下午突然热闹起来了。
起因是有人说 Claude 的支付能绕过去，填个德国 SEPA，IBAN 拿脚本随机搓一个，页面唰一下就订阅成功了，Max 20x 直接到手。
我也点进去看了两眼，然后去查了下 SEPA 到底咋回事。
图片来源：网络，版权归原作者所有，侵权请联系删除
查完就一个感受：这哥们不是找到了漏洞，是站到了账单的上游。
先说信用卡。刷卡是实时的，你一按，请求推给发卡行，几百毫秒回一个 yes or no。卡号是编的？当场就红。这个大家都有体感。
SEPA 是反着来的。它是"授权 + 拉款"——你签个字，说以后你可以从我账户扣钱，然后商户拿着这张纸，找自己银行提交，走清算，好几个工作日之后钱才动。
所以你点确定那一刻，真相是：
压根没有任何一家银行知道这事。
前端能查的就俩：IBAN 校验位对不对（ISO 13616 的 mod-97-10，纯数学，本地算，两行代码的事），银行代码能不能查到。这俩过了，绿勾就出来了。
你这号在德国哪家行、里面有没有钱、是不是你的——
清算网络才知道，可清算还没开始跑呢。
那绿勾翻译过来是："收到您的授权了，服务先开着哈。"
不是"钱到账了"。
然后就是等呗。
商户不会一笔一笔实时收，都是攒一批一起提交。所以从你订阅成功到系统真去银行拉钱，中间空个几天到一两周。
这个空档，就是大伙儿眼里的"漏洞"。
空档一过，SEPA 有套叫 R-transaction 的东西专门收拾这种。账号不存在 AC01，销户了 AC04，授权无效 MD01，钱不够 AM04。几个工作日就打回来。
顺手纠个错，今天流传的"30 天后追回"是不对的。假号活不到 30 天。
回退到了之后，三件事一块儿发生：订阅撤了，号进黑名单，商户被自己银行收一笔退单手续费。
最后那条最要命——你不是"违反用户协议"了，你是给人家造成了一笔能精确到分的损失。这俩性质，差得有点远。
上面说的是撞了个空号。还有另一种情况。
IBAN 不是密码，是地址。德国的 22 位：国家码 2 位 + 校验 2 位 + 银行代码 8 位 + 账号 10 位。
你"随机生成"一个校验合法、银行真实存在的 IBAN——你不是凭空造了个不存在的号出来，你是在一家真银行的真账号段里，随手点了个坐标。
这坐标有挺大概率，落在一个活着的账户上。户主是个压根不知道你是谁的德国人。
然后清算网络就照章办事了：从这陌生人账上划一笔，付你的会员费。
人家可能过几周对账才发现，"我怎么被 Anthropic 扣钱了？"——然后去银行报"这笔我没授权"。
SEPA 给这种申诉的窗口是 13 个月。
这条链上留下来的东西：一份伪造授权、一个不是你的账户、一笔已完成的转账、一个你注册的邮箱、一串你用服务的日志。全对得上号。
我不是律师，就把条文摆这儿。德国那边能对上的大概是 StGB §263 诈骗、§263a 计算机诈骗（原文写的"通过操纵数据处理过程获取财产利益"——油猴改请求，这几乎是照着描的）、§267 伪造文书。
而且要是真撞到活人了，你对面就不是一家远在美国的 AI 公司了，是一个能拿着流水去楼下派出所报案的大爷。
跨境、金额小、不值当追——都对。但"不值当追"跟"合法"是两码事。一个是概率，一个是性质。记录不会因为暂时没人翻就没了。
要是你真实需求就是"想便宜点用好模型"，有几条路正经能走：
按量付费的 API。 你要不是全天候重度用，自己接个客户端，月消耗大概率比 Max 档低，值得先算一笔。
团队方案。 人均比每人单买便宜。
官方的教育 / 非营利 / 创业者计划。 是真存在的，而且不用你研究 SEPA。
分层用模型。 这个最被低估。简单活儿别都往顶配上扔，省下来的比你想的多。
啰嗦这么多，其实就想说一句。
技术圈听见"漏洞"俩字就来劲，这挺好的，好奇心嘛。但漏洞和时间差，真不是一回事。
漏洞是逻辑错了——能复现，能上报，运气好还能领赏金。
时间差是系统跑得好好的，只是账还没结到你头上。它给你的不是免费，是延期。
还没有评论，来说两句吧...