10月25日早上，湖南湘潭的周女士在早餐摊买了一份7块钱的早饭。扫码付款，手机弹出来四个字：余额不足。 那张建设银行卡里放着她近26万的积蓄，是她全部的家底。她赶紧查账，钱没了，不是刚没的。银行流水打出来，钱在六天前就开始一笔一笔往外走了。 最大的一笔131315.8元，十三万多，一次性出去的。除此之外还有5笔999元、2笔1999元、1笔111046元、1笔5600元，最后一笔一笔加起来，256954.8元，清空。 她打电话给银行，工作人员查完之后说了一句话，让她后背发凉：对方的手法“相当娴熟”，先把短信通知取消，再登录手机银行把基金赎回、定期转出，再开通数字人民币，做了一笔结售汇，换成港币，汇到香港。 周女士对着记者说了一句话，比26万这个数字更让人难受：“我平时不接骗子电话，不给验证码和授权码，也没点过不明链接。”银行卡密码连家人都不知道。 传统的防诈常识，她一条一条都做到了。不接、不给、不点，钱还是没了。 10月17日凌晨3点03分，她的银行卡短信提醒被取消了。凌晨三点，人在睡觉，短信提醒是账户安全的第一根线，钱一动手机就响。这根线被剪断的时候，她什么都不知道。 短信没了之后，操作开始了。先登录手机银行，把基金赎回，再把定期存款转出来。然后开通数字人民币钱包，办了一笔结售汇，把人民币换成港币，汇往香港。 六天里，近26万分多笔被转走。 周女士唯一能回忆起来的异常，是事发前有一晚，手机出现了不受控制的情况，黑屏，闪烁。她当时不知道那意味着什么，现在回头看，那可能就是门被打开的时刻。 手机黑屏闪烁，不是手机坏了。在已知的静默盗刷手法中，这正是骗子远程操控手机的迹象之一。整个过程中，她的手机在自己手里，但执行指令的人不在她身边。 周女士这件事之所以让很多人看完心里发毛，不是因为26万这个数字大，是因为它撞碎了一套大家背了好几年的安全口诀。 过去几年，反诈宣传反复讲的是同一套东西：陌生电话别接，验证码别给，链接别点，屏幕共享别开。 这套话术默认的前提是，骗子得先跟你说话，骗你动手，你只要守住“不听不信不转账”，钱就是安全的。 周女士的遭遇把前提推翻了，骗子没有跟她说话，没有跟她要验证码，甚至没有让她点任何东西。他们绕过了“人”这个环节，直接进入了她的手机和她的银行账户。 这套东西有个名字，叫“静默盗刷”。 2026年7月湖北省公安厅公布的一批新型骗局典型案例里，“静默盗刷”被单独拎了出来：手机在枕边无故亮屏，银行卡里的钱一笔笔不翼而飞，全程无需密码、无需验证码、没有任何弹窗提醒。 骗子通过伪装成清理工具或者色情软件的木马程序，诱导用户启动手机的“无障碍权限”。这个权限本来是给视障用户设计的，一旦被恶意软件拿到，就等于把手机的控制权交了出去。 木马会隐藏图标，潜伏在系统深处，等用户熟睡之后启动，远程操控手机转账，同时让受害人收不到银行发来的短信验证码。 周女士回忆里的“黑屏闪烁”，与已知静默盗刷手法中‘控制权被远程接管’的迹象高度吻合。她输的不是“不够小心”，她输给的是一套不需要她配合的攻击方式。 10月17日凌晨3点03分，短信提醒被取消。在银行系统里，修改通知设置、关闭短信提醒，通常需要登录验证。凌晨三点，一个正常用户不会在这个时间做这件事。 如果银行的风控规则里有一条“凌晨修改安全设置触发人工核实”，后面的六天可能是另一个故事。但没有这条规则，或者有，没有触发。 更值得追问的是后面那一串操作：赎回基金、转出定期、开通数字人民币、结售汇、跨境汇款。这一连串动作在六天里完成，每一步都在银行后台留下了痕迹。 大额赎回、频繁转账、换汇出境，放在任何一个正常的风控模型里，都该亮灯。 但银行有另一 套 说法。短信提醒被取消之后，验证码和人脸核验全部通过了，系统认的是验证结果，它没法隔着屏幕判断操作的人是不是机主本人。 在银行后台看来，这就是“本人正常办理”，银行说疑似电诈，建议周女士报警走司法途径。 这里的分歧不是“谁在撒谎”，是两套逻辑撞在了一起。银行的风控认的是“验证有没有过”，周女士的遭遇证明的是“验证过了，不代表是本人”。 当“本人操作”可以被远程伪造的时候，银行把“验证通过”当作免责依据，这个依据本身就松了。 钱能不能追回来，赔不赔，最后要看警方的侦查结果和法院对过错划分的认定。 但有一个事实已经摆在了台面上：周女士的钱是在“本人不知情、未操作、未授权”的情况下被搬走的。她输的不是“不够小心”，是一整套安全机制在关键节点上同时沉默了。 银行工作人员描述的最后一环，比短信被关更值得行业里的人警惕。 操作链条的终点是：开通数字人民币，办结售汇，换成港币，汇往香港。数字人民币的设计初衷是便利支付、提升金融效率。 但在这条链条里，它被用成了一个“中转站”。 对骗子来说，这条路径的好处很直接：数字人民币钱包的开通和转账在某些环节上比传