凌晨三点，美国我手机屏幕亮起一条推送：信用卡在洛杉矶某加油站消费了847美元。信用我人在北京，卡盗正裹着被子睡觉。美国那台加油泵大概永远想不到，信用它刷的卡盗是一张此刻正躺在床头柜里的卡。

盗刷就这么简单。美国不需要偷钱包，信用不需要破解密码，卡盗甚至不需要接触你的美国卡。犯罪分子只需在某个暗网花几美元买一串卡号，信用再复制到一张空白磁条卡上——整个过程像下载一首歌那么轻松。卡盗美国的美国支付系统还在沿用上世纪六十年代的磁条技术，那张黑色磁条里存着你的信用全部身份信息，读卡器一划，卡盗钱就飞走了。

我打电话给银行时，客服小姐声音甜得像在播天气预报。她问了我三个安全问题：母亲婚前姓什么、第一辆车的型号、小学名称。我全答对了，但心里发毛——这些信息早在我十年前注册某购物网站时就泄露了。银行冻结了卡片，承诺十天后退款。十天后钱确实回来了，但那张新卡在第七天又被刷了一笔，这次是佛罗里达州的超市，买了两打鸡蛋和一箱啤酒。

美国银行的防盗机制像个筛子。芯片卡推行多年，但很多加油站、小餐馆的终端机仍然只认磁条。更荒谬的是，即便你的卡支持芯片，系统也允许降级交易——盗刷者把芯片卡的信息写进磁条卡，照样能刷。这不是技术问题，是利益问题：全面升级终端的成本，远低于赔付盗刷损失。银行算过这笔账，他们宁愿每年赔几十亿美元，也不愿花上百亿改造基础设施。

我有个在纽约做程序员的朋友，他专门研究过这个。他说盗刷团伙现在都用人工智能扫描购物网站的数据泄露记录，把卡号、有效期、CVV码自动配对，再批量测试小额交易。一块钱、两块钱的试探，不惊动风控系统，等确认卡能用了，马上在奢侈品网站下单。整个过程不超过四小时。

最讽刺的是，我收到退款的那天，银行寄来一封感谢信，感谢我“及时报告可疑交易”。信纸烫金，印着行长的签名。我把它扔进抽屉，想起上个月在旧金山旅行时，一个流浪汉举着纸板写着“我连信用卡都没有，所以我很安全”。当时我笑了，现在觉得他才是真正的智者。

美国每年因信用卡盗刷损失超过百亿美元，但没人真正在乎。银行有保险，商家有拒付保护，消费者有责任豁免——每个人都觉得损失由系统承担，于是系统继续漏风。我后来学会了所有卡片设置消费提醒，每次刷完都立刻检查手机。这就像在漏雨的屋子里放满水桶，接得住就没事，接不住就自认倒霉。你问我为什么不用现金？因为在这个国家，用现金的人反而会被当作可疑分子。