，又转了一笔。两笔都扣款，一笔到账，另一笔要等三天才退回。这三天里，用户的现金流就断了。技术上说，这是消息队列的积压问题；用户感受上，就是钱莫名其妙没了。

跨境支付更乱。不同国家的清算系统对接，时差、汇率、合规审查，每个环节都可能卡住。有做外贸的朋友收一笔欧洲客户的款，走了七天，中间被反洗钱系统拦了两次。每次拦截都要提交材料，材料提交了还得等人工审核。他说这七天里，他每天都在算汇率损失。电子支付号称"实时"，但实时只存在于理想状态。

说到底，电子支付的漏洞分两种：一种是技术没做好，一种是商业故意没做好。前者可以修，后者只能靠监管和用户自己警惕。别把所有支付平台都当成银行，它们本质上是科技公司，科技公司的逻辑是"先上线再迭代"。迭代的代价，有时候就是你的钱卡在半路。