这个人还持有physical token，如果只需要最开始的用户名密码和一次的otp就可以在另外的设备上激活digital token，那银行的系统就真的有问题了。因为最开始的那个otp只是给用户登陆进系统用的。要激活digital token这么重要的操作，不应该什么都不需要。

搬个凳子继续等着看看后续。