MobiKwik应用更新导致错误PIN也能完成UPI支付——48小时内损失4亿卢比

2025年9月11日和12日，MobiKwik的UPI通道按照银行系统绝不会接受的条件完成了付款。当月早些时候推送的一次软件更新悄然破坏了其钱包关联支付中的两项基本校验：用户可以转出远超钱包余额的金额，而且即使输入的PIN错误，交易也能清算。在哈里亚纳邦的少数局部地区，注册商户与用户串通，大规模骗取未经授权的结算——MobiKwik随后提起的FIR将金额定为4亿卢比。

公司两天后才发现问题。一次内部审计标记了日期为9月11日至12日的可疑交易，一名员工于9月13日报告了此次漏洞。MobiKwik在古尔冈根据《印度新刑法典》的欺诈和侵占条款提起FIR；警方逮捕了六名男子——五人来自努赫，一人来自帕尔瓦尔——确认了约2500名受益人，并冻结了各银行账户中的8000万卢比。MobiKwik追回了约1.4亿卢比，根据其交易所公告，估计净影响为2.6亿卢比。

这一故障击中了公司的增长引擎。MobiKwik一直在向投资者推销Pocket UPI——通过MobiKwik钱包而非银行账户路由的UPI支付——凭借UPI交易量的上升，2026财年第一季度商品交易总额同比增长53%。交易量是衡量指标；限额则是它的反向指标。这起欺诈使9月季度财报录得2.86亿卢比净亏损，约为上年同期3600万卢比亏损的八倍，股价也因该披露而下滑。

48小时内被抽走4亿卢比；追回1.4亿卢比，净影响2.6亿卢比；六人被捕，冻结8000万卢比，追查到2500名受益人

该版本发布时缺少了支付中最重要的两项测试：错误PIN尝试和超额转账。这两项在生产环境中都通过了。

检测是事后进行的。来自少数几个地区的两天异常结算流量未能被实时标记；终结它的是内部审计，而非警报。

增长叙事抬高了赌注：Pocket UPI的交易量推动使限额看起来像是摩擦，而限额恰恰是失效的环节。

警方怀疑有内部人员协助泄露了该缺陷——对此次更新的特权知情从未被隔离或监控。

在支付领域，负面路径就是产品本身：一次从不测试错误PIN和超额转账的版本发布，会把增长引擎变成失血口。回滚是一项控制措施，而非应急方案。

MobiKwik就4亿卢比报案，追回1.4亿卢比，并向交易所表示估计净影响为2.6亿卢比，追讨和法律工作仍在继续。六名被告被司法羁押；努赫警方公开呼吁在9月11日至12日收到不明转账的居民主动说明并退还。这一损失助推2026财年第二季度录得2.86亿卢比净亏损。这也是MobiKwik近期历史上第三次披露欺诈——此前有2017年的1.9亿卢比欺诈，以及一名前员工在2023年8月至2024年9月期间实施的1260万卢比欺诈——投资者如今将这些放在一起解读为一种模式。