今日配图：

http://mmbiz.qpic.cn/mmbiz/vlYlzfnQ9lWibZiaUyhcbc6bDcHtNw5icJwLNERUvpwI0L1XPE4D2HvPBKgtiaQkT8dxflRiaL3nbYm6CyLx3dqPmlw/0

美国最著名的写实大师安德鲁.怀斯作品。一股似有似无淡淡的忧伤。

圈主的话：

即使是互联网金融的坚定支持者，恐怕也很难忽略其中的安全隐患。世界上没有绝对的安全，即使IT上已缜密如发丝，在高水平黑客面前也只是隔了一层薄薄衣衫。

但即便如此，如圈主本人，仍十分热爱互联网金融产品的便捷性。但要提醒大家，与钱有关的事情不可大意，我们至少应了解互联网金融产品中的一个核心关键词——“资金闭环”。资金闭环不是万能的，但可以大大降低盗用风险。 

（以下为正文）

互联网资金账户不闭合的隐忧

 “支付宝最大的隐患在于，不是闭环交易，但是支付宝对支付环境的检测是很敏感的，比如来路，浏览器，网络入口等，如果采集的特征和平时常用的环境不一致，就会启用牺牲便捷性来提高安全等级。”这是一位IT人士的评价，算是客观。

在一个宝宝类产品中，资金闭环通常能阻隔大量不确定风险，这是大家必须知道的常识。 最近颇闹猛的第三代余额理财产品——银行系“宝宝”，倒是在这方面较有优势。

众多宝宝中，以安全来看，银行大概是宝宝中最为本分，最为安全的。银行类宝宝在资金闭环方面标准相对严苛，在收益水平、便利性方面也进行了改进，如兴业银行携手兴业全球基金最近推出的的掌柜钱包等，都是代表性产品。今天，银行在安全方面，仍然是以教条般的戒律死守，仍然体现出了极高的专业性，不愿意为了看似时髦而牺牲安全，倒也十分值得关注。

 资金闭环到底是什么概念，又为什么重要呢？

我们以支付宝为例来谈谈。

 支付宝余额下面有三个功能：1充值，2提现，3转账 4，购物消费

 1 充值的功能无需多讨论了，谁都希望热心黑客给自己充值吧。

 2 提现只能提到已经挂钩的银行卡里，假如要添加新的银行卡，也必须是与支付宝实名认证相同名字的银行卡，其中必须卡名和银行留存的电话都相符，所以提现到别人银行卡应该很困难。

 3 转账功能：比较危险，因为转账功能可以转到别人支付宝账号，也可以转账到别人银行卡。如果使用电脑端的话，必须有数字证书和支付密码，没有数字证书就需要手机验证，包括动态口令等等。

4购物消费，不用说了，肯定是安全系数最低的一环，通过购物场景，资金可以轻松的转移到商户，虽然有日限额，但对大部分来说，一旦造成了损失就很难追回。

这中间可能产生N种被盗的可能：比如身边人作案，知道你的密码和身份证等信息；黑客作案，偷取你的密码并不困难，绑定支付宝的手机丢了可能造成更大的危险。一般网络作案，盗取账号的黑客的账号和银行卡，通常很难追踪。有些甚至会把一笔资金分散转入N个账户，警方追踪的难度极高。——这就是资金不闭环，资金在互联网产品流动的过程中，存在向外的缺口。

余额宝下有两个功能会有隐患：1转入，2转出

 1 转入：从支付宝余额转入，或银行卡转入，这个也无需多讨论，谁都欢迎黑客们转钱进来。

2转出：余额宝可转出至银行卡，可以转出至支付宝账户余额。转出至银行卡和支付宝余额提现没有本质区别，只能转到挂钩银行卡里。转出至支付宝账户余额，也一样，需要数字证书，支付密码，没有数字证书就需要验证。

问题主要在于，支付宝和余额宝互相之间是联通的——意味着，把余额宝里的资金转入支付宝，再从支付宝转账，理论上和实际上都十分可行。即使存在支付密码、数字证书、验证等重重关卡，但在高级黑客面前，也不过是小儿科而已。

网络支付的安全都只是相对的，这在全球范围内都是难以解决的风险，所以通常的做法是——通过全额赔付来降低使用者们的焦虑。

支付宝也是如此，其通过投保平安保险，宣称对风险事件全额赔付。但理赔过程目前来看仍十分微妙，至少从各类安全事件曝光的情况来看，个人用户在风险发生后索赔的成本较高——无论是时间还是精力。

大额资金更应关注“资金流的封闭性”

银行系宝宝可作为大资金首选

 支付宝作为支付工具和余额宝这样的理财工具捆绑在一起，隐含风险不言而喻——因为资金流有缺口，不是封闭的，理论上存在太多可能性。余额宝的风险触发点，显然比其他可做到“资金闭环”的同类产品更高。

大额资金尤其应谨慎使用“资金不闭环”的互联网理财工具。至少，支付工具和理财工具应做到有所分隔。

类似余额宝之类的互联网理财工具，可做到“资金闭环”的也不在少数。银行系的宝宝大都采取了闭环，比如兴业掌柜钱包，采用了完全闭环的账户体系，同卡进同卡出，对客户来说，你名下的资金绝不可能转移到他人名下，由于不能用来购物、充值，看似减少了功能，实则倒是给资金套上了一把钥匙。

资金闭环，好比资金只是在自己建立的沙盒内，环境可控。尽管也不能说资金闭环100%安全，但相对而言，的确更安全一些，减少了交互环境暴露的风险。套用一位IT人士的话说——锁，总是要一把钥匙去开。

-----------------------------------

作者：花非花