结论：网贷平台在获得用户空白通讯录授权的情况下，理论上存在“爆通讯录”的可能性，但这一行为是否合法需分情况讨论。以下从法律角度详细分析：

1. 授权的合法性边界

• 合法授权范围：根据《个人信息保护法》第十三条，处理个人信息需取得个人同意，且同意内容应明确、具体。若用户仅授权“通讯录”但未明确同意“被催收时联系第三方”，则网贷平台无权将通讯录用于催收。
• 授权形式要求：授权需通过书面或电子形式明确告知用途（如“用于逾期催收时联系紧急联系人”），若授权协议中未列明此用途，平台行为可能涉嫌违法。

2. “爆通讯录”的违法性分析

• 侵犯隐私权：根据《民法典》第一千零三十二条，自然人享有隐私权，任何组织或个人不得以刺探、侵扰、泄露、公开等方式侵害他人隐私。未经同意向通讯录联系人发送催收信息，属于侵犯隐私权。
• 违反《个人信息保护法》：若平台将通讯录信息用于催收，超出用户授权范围，可能违反该法第十条（处理个人信息应具有合法、正当、必要目的）及第十四条（需单独同意处理敏感个人信息）。
• 刑事风险：若平台通过非法手段获取通讯录（如伪造授权），或出售通讯录信息，可能涉嫌《刑法》第二百五十三条之一规定的“侵犯公民个人信息罪”，最高可处七年有期徒刑。

3. 用户如何应对？

• 收集证据：保存授权协议、催收短信/电话记录、通讯录被泄露的证明（如亲友收到催收信息的截图）。
• 投诉与举报：
  • 向当地银保监会或地方金融监管局投诉网贷平台违规催收；
  • 通过“中国互联网金融协会”官网举报平台违规行为；
  • 若涉及个人信息泄露，可向网信办举报（网址：www.12377.cn）。
• 法律诉讼：若造成严重精神损害或财产损失，可依据《民法典》第一千一百八十三条起诉平台，要求赔偿损失并公开道歉。

4. 特殊情形：用户是否需承担责任？

• 若授权协议明确包含催收用途：用户需承担一定责任，但平台仍需遵守《互联网金融逾期债务催收自律公约》，不得在非工作时间催收、不得向无关第三方透露债务信息等。
• 若平台伪造授权：用户无需承担责任，且可主张平台构成欺诈，要求撤销相关合同并赔偿损失。

建议：若您已遭遇“爆通讯录”，建议立即联系网贷平台要求停止侵权行为，并同步启动投诉或诉讼程序。如有进一步疑问，可直接向我咨询，我将结合具体证据为您制定维权方案。