Threads上柯南對於永豐銀行419 位客戶沒開啟APP就被出四千多萬元一事，推斷是犯了「連測試碼要刪掉」和「不能預設生物辨識成功」不該犯的低級錯誤，等到轉出400多筆之後才發現事情大條了，「這種未經客戶授權、沒有密碼與OTP的情況下，主動發起轉帳還把真錢直接匯到別家銀行去。」
只是銀行內部測試用的全是虛擬假帳戶，哪怕真是系統連線出錯，程式憑什麼能拿到 419 位真實客戶的授權？中間的雙重身分認證、異常交易警報為何形同虛設？這可不是拿錯一把鑰匙的粗心，而是好幾道安全鐵門同時敞開。面對外界質疑，永豐僅回了一句「已做了調整」，但關鍵的防線到底破在哪裡，並沒有給交代。
427 筆異常金流被轉帳，有人懷疑驗證邏輯全被 Hardcode 判定為「通過」，甚至整段繞過交易檢核，讓虛擬測試一路把「真錢」沖出金庫。反對者則認為，銀行不可能連最基本的測試與正式環境隔離都沒做；但無論隔離與否，致命的事實擺在眼前：帶有嚴重邏輯缺陷的程式，確確實實走進了正式環境。
面對外界沸騰的技術質疑，永豐對各項推測一概「不予置評」，口徑始終收攏在「新網銀交易系統程式異常」。當被進一步追問系統是否徹底修復，永豐表示，「已做了調整。」
調整了什麼？怎麼驗證？沒有下文。
雖然永豐緊急斷尾並全數退回款項與手續費，但「止血」不等於「治本」。不流血了，與防禦架構是否已被根治，完全是兩碼事。
外界的推論或許未定，但真正的疑點根本避無可避：
「發起權限在哪？」到底是誰、憑藉什麼憑證啟動了整批交易？
「授權機制為何全盲？」後端系統憑什麼直接認定這427筆交易具備合法授權？
「防呆與風控機制為何集體停擺？」幾分鐘內集中倒向單一帳戶，整套交易攔截體系為何毫無警覺？
確實不能要求銀行將原始碼與漏洞細節攤在陽光下、任人攻擊，但拿「資安考量」，拒絕對事故關鍵成因與防線改善做基本說明，也絕非負責任的態度。客戶要的不是一句輕描淡寫的「系統出錯」，而是銀行後端到底有沒有能力擋住越權穿透。
按法規，永豐必須在重大偶發事件次日起 7 個營業日內函報金管會。這份報告或許未必會全盤對外公開，但主管機關該審問的絕不該只是「錢吐回來了沒有」。
