国庆第二天，伊斯坦布尔 M4 线的闸机前，同样是国行 iPhone，一位拍 Visa 设备卡被拒、再拍还是进不去，另一位换成万事达设备卡，一碰过闸。这不是谁在测评，是六月一位去土耳其的旅客发在小红书上的实测：M4、T1 有轨电车、公交全是这个情况，轮渡试了几台机器才有一台认 Visa AP，反倒是带芯片的 Visa 实体卡拍卡一切正常。小红书
如果把时间拉长，2026 年可能是国行 Apple Pay 上线以来最忙的一年：1 月中旬 Visa 开放绑定，4 月中旬万事达跟进，9 月底一波“绑了 Apple Pay 的卡被境外盗刷”又把不少人吓得想解绑。到今天，把开放批次表、盗刷风波里已经确认的事实、以及假期路上碰出来的墙放在一起，“能不能绑、绑哪张、绑完出境到底顺不顺”这三个问题，其实都有答案了。
一、先对批次表：你的银行、你的卡种，放开到哪一步了
1 月 15 日，Visa 先开。 苹果宣布拓展中国大陆 Apple Pay 跨境支付，国行 iPhone 可以绑本地银行发行的 Visa 卡，首批 8 家：工行、中行、农行、交行、招行、中信、平安、兴业，其中中信还带 Visa 借记卡；之后建行、浦发陆续跟上。小红书微博
4 月 16 日，万事达官宣。 万事达卡与万事网联联合宣布，中国境内发行的万事达品牌银行卡支持 Apple Pay 跨境交易，线下把 iPhone 靠近读卡器、境外电商和 App 里点 Pay 按钮都走得通，首批 4 家：中行（信用卡）、农行（信用卡）、中信（信用卡+借记卡）、浦发（信用卡）。小红书
7 月 21 日，招行、平安补进万事达第二批。 当天就有卡友在小红书发亚庇万事达 Apple Pay 首测帖——不少人真是“出发前一天才绑上”，欧洲 20 多天没掏过一次实体卡的卡友也在 B 站评论区报了喜。小红书
10 月初，扩容还没停。 微博上还有人在 10 月 2 日发帖“国行 iPhone 终于逐步放开 Visa 和万事达的绑卡了”——“逐步”两个字是现状。另外美国运通和 JCB 至今没上名单，B 站那条 13 万播放视频的评论区里，“中行 MC 借记卡+招行 MC 借记卡+JCB 信用卡，完美避开所有能绑的卡”这条 119 赞的自嘲不是个例。微博小红书哔哩哔哩
绑卡前最容易踩空的三件事也顺带说了：同一家银行 Visa 和万事达的进度不同步，别默认两边都能绑；借记卡名单远小于信用卡，目前相对稳的是中信；银行 App 里卡列表不显示你那张卡，先更新 App 再怀疑人生——这是 1 月那波绑卡潮里被反复验证过的 bug。
二、盗刷风波还原：被偷的卡，从头到尾没在你手上
9 月 25 日深夜到 26 日凌晨，一批中行万事达持卡人先收到 Apple Pay 里“主卡失效”的提示，摸黑点开钱包，卡被锁了，账单里多出一笔巴西雷亚尔计价的消费。中招的卡高度集中：中行长城卓隽系列，英镑卡偏多，交易集中在巴西，波及英国、巴拉圭、乌拉圭，金额从 0.15、0.86 英镑的小额试探，到折合人民币两万多元的大额都有。有持卡人人在印度旅游、卡留在家中，也有人声称自始至终没通过 Apple Pay 付过一分钱，照样中招。9 月 29 日《每日经济新闻》的报道里，万事达回应称此事已解决、持卡人资金安全有保障；中行信用卡中心逐一致电持卡人，撤销涉事交易、沟通换卡，并承诺赔偿盗刷资金损失。知乎每日经济新闻
真正值得弄明白的是“为什么”。国际卡组织体系里，无卡线上交易要的通常只有卡号、有效期、CVV 三样，没有密码这道环节；巴西、巴拉圭这些资金流入地没有欧盟式的强制强认证，行业数据显示巴西的 3DS2 交易 75%–85% 走无摩擦免验通道。分析师对每经记者的推测是，黑产摸透了部分号段的发卡编码规律，在没拿到用户任何卡片信息的情况下批量生成卡号，去低风控商户试刷——账单里那些 0.15 英镑就是典型的试探痕迹。另有用户爆料该通道设备卡交易仅验证卡号、不验证有效期和 CVV，此说法尚未获得官方证实；官方截至发稿也没有公布最终定性。知乎每日经济新闻知乎
