天涯论坛上爆出了支付宝的一个安全的帖子(支付宝设计业务流程的同学准备下岗吧!)大意是：手机丢了的话，支付宝账号和密码都有了。

测试场景：捡到一个手机，只要你的手机绑定了支付宝，没有银行卡身份证其他的任何东西，就通过这个手机顺利提现支付宝余额。至于支付宝的数字证书、支付密码依然是通过手机找回密码，短信验证即可。陆密码，数字证书，支付密码都被攻克了，已经把余额宝钱转出来了。

另外一个问题@iceyes汪利辉也提到：验证环境不是普遍环境，测试者是在自己机器上做的测试，经常登录的机器，支付宝识别为当前帐号可信机器，取回支付密码只需要短信验证。如果不是可信机器，网页版是需要另外提供身份证号码和银行卡号的。是不是这样，建议大家拿别人的机器试试，不带这样黑的。