2019年夏天，香港漏洞我在中环一家茶餐厅吃午饭，香港漏洞隔壁桌两个穿衬衫的香港漏洞年轻人正对着手机屏幕争论。一个说“港交所的香港漏洞披露易又卡了”，另一个说“不是香港漏洞卡，是香港漏洞有人把数据接口的限流绕过去了”。他们讨论的香港漏洞是一家创业板小公司，上市首日股价从0.8港元冲到11港元，香港漏洞然后三天内跌回1.2港元。香港漏洞这种走势在当时的香港漏洞港股市场不算罕见，但那次不一样——后来证监会查出来，香港漏洞有人利用券商系统的香港漏洞一个时间戳漏洞，在开盘前几毫秒批量下单，香港漏洞制造虚假成交量。香港漏洞

这个漏洞不是香港漏洞什么高深的技术问题。券商给客户提供的交易API，理论上应该等交易所确认前一笔委托再发下一笔。但有些系统为了追求速度，把“发送”和“确认”两个动作异步处理了。结果就是，同一个账户可以在极短时间内重复使用同一笔资金下单，实际杠杆被放大几十倍。我认识一个做量化交易的朋友，他说2018年到2020年间，至少有三家本地券商的后台存在类似问题。没人主动上报，因为上报意味着停业整改，客户会跑光。

香港金融市场的技术架构有个特点：核心系统极其稳健，外围接口却参差不齐。港交所的中央结算系统每年花上亿港元维护，但券商接入的那一层，很多还是十年前的老代码。有个做IT审计的同行告诉我，他见过一家老牌华资券商的交易网关，用的还是Windows Server 2003，补丁停更了还在跑。问为什么不换，答案是“换系统要停三天，老板舍不得那三天的佣金”。

漏洞被利用的方式往往很土。2020年疫情初期，远程办公普及，有些券商允许员工用VPN连回公司下单。结果有人把VPN账号借给外面的操盘手，操盘手又用脚本自动扫描内网，找到了一个没设密码的测试数据库。里面存着客户的风险评级和持仓限额。这些数据本身不直接值钱，但结合公开的股东名册，就能精准算出哪些账户可以拿来对倒。后来这件事被定性为“未经授权访问”，罚了款，没抓人。

真正让我觉得不对劲的是2021年的一次经历。我在湾仔一家券商的开户柜台，看见柜员帮一个内地客户填表，职业栏写了“家庭主妇”，但风险承受能力勾了“进取型”。柜员小声说“没事，系统只看分数，不看职业”。那个客户后来买了某只细价股，一天之内亏掉七成。她投诉到证监会，调查发现券商的风控模型里，“家庭主妇”这个职业对应的默认风险等级是“保守”，但柜台可以手动覆盖。覆盖记录没有留痕。

这些漏洞单独看都不致命。异步下单、老系统、弱密码、手动覆盖——每个都能找到理由解释。但它们叠加起来，就形成了一条灰色通道。通道里跑的不只是钱，还有信任。香港市场靠的是普通法体系下的规则透明，可规则落地到代码层面，中间隔了太多层。每一层都有“灵活处理”的空间，每一层都有人觉得“问题不大”。

去年港交所推了新的交易系统，叫“领航星”。延迟从毫秒级降到微秒级，理论上堵住了时间戳漏洞。但有个做市商朋友跟我说，新系统上线第一个月，他发现自己报的单偶尔会“消失”——不是被拒绝，是状态显示“已发送”但交易所没收到。查了半个月，发现是券商端的一个缓存队列在特定条件下会丢包。这个bug后来悄悄修了，没发公告。

技术漏洞可以打补丁，人的侥幸心理不行。我见过太多“先上线再修”的案例，也见过太多“客户没投诉就不算问题”的逻辑。香港金融市场的效率建立在高度自动化之上，可自动化程度越高，单点故障的代价就越大。一个接口写错，可能让几千个账户同时裸奔。这不是危言耸听，是已经发生过的事。

茶餐厅那两个年轻人后来走了，桌上留下两张餐巾纸，一张画着系统架构图，另一张写着“改完再测”。我不知道他们最后有没有改。但我知道，只要还有人觉得“漏洞是别人的问题”，香港市场的技术债就永远还不完。