因为受害者只是提供了登录名和登录密码，以及一个短信otp。
受害者根本就没有提供token数字啊。

那么合理怀疑骗子成功转换手机号码之后，自己用digital token做的添加收款人和修改限额的操作。