原本以为打游戏，《火环》启动玩家支付宝已经是前无古人，没想到这才没多久鹰角的《明日方舟：终末地》又突破了这个手游历史。

　　《明日方舟：终末地》外服渠道开服充值有个严重bug，外国玩家玩《终末地》使用“paypal”支付的话，会导致你的钱会冲到别人账户上，别人充钱会随机扣你的钱，出现“多人氪金、一人扣款”的现象。

　　“如果你让ENDFIELD保存你的PAYPAL信息以备将来使用，任何试图通过PAYPAL消费的人都可以使用你的PAYPAL信息并向你收费，而你什么也得不到”

　　根据大量海外玩家在社交媒体上的反馈及截图证据，此次漏洞具体表现为：若玩家将自己的PayPal账户与《终末地》的Hypergryph账号绑定，则其他玩家（非本人）通过PayPal进行充值时，系统可能随机从已绑定的任意账户中扣款，而非实际操作者的账户。有一部分还是扣的双倍氪金的钱。

　　有受害者描述：“如果你让《终末地》保存你的PayPal信息，那么任何试图通过PayPal消费的人都可能触发用你的账户付款，而你本人一无所获mac小火箭有问号吗。”这对于开通了免密支付或自动扣款授权的用户而言，意味着在发现问题并解绑账户前，资金流失处于完全失控状态。

　　解绑账号前是完全控制不了的，按理说应该用给一个账号用paypal充钱要绑定的账号付钱，但现实是不一定扣哪个绑了账号的倒霉蛋的钱。

　　有国外主播在直播游戏过程中，眼睁睁看着自己的PayPal账户不断弹出扣款通知，节目效果“拉满”的同时，也直观展现了漏洞的实时危害性。

　　玩家社群普遍认为，相比以往游戏中常见的道具复制、抽卡回档等BUG，这次的支付事件直接涉及真实货币交易，严重程度真的没得比。都是玩家的真金白银啊。

　　正常海外玩家打开了终末地氪金，正常的游戏充值流程中，是玩家将客户端的用户ID（UID）与支付平台返回的支付凭证进行强关联绑定。具体理想流程如下：

　　而《终末地》外服版本似乎完全缺失了第三、四步中的关联验证。支付凭证未被正确“锁定”到发起请求的特定UID上，而是可能被放置于一个“全局池”或共享作用域中。这意味着，系统在处理后续任意玩家的充值请求时，都可能从池中任意抓取一个未失效的凭证向PayPal发起扣款请求，而扣款对象则是该凭证对应的原始授权账户，而非当前正在操作的玩家。

　　用通俗比喻解释：就是十名海外排队等着氪金，第一位顾客（小明）将钱包递给收银员（鹰角）后，收银员却用同一个钱包为后面所有顾客的订单结账，完全无视小明“钱已付够”的提醒，甚至重复扣款。

　　“PayPal支付渠道目前正在进行临时维护和升级。如果您在受影响的地区，请使用其他可用的支付渠道。如果您被收费两次，联系endfield客户支持将自动实时退款。”

　　海外玩家被错误扣钱的，都进入了一个退款流程，但对鹰角和新游戏《明日方舟：终末地》的口碑来说，完全是毁灭性的，《火环》一个启动支付宝都把玩家吓死，《终末地》这可是真扣钱啊，属于是完全的信任崩塌。

　　国内玩家倒是已经出了笑话集，都是和流行的斩杀线联系到一起的地狱笑话。大洋彼岸街头。一群流浪汉正在讨论自己被斩杀的原因。