张先生出狱后看到余额只剩六块四毛三，很多人第一反应是追问“谁转走的”。
这个问题当然要查，但比它更值得追问的是另一个问题：在他完全失去人身自由的七年里，为什么他的数字账户仍然像一个无人看管的房间，谁拿到钥匙谁就能进？
答案藏在一个长期被忽略的裂缝里。
线下涉案财物有一套运行了几十年的规矩，现金要存入唯一合规账户，物品要由不办案的人保管，办案与管理必须分离。
但这套规矩管得住钞票和实物，管不住手机里的那个支付宝。
手机作为物理设备被扣押了，可手机里登录着的支付账户，既没有被当作“款项”冻结，也没有被当作“物品”封存。
它只是“手机里的一个App”，于是它的安全默认交给了保管手机的人。
太谷警方扣押了张先生的手机，支付宝换绑发生在扣押期间，47万余元从余利宝被分批提现转走。谁碰过那部手机，谁就事实上握住了账户的操作权。
更麻烦的是，平台的风控逻辑恰好在这个场景里失灵了。
支付宝换绑手机号的验证前提是“能操作已登录设备的人就是本人”，在原设备已登录状态下，输入新号码收到的验证码就能完成换绑，客服也确认绑定号码可以换成非本人号码。
这套设计对付普通盗号够用，但它预设手机在用户自己手里。当手机在公安扣押保管之下，这个预设从根上就塌了。
所以张先生的遭遇不是某一个坏人碰巧钻了空子，而是一个结构性漏洞的必然结果。
有人会说，查实了是谁转的，按盗窃罪追责不就行了。绍兴就有民警利用保管扣押手机的便利重置密码转走嫌疑人4万余元，检方认定盗窃；江西奉新县一名原民警盗用嫌疑人微信消费，被判了三年三个月。事后追责路径是通的。
但事后追责解决不了事前的问题。
在张先生之前，已经有服刑人员被羁押仅二十天，账户里38万就被转走，冒名申请网贷甚至没有触发强制人脸核验；福州在专项检察中排查监狱账户时，也发现了多起违规“借卡消费”。
这些案例说明，当一个人的物理身体被关起来，他的数字身份却还在系统里正常“活着”，而且被默认交给了一个没有明确法律授权、也没有技术约束的“临时保管人”。
真正需要补上的，不是某一个平台的验证码多一道关口，也不是某一地警方的内部纪律重申。
需要补上的是一项独立的制度安排：把“数字资产的封存”从“手机保管”里拆出来，让账户在户主失去自由的那一刻进入类似“司法冻结”的状态，而不是继续挂在一部被扣押的手机上等人操作。线下涉案财物能做到办案与管理分离，数字账户没有理由做不到。
热门跟贴