惊讶之余，事件背后的一系列疑团也有待解开：用户信息是怎么泄露的？受害者是如何被骗的？受害者的损失谁来承担？
以退款为由诱导
布吉告诉法治周末记者，他5月底确实曾在小红书为女友购买过一瓶资深堂防晒霜，花费195元。
“尊敬的用户，由于您近期在我们店铺购买的商品出现质量问题，现需全部退回。请通过我们合作的第三方平台：招联好期贷、蚂蚁借呗、来分期，扫二维码进行接收赔付款……”记者从大学生张艳(化名)收到的通知书上看到，通知书左上角有小红书标识，行文格式很正式。
诈骗借道网贷平台
值得注意的是，通知书详细地指出了退款的操作流程：“第三方合作平台预先把店铺金额退还到您的支付宝余额上，您再进行还款。”
“意思就是他们会多退钱，我收到钱后，扣除商品费用，把剩余的钱再给对方还回去。”已经受骗的张艳还原当时的打款情形。
那么，“多退钱”是如何实现的呢？从用户受骗的经历看，多是借助网络借贷平台，而这些被利用的平台包括蚂蚁借呗、来分期、马上金融、360借条等。
据此前媒体统计，上述50名受害用户中，通过来分期有20人被骗，通过蚂蚁借呗有14人被骗。
布吉就是通过蚂蚁借呗被骗的。据了解，蚂蚁借呗是支付宝推出的一款贷款服务，目前的申请门槛是芝麻分在600以上。按照分数的不同，用户可以申请到1000元至300000元不等的贷款额度。
布吉告诉记者：“当时‘客服’跟我说需要通过支付宝的芝麻信用来赔付，按照他的指引，我找到了‘蚂蚁借呗’选项，点进去看到页面显示出2万元的额度，他跟我说这是他们给我的赔偿资金，我需要点击提取。”
布吉对于195元的商品赔付2万元有些疑惑，就进一步询问“客服”，“客服”称小红书有一个第三方资金保障平台，存有维权基金，遇到化妆品质量问题都可以得到相应赔付。
“‘客服’说他们会先通过支付宝添加用户为好友，然后将基金剩余的额度都打给用户，用户收到后自行扣留商品退款，再将剩余额度打回给基金账户。”布吉向记者出示当时其与“客服”的聊天记录，记者在“客服”发送的一张名为“账单详情”的图片中看到，其向布吉支付宝转账2万元并在转账说明中写着“借呗金融维权打款”。
按照“客服”指引，布吉通过蚂蚁借呗“提取”了2万元资金。
在聊天记录中，“客服”还向布吉提示：“款项已为您打到借呗金融账户，稍后将款项借出后，扣除买家商品价格，其余款项扫描下方二维码退还至支付宝总账户，给您带来的不便敬请谅解。”
“交谈过程对方一直都很诚恳，我没考虑那么多就扫描二维码给对方转回了19805元，后来我才知道账单详情的图片是伪造的，那所谓的2万元维权基金是我在蚂蚁借呗的借款额度，我的‘提取’其实是向蚂蚁借呗借了钱，而那个二维码是个付款链接。”布吉反复琢磨后，终于想明白了自己是怎么被骗的。
法治周末记者了解到，用户通过其他网络借贷平台的受骗经历也类似，都是误将信用额度当作是赔付款，误把申请成功信用借款当作是提取赔付款，再通过扫描付款二维码将借款“主动”打给骗子。
源头是信息泄露
在互联网分析人士庄帅看来，骗子这种利用网络借贷平台为行骗工具的做法，之所以能够得逞，主要是利用了人们对网购退款流程和新型网络消费金融平台不熟悉的弱点。
“之前没用过，确实是不了解网络借贷。但我们之所以会相信骗子，还是因为他掌握了我所有的交易信息，这些核心信息提供后，大部分人也都会以为骗子是小红书的真客服。”张艳认为，骗子得逞的关键是掌握了用户的交易清单，取得用户信任，“估计是小红书泄露了我们的信息”。
“受骗者那么多，遍布全国各地，收货地址不同，这种批量泄露不可能是用户自己泄露的。”布吉并不认同小红书给出的理由。
平台需协助用户维权
那么，基于信息泄露导致的用户被骗，该由谁承担责任呢？
“最直接的责任承担者肯定是电信诈骗的实施者，但这种案件受害者遍布全国各地，立案管辖比较零散，且诈骗产业链已比较成熟，侦破存在一定的难度。”高万国说。
在中国电子商务研究中心研究员姚建芳看来，电商平台会获取个人信息，他们有义务保护用户信息，对于因用户信息泄露导致的后续损失，电商平台也有责任配合取证。
姚建芳认为，现在问题的关键之一还是找到信息泄露的源头，对于非法出售或提供个人信息的，可要求其承担刑事责任。