漏洞投资

2016年夏天，漏洞投资一个叫“暗流”的漏洞投资漏洞交易平台在暗网悄悄上线。头三个月，漏洞投资注册用户不到两百人。漏洞投资但第四个月，漏洞投资一笔交易炸了锅——某款主流路由器固件的漏洞投资远程代码执行漏洞，成交价12个比特币。漏洞投资按当时币价折算，漏洞投资将近八万美元。漏洞投资买家是漏洞投资谁，没人知道。漏洞投资卖家ID叫“grey_hat_99”，漏洞投资后来被证实是漏洞投资东欧一个二十岁出头的安全研究员。他挖到这个漏洞只用了两周，漏洞投资写exp花了三天。漏洞投资

漏洞本身不值钱，值钱的是“没人知道”。这行当的底层逻辑就这么赤裸：一个未公开的漏洞，在厂商修补之前，就是一张空白支票。买方市场分三层。最底层是脚本小子，花几百美元买个nday，拿去挂马、挖矿，赚快钱。中间层是私人安全公司，买0day做客户防护，或者转手卖给政府承包商。顶层最神秘，直接跟情报机构挂钩，一个iOS完整链能卖到两百万美元以上。Zerodium在2019年公开报价，WhatsApp的0day最高给到一百万。

我认识一个做漏洞中介的，圈里叫他“老K”。他不挖洞，只撮合。手里握着十几个研究员的联系方式，也握着几个买家的。每笔交易抽15%。他跟我说过一句话：“这行没有忠诚，只有报价。”有个研究员给某厂商提交漏洞，厂商拖了六个月没修，也不给赏金。转头他把exp卖给了第三方，三天到账四万美金。厂商后来知道了，发律师函。没用。漏洞在谁手里，谁说了算。

但漏洞投资不是稳赚。最大的风险是“撞车”。两个研究员同时挖到同一个漏洞，先公开的那个让另一个的exp瞬间归零。2020年，Chrome的一个沙箱逃逸漏洞，三个团队几乎同时完成利用链。第一个提交给Google的拿了三万赏金，第二个只拿到五千，第三个直接被标记为重复，一分没有。投入的服务器成本、逆向时间、人力，全打水漂。这跟风投一样，赛道拥挤，先到先得。

还有法律红线。美国CFAA、中国刑法285条，都盯着这块。卖漏洞本身不违法，但卖给的买家如果拿去攻击特定目标，卖家可能被算共犯。2017年，那个叫“MalwareTech”的英国研究员，因为写了Kronos银行木马的exp，被FBI跨洋抓捕。他辩称只是做研究，陪审团不买账。漏洞交易灰色地带，踩过去就是深渊。

真正赚钱的，是那些把漏洞当期货玩的人。他们不急着卖，先囤着。等厂商发布新版本，旧版本漏洞失效前，集中出货。或者等某个大型攻防演练前，需求暴涨，价格翻三倍。有个圈子里的段子：一个研究员在双十一前卖掉某电商平台的支付逻辑漏洞，买家是黑产，当天晚上就薅了上千万。研究员拿钱走人，第二天新闻爆出来，他已经在泰国海滩上喝椰子。真假不知道，但逻辑通。

漏洞投资跟炒股没本质区别。信息差、时机、杠杆、风险对冲。只不过标的物是一行代码里的一个分号错误。有人靠这个财务自由，有人进去踩缝纫机。老K去年金盆洗手，在清迈开了家咖啡馆。他说：“这行太累，每天醒来第一件事是看有没有人先公开了你手里的洞。”他走的时候，手里还压着两个没卖的Windows本地提权。问他为什么不卖，他笑笑：“留着当养老金。”