“救命钱就这样没了！”2026年2月12日，湖北十堰郧西县，周先生走进银行准备取钱给患癌的妻子买药。他记得卡里存着8.2万，那是专门留着的救命钱。柜员操作了一下，告诉他取不了，账上只剩不到四千块。

周先生愣在原地，反复核对了好几遍余额：3904.33元。

他当场报警。后来警方查明的事情，比“钱没了”三个字更让人脊背发凉：早在1月24日上午，他的工行卡就已经被人盯上了。8点39分到8点46分，短短七分钟，17笔“数字人民币兑出”接连发生，99.9元、1999元、一笔接一笔，像有人拿着钥匙在保险柜里从容扫货，合计9093.9元。

同期还有3笔数字人民币消费、多笔银联消费。第二天凌晨零点三十七分，一笔47232.23元的“无卡支付”划了出去，收款方是境外账户，户名“Moncler”。

几个小时后，卡里只剩下3904.33元。损失约七万八千元。

这里有一个细节，周先生后来对记者说了好几遍：他每个月雷打不动被扣3块钱短信服务费，这20多笔交易，一条短信都没收到。他没开通数字人民币功能，手机在那段时间没有任何操作，卡一直揣在自己兜里。

郧西县公安局调查后出具了书面证明，措辞很明确：周先生未对手机和名下银行卡进行任何转账、支付、授权或信息泄露操作，涉案资金系被他人以非法手段盗刷，受害人对此无任何过错。

拿着盖了公章的证明去找银行，周先生以为自己讨说法有了依据。工行陕西分行相关负责人的回应很冷静：公安机关的无过错证明“仅用于刑事立案，不能直接作为划分民事赔偿责任的依据”，建议走诉讼，法院判多少赔多少。

翻译一下就是：你去告吧。

这句话让很多人不舒服，不是因为银行在程序上说了什么离谱的话，恰恰因为它在程序上说得没错。刑事上认定你无辜，和民事上银行该赔多少，确实是两套逻辑。

但这个“没错”放在一个妻子等着买药、七万多块在几分钟内蒸发、连一条提醒短信都没收到的普通人面前，冰冷得让人说不出话。

我真正觉得不对劲的地方，不在银行愿不愿意赔，而在于：那七分钟里，银行的风控系统去哪儿了？

七分钟，十七笔交易，收款方涉及多家不同银行的数字人民币钱包，最后一笔还是境外账户。这种密度、这种金额跨度、这种交易对手的分散程度，放在任何一个正常的风控模型里，都应该是亮红灯的信号。

广发银行公开介绍过他们的风控系统，“对每一笔交易进行毫秒级分析，包括交易地点、用户消费习惯等，快速识别异常交易并采取行动”。

中信银行也有所谓“哨兵监控系统”，曾成功拦截境外NFC盗刷。这些能力是真实存在的，不是天方夜谭。

那为什么周先生的卡上，这些系统一个都没触发？

更让人不舒服的是另一条对比线。普通人去柜台取五万块现金，柜员会问你钱用来干什么、最近有没有接到陌生电话、有没有人让你转账。问得仔细，态度可能还有点居高临下。

反诈宣传说这是为了你好，你配合一下也认了。可当一个账户在七分钟内被十七笔数字人民币交易疯狂掏空的时候，这套严防死守的姿态突然消失了。

风控不是没有能力，是有选择地睁一只眼闭一只眼。对柜台前的真人客户可以盘问半天，对发生在数据流里的异常转账却反应迟钝。这让人很难不产生一个不舒服的联想：风控系统对“麻烦的普通人”足够严格，对“麻烦的交易”反而足够宽容。

银行方面还有另一层说法。工行在给周先生的事项处理意见书中提到，银联回复称“客户合计57700.85元为通过客户手机号验证支付”，不属于银联或商户赔付范围。

意思是：这些交易在系统看来是通过了验证的，验证方式是你的手机号，所以不是我们单方面的问题。

这个逻辑如果成立，会引出一个很要命的追问：如果盗刷者在境外、周先生的手机在国内、银行卡在周先生身上，那这个“手机号验证”是怎么通过的？验证码发到了谁的手机上？周先生说他一条短信都没收到，那验证码是被拦截了，还是走了某种旁路通道？无论是哪一种，银行的安全验证机制都没有完成它应该完成的任务。

但周先生要走到那一步，得先过了诉讼这道关。网上金融调解在4月10日已经做过一次，没谈拢。接下来如果起诉，时间、精力、律师费，对一个妻子正在抗癌的家庭来说，每一项都是实打实的消耗。银行很清楚这一点。那句“你去告”，底气不来自法律上的优势，来自成本上的不对称。

普通人在金融机构面前最无力的地方，不是银行一定赢，而是银行输得起，你输不起。

周先生的钱能不能追回来，取决于接下来法院怎么看那七分钟里发生的事，怎么看那十七笔交易里银行系统的沉默，怎么看一个每个月交着短信费却一条提醒都没收到的持卡人的位置。

这些问题的答案，法院会给。但那个等着买药的妻子，不一定等得起。