女子称关闭支付功能后，180多万凌晨莫名通过支付宝捐给慈善机构

近日，山西兰女士称自己名下近184.7万资金，在其不知道的情况下，于2023年10月21日凌晨3时至7时，通过个人支付宝账户分6笔捐赠给国内3家慈善机构，事发多年维权未果，反倒因此背负沉重债务。

当事人：关闭账户支付功能两天后，近184.7万元资金分6笔被转走

兰女士说，自己和朋友合伙运营多家淘宝店，这些资金既有她刷信用卡套出来的周转金，也有从亲戚朋友那里借的钱，还有一部分是帮朋友暂时代管的货款。

兰女士称：2023年10月19日，她发现支付宝账号被他人挤下线，担心资金安全，随即联系支付宝客服，申请关闭账户支付功能。可没想到，仅仅两天后，账户内资金被转走。

“转账发生在凌晨，当时我在睡觉，完全没有任何操作。10月21日早上醒来后，我才发现钱通过支付宝转走了。”兰女士说道。

兰女士后续调取电子客户回单显示，6笔转账时间、金额及接收方均有明确记录：2023年10月21日3时37分发生第一笔转账，金额5元，转给中华思源工程基金会；第二笔3时38分，1000元转给中国乡村发展基金会；第三笔也是最大一笔184万，在3时40分同样转给中国乡村发展基金会；3时41分，又有一笔5828.4元，转给中国乡村发展基金会；最后两笔，则在5时08分和7时01分，将102.6元和30元转给贵州省慈善总会。

央行上海分行曾答复：

支付宝未披露“公益捐赠下保留付款”的特性

未发现其他违反相关规定的情形

发现资金被转后，兰女士称第一时间联系支付宝平台客服反映，未得到有效解决。她向山西省运城市盐湖分局西城派出所报案，此后又针对此事第二次报警，但始终没有任何立案进展。

为追回钱款，兰女士将支付宝相关问题举报至中国人民银行上海分行。2025年2月27日，她收到央行上海分行出具的《举报答复意见书》：

经查，涉及的6笔交易中，其中5笔交易为使用电脑验证支付密码完成的交易。其余1笔交易是用手机完成的交易，支付过程中客户选择“添加银行卡付款”，并输入了银行卡持卡人姓名、身份证号等信息，通过银行发送的短信校验码，又通过支付宝验证人脸成功最终完成支付。

有关支付宝支付功能关闭仍可支出的问题，经了解，支付宝支付功能关闭的情况下，用户在消费、转账等场景无法支付；但在公益捐赠场景，仍保留了付款的功能。

分行发现支付宝存在未及时向消费者披露服务特性的问题，违反相关规定，已要求支付宝公司进行支付服务优化改进。未发现支付宝公司存在其他违反中国人民银行相关管理规定的情形。

有关兰女士退回款项等诉求，属于民事责任范畴，建议她自行协商或通过司法诉讼等途径解决。对于涉嫌违法犯罪行为，建议报警处理。

对于央行回复，兰女士说其名下没有答复中提到的添加银行卡付款的那张银行卡，且当时在睡觉，不可能通过人脸识别进行支付。

支付宝：客户账户里的资金涉嫌“黑灰产”

5月11日上午，记者就此事联系支付宝核实，工作人员记录诉求后表示会转交至对应部门，后续将反馈结果。

下午记者收到支付宝的回复，工作人员称，平台很重视此事，进行了调查。经查兰女士账密是自己透露出去的。平台与公安联系过，其账户里资金涉嫌“黑灰产”。为核实说法，记者联系派出所未得到有效回复。记者说明兰女士情况后，民警表示需当事人来现场了解，如果记者采访也需要一同来所里。

另据澎湃新闻报道，记者获取中国乡村发展基金会文件显示，近日，基金会答复184万元款项已用于“捐一元献爱心送营养活动”，且执行完毕。如若能够提供证据，基金会愿意在收到完整官方佐证材料后进行核实，最终确认是否符合退款办理条件。支付宝人员表示，关于诡异捐赠的质疑将提交有权限的管理者核实。（作者：大风新闻）

Fintecdaily.com认为，山西兰女士名下184.7万资金在申请关闭支付功能后仍通过公益捐赠场景流出，暴露出第三方支付机构在账户权限管理上的系统性漏洞。尽管央行上海分行查实部分交易涉及电脑密码或人脸验证，但支付宝在关闭支付功能的情况下，对公益捐赠场景保留付款权限且未向消费者充分披露服务特性，实质上剥夺了用户对账户资金的安全控制权。这种特定场景下的“付款豁免”机制，不仅违反了支付服务的合规审慎原则，更在账户被盗、资产受威胁的关键时刻，为非法资金转移留下了隐蔽的技术后门。支付宝回应称账户涉及“黑灰产”并暗示密码外泄，试图将责任归结于用户过失或非法资金背景，但这并不能解释为何在用户已主动申请封存支付功能后，资金仍能突破安全防线。凌晨时分的异地登录、高频大额的公益转账以及“人脸识别”在睡眠状态下的成功触发，均指向了账号克隆或风控引擎在极端交易环境下的失效。