但无论漏洞最后落在哪一环，有两点是清楚的：其一，涉事卡片绑定的设备卡令牌不是你钱包里的真实卡号，手机端的生物识别这一层没有被打穿，“绑 Apple Pay”本身不是这次盗刷的原因；其二，中行短信里有一行字值得所有出境的人看一眼——“您的信用卡由于启用了境外无卡交易锁功能，交易失败”。开了这把锁的人一笔没丢，而这个开关并非默认开启。去年 9 月浦发那张“红沙宣”万事达集中盗刷还在眼前，这已经不是同一类问题的第一次出现。知乎每日经济新闻
还有一层边界要划清楚：这波中招以中行卓隽万事达为主，招行、农行的类似反馈只是零散个案、尚未确认同源，Visa 侧没有被点名。把“绑卡”和“被盗刷”画等号，等于把真正该检查的无卡交易通道放掉了。
三、国庆现场：绑都绑上了，这 6 堵墙还在等
第 1 堵，交通闸机看卡组织。 伊斯坦布尔 Visa AP 进不了闸、万事达 AP 一碰就过，实体卡反而都行；新加坡 9 月 30 日有人实测招行 Visa AP 拍公交可用，但每次上下车都要 Face ID，当地玩家的玩法是一人刷实体卡、一人刷手机，一张卡两个人进出。同一个国家、同一部手机，Visa 和万事达的过闸体验可以完全相反——出发前查一下目的地交通系统的受理偏好，别赌。小红书
第 2 堵，有些地方就要看你的实体卡。 1 月绑卡潮里 747 赞的提醒帖列过清单：POS 不支持拍卡、只认本地发卡组织的卡、大额交易、随机要求实体卡核验——日本堂吉诃德买烟，店员要看卡面上的名字；境外租车行提车，预授权几乎都刷实体卡。447 条跟评里吵得最凶的是“到底有没有屏蔽 touch 的 POS”，有 66 赞的说在日本从没见过不支持拍的，也有人说“屏蔽 touch 的多了去了”——吵不出结论，但没人否认大额和核验场景掏实体卡的概率高得多。小红书
第 3 堵，充值和本地钱包有属地墙。 有人用 Visa 卓隽美元设备卡给八达通充值直接报错，评论区给出的答案很干脆：八达通只收香港境内卡。手机里那张国行设备卡，进不了本地储值体系。小红书
第 4 堵，绑卡成功率不是 100%。 正确卡号弹不出用户协议、银行 App 不显示卡片、部分中行卡片当时“还不能”、奥运限定卡面的卡在 AP 里显示不出来——这些坑在评论区以每天几个的频率继续出现。绑失败的先别急着注销卡片，换个入口：从银行 App 内点“添加到 Apple 钱包”。
第 5 堵，单标 Visa 在国内是块砖。 大陆发行的 Visa 单标卡只能境外用，出发前在楼下便利店拍一下试试，大概率刷不过——这张卡的存在意义，从你落地那一刻才开始。小红书
第 6 堵，现金和应急通道只剩实体卡。 Apple Pay 取现这条路早就没了，紧急现金几乎只能靠实体卡 ATM。小红书
四、把这九个月浓缩成出发前的三行检查
对批次：银行、卡组织、信用卡还是借记卡，三样对上放开名单；不在名单里的 Visa 也别慌，境外拍实体卡不受影响。对开关：境外无卡交易锁按自己的情况打开或关闭——这次风波里它值两万二；交易提醒、临时消费限额一并设置。对备份：小额消费和公交交给 Apple Pay，租车、大额、核验留给实体卡，现金留应急，手机丢了钱包远程移除这件事反而最不用操心。
值得继续盯的信号还有三个：万事达第三、四批银行的名单什么时候放出，中行和万事达对盗刷事件的官方定性，以及 Amex、JCB 会不会跟上进场。等了十年的国行 Apple Pay 刚刚“变有用”，它的边界还每个月都在动——出境前花两分钟把批次表过一遍，比在闸机前连按十几次电源键便宜得多。
