漏洞银行

2017年夏天，漏洞银行我陪一个做安全研究的漏洞银行朋友去某互联网公司交漏洞报告。他花了三个通宵挖出一个支付逻辑缺陷，漏洞银行能绕过限额直接大额转账。漏洞银行接待我们的漏洞银行是个穿格子衫的年轻主管，听完描述后第一句话是漏洞银行：“你们有 exploit 演示吗？没有的话我们没法确认。”

朋友当场打开笔记本，漏洞银行用测试账号跑了完整攻击链。漏洞银行主管看完，漏洞银行点点头，漏洞银行说走内部流程。漏洞银行两周后，漏洞银行朋友收到一封邮件，漏洞银行大意是漏洞银行：漏洞确认，评级中危，漏洞银行奖励 200 元京东卡。他盯着那封邮件看了很久，最后把卡送给了楼下便利店老板。

这不是孤例。国内很多厂商的漏洞响应平台，本质上是个“漏洞银行”——白帽子往里存风险，厂商按自己定的汇率兑付。问题是汇率不透明，存取规则随时改，有时候存进去的真金白银，取出来只剩一把钢镚。

我见过更离谱的。某电商平台有个越权访问漏洞，能查看任意用户的收货地址和电话。提交后，厂商回复：“该漏洞需要登录才能利用，风险较低。”按这个逻辑，银行金库只要需要钥匙才能进，就不算高风险。后来这个漏洞被黑产利用，批量爬了上百万条用户数据，厂商才紧急发补丁。那个白帽子没再提交过任何漏洞。

漏洞银行的另一面是“坏账”。有些厂商收到漏洞后不修复，也不给奖励，直接标记为“已忽略”。白帽子追问，对方就搬出用户协议里的免责条款。这相当于你把钱存进银行，银行说“我们有权不认这笔账”，然后继续用你的钱放贷。

我认识一个独立安全研究员，他给自己定了规矩：只给有公开漏洞披露政策的厂商提交。没有政策，或者政策里写着“最终解释权归厂商所有”的，一律不碰。他说这不是清高，是止损。他算过一笔账，过去三年提交的漏洞里，有近四成被厂商以各种理由降级或忽略，实际到手的奖励还不够付咖啡钱。

当然也有做得好的。某头部云厂商的漏洞响应中心，评级标准公开，奖励阶梯清晰，确认后一周内打款。他们的安全负责人说过一句话：“白帽子是编外安全团队，你克扣他们的奖励，就是克扣自己的防线。”这话实在。漏洞银行要运转下去，信用比黄金重要。

但信用建立起来慢，垮掉快。一个厂商只要有一次“赖账”记录，在圈子里传开，白帽子就会用脚投票。你可以在后台改评级，但改不了别人心里的那杆秤。

说到底，漏洞银行不是真银行，没有存款保险，没有监管机构。它靠的是双方默认的契约：你发现风险，我支付对价。这个契约一旦被单方面撕毁，剩下的就只有一堆没人认领的漏洞，和一群转身离开的白帽子。

那个陪我去交漏洞的朋友，后来转行做了区块链安全。他说至少智能合约的漏洞赏金是自动执行的，代码说了算，不用跟人扯皮。我问他还会给传统厂商提交漏洞吗？他笑了笑，说：“看心情。心情好的时候，当捐了。”