很多人对信用卡的安全感，都是建立在一句话上：反正被盗刷，会赔。可加国华人Henry这次的经历，几乎把这种“安全感”拆得干干净净。
事情发生在今年3月。Henry和伴侣从卡尔加里开车去阿省南部的Lethbridge，打算过个轻松周末，顺便庆祝生日，入住的是当地一家看起来很正规的酒店。
办理入住时，前台要求刷100加元押金。Henry掏出CIBC的信用卡，但刷卡机没反应。前台随口解释机器可能坏了，接着就拿着他的实体信用卡，走到柜台后方“处理一下”。
短短几十秒，信用卡离开了Henry的视线。
随后刷卡成功，卡也还了回来，入住过程看起来一切正常。整个行程里，这张信用卡再也没被用过，也一直放在他的钱包里。谁都没想到，真正的问题在第二天才出现。
3月23日下午，Henry手机突然弹出银行App提醒：一笔59.12加元的Uber消费刚刚完成。他当场懵了，因为这几天他和伴侣根本没叫过Uber，App里也查不到任何记录。几乎是下意识地，他立刻点了“争议交易”，系统随即冻结并注销了这张信用卡。
按常理，卡都注销了，盗刷也该到此为止。但现实比想象离谱得多。第二天早上，他发现账户上又多了一笔43.49加元的Uber交易，刷的还是那张已经作废的卡。
Henry立刻致电银行客服，对方给了他一个之前从没听过的解释：Tokenization。简单说，就是信用卡信息一旦被绑定进Apple Pay之类的电子钱包，就算实体卡被取消，某些授权代码在短时间内仍可能继续生效，甚至“继承”到新卡上。也就是说，小偷未必拿着你的卡，但已经把你的卡装进了自己的手机。
银行随即帮他手动切断所有电子钱包绑定，并重新排查账户。这一查，问题更严重了。从他入住酒店当天开始，盗刷就已经发生，Uber和Uber Eats一共9笔交易，从小额试探到几十刀不等，加起来超过310加元。
Henry随后联系了Uber，对方确认确实有一个账户在使用他的信用卡信息，账户名叫“Ivan”。但当他试图进一步了解对方的身份、叫车地点或送餐地址时，Uber以隐私政策为由直接拒绝，表示除非警方出示搜查令，否则不会向受害者透露任何细节。
与此同时，Henry也多次联系那家酒店，希望至少能得到一个解释。但酒店的态度始终很冷淡，只反复强调信用卡信息并非从酒店泄露，既不配合调查，也不愿承担任何责任。
在银行处理节奏缓慢、平台强调隐私、酒店冷处理的情况下，Henry最终选择报警，联系了莱布里治警局。他提交了所有材料：交易截图、入住时间、前台员工外貌描述，甚至包括Uber账户名“Ivan”。警方最初态度还算客气，表示会尝试向Uber调取资料。
但接下来一个多月里，Henry多次询问进度，得到的回复始终模糊不清，“还在跟进”“暂时没有更新”。直到将近两个月后，银行终于完成调查，把所有被盗刷的金额全数退还给了他。
就在Henry以为事情至少还能继续往下查时，警察却打来电话，问的第一句话是：“银行的钱是不是已经全部退给你了？”在得到肯定答复后，对方直接表示：既然钱已经退回，那在法律定义上，Henry已经不再是受害者，真正的受害者变成了承担损失的银行。如果银行不选择继续追究，警方这边就会直接结案。
案件，就这样结束了。
没有嫌疑人、没有后续调查，盗刷的人依然逍遥。钱确实回来了，但代价并不是零。Henry为了追回这300多刀，花了大量时间打电话、写邮件、整理证据，还要承受不确定性带来的心理压力。他甚至一直担心，万一银行最后认定是“本人授权”，那这笔钱就要自己吞下。
事后回头看，Henry始终认为问题的源头，就是那几十秒——信用卡被拿走、离开视线。
现在的他已经下定决心，不管是在酒店、餐厅还是任何地方，只要不能当面刷卡，他宁愿付现金。哪怕退押金麻烦，哪怕前台说没零钱找，也比事后在银行、平台和警方之间来回拉锯要强得多。
