二維碼支付被停是“錯殺”嗎？

2014年3月13日，央行下發緊急文件《中國人民銀行支付結算司關于暫停支付寶公司線下條碼（二維碼）支付等業務意見的函》和《中國人民銀行支付結算司關于暫停財付通線下條碼（二維碼）支付等業務意見的函》，“暫停”（不是叫停）支付寶、騰訊的虛擬信用卡產品，同時叫停的還有條碼（二維碼）支付等面對面支付服務。傳統金融業拍手叫好：早該管管了！互聯網業痛心疾首：這是開歷史倒車。有人直指這是這是銀聯的小動作，銀聯反擊：施陰謀者最易以陰謀論指人。

先說說央行懲罰八家第三方支付公司的背景，這是源于一個“信用卡預授權漏洞”。信用卡有一個預授權功能，額度可以是溢繳款的115%。于是，有人蓄意往一張透支額度1萬元的信用卡里存入100萬元，然后找商家刷出115萬元，套出15萬元利益消失。當2014年1月大家發現這個漏洞的時候，涉案金額已經到了100億元，相關機構損失可能達到15億元左右！

有人說這是收單機構（第三方支付）的問題，有人說這是銀聯的規則的問題，有人說這是發卡行發了太多虛假的卡無法追查的原因。但不管最后板子打在誰的身上，這15億已經蒸發了。一個小小的漏洞導致15億的損失，發卡行沒有詳細審查用戶資料的罪責難逃。這也解釋了為什么央行要暫定“虛擬信用卡”的發行，因為這“違背和動搖了金融賬戶實名制的根基”。金融的風險不發生則罷，發生起來就風圈殘云，天地為之變色。

再舉一個例子。今年2月初，全球最大比特幣交易平臺Mt.Gox以技術故障為由，停止用戶提現的服務。2月25日Mt.Gox正式申請法院破產保護，據媒體報道Mt.Gox因為受到黑客攻擊，總共744408個比特幣失竊，價值3.5億美元，該平臺因此資不抵債已申請破產。

這是怎么回事呢？據一位業內人士說，該比特幣交易平臺上的一個漏洞被黑客發現，讓用戶提現自己的比特幣后，平臺認為這筆提現沒有成功。黑客利用這個漏洞，迅速反復提現，提空了平臺上74萬枚比特幣，瞬間3.5億美元蒸發。比特幣不記名，無從追查，平臺自己必須承擔責任。因為無力向其他用戶償還3.5億美元，全球最大的比特幣交易平臺Mt.Gox唯有宣告破產。這印證了金融業的那句老話：如果沒有做好風險控制，做得越大，死得越快。

那么，二維碼支付到底有沒有安全風險呢？我看到一份資料，里面對二維碼支付可能遇到的風險做了詳盡的分析（你的競爭對手總是最了解你的），從手機客戶端支付軟件、用戶銀行卡賬號/密碼安全、后臺轉接清算系統的安全、二維碼編碼/解碼/傳輸的安全、“微POS”們的安全等5個方面解析了二維碼支付可能遇到的攻擊。作為一個在微軟工作了14年的IT人士，我認為這些分析不是沒有道理。我們甚至可以從這些分析中，一點一點架構出一個攻擊方案，確實比較可怕。

最后說說央行，在我看來，其實都是非常基本的要求，非常柔和，一點都不過分。比如，中國第一家P2P公司拍拍貸，成立8年來，一直堅持“只能提供信息服務，資金不能做杠桿，不能吸收存款”，那些違反這些原則做擔保的，紛紛倒閉。這些監管，將非常有利于肅清互聯網金融的本源，讓投機者出局。

所以，作為“互聯網金融”的極力的支持者，我其實理解這次央行“暫停”虛擬信用卡和二維碼支付的出發點。這不是一次倒退，而是一次飛躍前的蓄勢。