ChatGPT Plus卡密被盗复盘：用Claude排查支付漏洞并加固

我草，现在天天他妈跟黑客斗智斗勇，卡密又被盗了 这次他只用了 3 分钟，伪造了 14 笔支付成功订单

订单标价一共 87,927.88 元，513 张卡密被盗

好在发现得比较及时，对方还没来得及卖出去多少 截至目前，损失了 16 个 ChatGPT Plus 和1个 20X

出事以后，第一时间还是用claude来查到底为什么

系统是不是被绕过了？支付验证是不是被破解了？ 我马上让 Claude 协助查服务器、翻日志、核对订单，把过去几个月支付成功订单全部重新查了一遍

最后发现，攻击者拿到了我们的支付商户密钥

他先正常创建订单，再用正确的密钥伪造“支付成功”回调。签名完全正确，系统验证通过，然后老老实实把卡密发给了他

从伪造支付，到订单完成，再到批量下载卡密 整个过程只有 3 分钟，高度自动化

处理完这次事故以后，我又看了 @GCSAHK 的一份链上安全报告

他们回放了 21 亿笔历史交易，找出了 100 多个存在相关风险的合约，并对漏洞利用方式做了交叉验证。

它和我这次遇到的，技术上不是同一种漏洞，但底层逻辑很像：只要密钥是真的、授权还有效，恶意操作在系统眼里也可能是“合法操作”，更多 AI 与 Web3 安全研究可以查看https://gcsa.com

这次我已经把支付回调改成了二次核验：哪怕签名正确，也必须主动向支付渠道确认订单真实存在、金额和交易号全部一致，才允许发货。

有了AI之后，如今黑客的攻击效率真是越来越牛逼 我可以用AI一键搭建网站和支付，黑客也能他妈破解

这又被捅屁股了，我们AI越牛逼，黑客就更牛逼了