MobiKwik 應用程式更新讓 UPI 付款在錯誤 PIN 下仍能清算——48 小時內 4 億盧比消失

2025 年 9 月 11 日與 12 日，MobiKwik 的 UPI 軌道以銀行體系絕不會接受的條件完成付款。該月稍早推送的一次軟體更新，悄悄破壞了其錢包連結付款的兩項基本檢查：使用者可以匯出遠高於錢包餘額的金額，而且即使輸入的 PIN 錯誤，交易仍會清算。在哈里亞納邦的少數地區，註冊商戶與使用者勾結，大規模申領未經授權的結算款——MobiKwik 隨後提出的 FIR 將金額列為 4 億盧比。

公司晚了兩天才發現。一次內部稽核標記出日期為 9 月 11 日至 12 日的可疑交易，一名員工於 9 月 13 日通報了這起漏洞。MobiKwik 在古爾岡依《印度新刑法》的詐欺與侵占條款提出 FIR；警方逮捕六名男子——五人來自努赫、一人來自帕爾瓦爾——識別出約 2,500 名受益人，並凍結各銀行帳戶共 8,000 萬盧比。MobiKwik 追回約 1.4 億盧比，依其交易所申報，估計淨影響為 2.6 億盧比。

這起故障打擊了公司的成長引擎。MobiKwik 一直向投資人推銷 Pocket UPI——透過 MobiKwik 錢包而非銀行帳戶路由的 UPI 付款——其 2026 財年第一季商品交易總額因 UPI 交易量上升而年增 53%。交易量是指標；限額則是它的反指標。這起詐欺在 9 月季度財報中形成 2.86 億盧比的淨虧損，約為一年前 3,600 萬盧比虧損的八倍，股價也因這項披露而下滑。

48 小時內被盜走 4 億盧比；追回 1.4 億盧比，淨影響 2.6 億盧比；六人被捕，凍結 8,000 萬盧比，追查出 2,500 名受益人

這次版本發布上線時，少了付款領域最關鍵的兩項測試：錯誤 PIN 嘗試與超額匯出。兩者在正式環境軌道上都通過了。

偵測是事後進行的。來自少數地區、為期兩天的異常結算流量並未即時被標記；終結此事的是內部稽核，而非警示。

成長故事提高了賭注：Pocket UPI 的交易量推動讓限額看起來像摩擦，而限額正是失效的那一環。

警方懷疑有內部人員協助揭露此缺陷——對這次更新的特權知識從未被隔離或監控。

在付款領域，負面路徑就是產品本身：一次從不測試錯誤 PIN 與超額匯出的版本發布，會把成長引擎變成流失管道。回滾是一項控制措施，而非應急方案。

MobiKwik 就 4 億盧比提出申報，追回 1.4 億盧比，並向交易所表示估計淨影響為 2.6 億盧比，追討與法律行動仍在持續。六名被告被裁定司法羈押；努赫警方公開呼籲在 9 月 11 日至 12 日收到不明轉帳的居民出面歸還。這筆損失使 2026 財年第二季變成 2.86 億盧比的淨虧損。這也是 MobiKwik 近期歷史上第三起詐欺披露——繼 2017 年 1.9 億盧比詐欺，以及橫跨 2023 年 8 月至 2024 年 9 月、由前員工所為的 1,260 萬盧比詐欺之後——投資人如今將此模式合併解讀。