海外一名开发者拆开了一个从广州花 19 美元买来的杂牌充电宝，结果在内部发现了一套完整的远程数据窃取硬件。
​这款标称 30000 mAh 的外设，拆解后的真相令人哭笑不得：内部电芯仅有 3 节 18650 锂电池，实际容量连 9000 mAh 都不到。
​为了营造出大容量充电宝“沉甸甸”的手感，黑心厂家在内部夹了灰色的缓冲泡沫和两块用来凑重量的金属配重铁块。
​电池容量虽然严重偷工减料，但偷数据的配置却装得相当扎实——底部的绿色主板上，赫然焊着带有 ESP32 无线模块和闪存芯片的电路，直接接在了 USB 端口的数据针脚上。
​这起窃密事件的经过非常典型。
​用户 3 周前在机场急用买下它，首次插上 iPhone 时，手机屏幕弹出了“信任此计算机？”的系统提示。当时他没多想就点了“信任”，却不知道这一点击，直接将 iOS 系统底层用于数据传输与备份的 usbmuxd 通信协议接口双手奉上。
​直到最近他使用终端逻辑监控 USB 端口的文件调取情况，才发现这个充电宝居然是一台带网络连接的伪装设备。
​连接仅 10 秒，系统日志就抛出了频繁的数据读取警告。
​抓包记录显示，在这 3 周里，这个充电宝通过窃取到的家庭 Wi-Fi 凭证自动连网，向远程服务器偷偷上传了 19 次数据，复制走了 1206 个通讯录联系人、3912 张本地照片（包含护照等敏感证件）、设备 IMEI 码以及已安装应用列表。
​不过从安全技术角度来看，原帖中声称的“银行 App 登录密码和资金被直接窃取”存在明显的概念误解。
​iOS 拥有严格的 App 沙盒隔离与 Keychain 秘钥加密机制，即便是获得了“信任计算机”的备份授权，外部设备也只能调取照片、联系人和未加密的设备配置信息，不可能直接穿透沙盒拿走银行 App 内部的登录凭证与账户密钥。
​但这依然暴露了硬件黑产的低成本风险。在电子元件供应链中，这样一套“ESP32 Wi-Fi 芯片 + 存储模块”的黑产改装件，批量采购成本不过十来块钱。
​偷工减料省下的电池成本，恰好拿来补贴了这套窃密硬件。
​这种利用公共充电接口进行恶意注入的手段在安全界被称为“果汁劫持”（Juice Jacking），而把无线网卡、配重铁块和恶意芯片完美缝合在一个 19 美元的杂牌壳子里，手法确实让人防不胜防。
​大家不妨回家检查一下手里那些没有正规认证、拿在手里沉得离谱的杂牌充电宝。
​只要记住一条铁律：如果一个充电宝插上手机，突然贴心地问你“要不要信任这部电脑”，请果断拔掉线——它只是个充电宝，它有什么资格问你信任不信任？