2017年元旦刚过，支付一个程序员在杭州某出租屋里，宝漏对着手机屏幕愣了几秒。洞万他刚刚用支付宝给自己的支付另一个账号转了20万，账户余额没少，宝漏反而多了5块钱。洞万他反复试了几次，支付每次转账后，宝漏系统都会因为某个“逻辑错误”给他返还一笔“奖励金”。洞万那天晚上，支付他叫了三个朋友，宝漏四个人点了八份外卖，洞万用同一个套路，支付把支付宝的宝漏“奖励金”薅出了近万元。第二天，洞万消息在一个小圈子里炸开——不是通过新闻，而是通过几个加密聊天群。

这个漏洞的根源，是支付宝当时推出的“资金归集”功能。简单说，你设置一个规则，系统会自动把子账户的钱汇总到主账户。但规则里有个边界条件没写清楚：当转账金额恰好等于某个阈值时，系统会先触发“奖励金发放”逻辑，再执行“扣款”逻辑。顺序反了。结果就是，你先收到钱，再被扣钱，但扣款因为金额归零而失败——白赚。

我认识一个参与“薅羊毛”的在校大学生，他当时没觉得这是违法，只当是“平台BUG，跟捡钱一样”。他拉了个宿舍群，四个人凑了8万本金，用几十个账号反复倒腾，三天赚了12万。他说最疯狂的时候，支付宝客服电话被打爆，但没人知道怎么处理——因为后台数据显示，每一笔交易都“合法”通过了风控。漏洞持续了整整一夜加一个上午，直到支付宝工程师从日志里发现异常：同一IP地址在短时间内发起了上千次“归集”操作。

最终，支付宝官方通报称，共有约2000个账户涉及异常操作，涉及金额1300万元。但注意，这不是“被盗”，而是“被薅”。法律上定性很模糊——用户利用了系统漏洞，但没有入侵系统，没有伪造数据。这跟黑客攻击完全是两码事。当时有一个争议很大的案子：一个程序员薅了30万，被起诉后，法院判了“盗窃罪”，理由是“明知是漏洞仍利用，属于非法占有”。但也有律师公开反驳，认为这更像“不当得利”，顶多算民事纠纷。

这事后来怎么收场的？支付宝没有追回全部款项，只对金额超过5万的用户发了律师函，要求限期退还，否则起诉。那1300万里，据说有300多万是几块钱、几十块钱的小额，根本没法追。那个大学生退了12万，但他说自己亏了——因为本金8万是借的，利息都还了1万。而那个最初发现漏洞的程序员，后来在论坛上发帖说：“我本来可以赚500万，但只拿了1万就收手了。现在想想，后怕。”他没被追责，但支付宝把他的账号永久封禁，还上了征信系统的“特殊名单”。

这件事过去七年了，现在回头看，最讽刺的是——支付宝后来把“奖励金”功能改成“先扣款，后发奖”，彻底堵死了顺序漏洞。但没人公开承认那是漏洞，官方只说“系统升级”。而那个1300万，成了中国互联网史上最著名的“白嫖事件”之一。每次有新的支付平台上线类似功能，老网民都会在评论区提醒一句：“小心被薅到破产。”但说真的，平台方该反思的不是技术，而是他们设计规则时，总默认用户是善意的——这恰恰是最大的漏洞。