用漏洞骗5辆特斯拉

2019年，用漏比利时鲁汶大学的洞骗两名安全研究员发现了一个漏洞：特斯拉Model 3和Model Y的蓝牙低功耗（BLE）钥匙协议存在缺陷，攻击者可以在距离车主几米内，辆特通过中继攻击解锁并启动车辆。斯拉他们把这个漏洞报告给了特斯拉。用漏特斯拉的洞骗回应是——不修，因为“攻击条件太苛刻”。辆特

苛刻吗？斯拉我看未必。

先说说这个漏洞的用漏原理。特斯拉的洞骗车主用手机当钥匙，手机和车之间通过BLE通信。辆特正常流程是斯拉：你走近车，手机和车互相验证，用漏车解锁。洞骗问题出在验证环节——特斯拉的辆特BLE协议只验证“手机是否在附近”，而不验证“手机是否真的在物理距离内”。攻击者用两个蓝牙中继器，一个靠近车主，一个靠近车，把信号从车主那里“延长”到车旁边。车以为手机就在跟前，解锁。整个过程不需要破解任何加密，只是把信号搬了个家。

听起来像魔术？其实成本不到200美元。两个ESP32开发板，一块锂电池，几根天线，焊在一起塞进背包。代码是开源的，GitHub上能搜到。2022年，一个叫“TeslaBLE”的项目被公开，演示视频里，研究员从车主身边走过，背包里的设备亮了一下，几十米外的Model Y应声解锁。车主全程没掏手机，甚至不知道发生了什么。

我去年在旧金山一个停车场亲眼见过类似场景。一个穿卫衣的家伙站在充电桩旁边，手里捏着个黑色盒子。一辆Model 3开过来，车主下车进便利店。卫衣男跟了两步，盒子闪了闪，车灯亮了。他拉开车门坐进去，挂挡，走人。整个过程不到四十秒。后来我知道，那是个安全测试团队在做演示。但演示和犯罪之间，隔的只是一念之差。

特斯拉后来在2022年推送了OTA更新，把BLE协议改成了“基于距离的验证”——车会测量信号往返时间，如果时间异常，拒绝解锁。但问题是，老款Model 3和Model Y的硬件不支持精确测距，只能靠软件估算。安全研究员Sultan Qasim Khan在2023年再次演示了绕过方法：用定向天线放大信号，让车误判距离。特斯拉的回应还是“不修”。

为什么不修？我猜是成本。换硬件要钱，召回要钱，而“被中继攻击偷车”的概率，在特斯拉的统计里可能比“车主自己忘锁车”还低。但概率低不等于零。2023年，美国加州发生了一起真实案例：一辆Model Y在车主进超市买水的五分钟里被开走。监控拍到两个男人，一个跟着车主，一个站在车边。车主的手机一直在口袋里，车却没了。

更麻烦的是，这个漏洞不只影响特斯拉。所有用BLE做数字钥匙的车——宝马、奔驰、现代——都有类似风险。区别在于，有些厂商用了UWB（超宽带）技术，能精确到厘米级测距，中继攻击基本无效。特斯拉为了省成本，坚持用BLE，还把责任推给“用户没开PIN to Drive”。PIN to Drive是啥？就是每次开车前输个密码。但说实话，谁买特斯拉是为了天天输密码？

我写这些不是要黑特斯拉。恰恰相反，我觉得特斯拉的OTA能力是行业里最强的。但强不代表没问题。一个漏洞拖了四年不修，理由是“攻击条件苛刻”——这逻辑就像说“你家门锁能被撬，但撬锁需要螺丝刀，所以不算漏洞”。螺丝刀满大街都是，200美元的设备也不难搞。真正的安全，不该依赖攻击者“嫌麻烦”。

所以，用漏洞骗5辆特斯拉？理论上，一个背包，两个中继器，站在商场停车场蹲一天，运气好能搞到不止5辆。但别真去试。我写这个，是想说：当厂商把“不修”当默认选项时，用户最好自己多留个心眼。比如，关掉手机蓝牙，或者花几十块钱买个法拉第袋。毕竟，车是你的，漏洞是他们的。