第一个攻击支付宝的黑客

他叫“菜霸”，攻击真名鄢奉天，支付湖南人，黑客1989年出生。攻击2006年，支付他刚满17岁，黑客还在上中专，攻击突然就干了件大事——把支付宝给攻破了。支付

那天是黑客9月12日，支付宝刚成立两年，攻击还在用老式的支付加密协议。菜霸在网吧里，黑客用一台破电脑，攻击花了几个小时，支付找到了一个漏洞。黑客他直接进了支付宝的数据库，看到了后台用户信息。他没有偷钱，没有卖数据，反而是给支付宝的安全团队留了言：“你们有漏洞，我进来了，别紧张，我不搞破坏。”然后他改了页面上的一个字符，作为证明。

这事当时没上新闻。支付宝官方没报警，也没公开。但内部炸了锅。几个技术员连夜排查，最后确认——一个未成年人，用最朴素的手段，绕过了他们引以为傲的风控系统。据说当时负责安全的主管脸都绿了，因为菜霸用的方法不是啥高深黑客技巧，就是利用了一个未清理的测试接口。

菜霸后来跟我说过（在一次极短的线上交流里），他当时就是觉得好玩。“支付宝那会儿界面挺丑的，我就想试试能不能进去。”他说得轻描淡写，像在说今天吃了碗粉。但这事的意义不在于他多牛，而在于他选了个最危险的目标——金融系统，还是中国的。

那个年代，网络支付刚起步，大家连网银都不敢用，更别说支付宝了。菜霸这一下，等于把遮羞布扯了。他让所有做支付的人意识到：安全不是靠口号，是靠每一行代码。后来支付宝专门成立了风控部门，据说第一个版本就是照着菜霸的攻击路径做的补丁。

有意思的是，菜霸没进监狱。他后来因为其他事（入侵腾讯服务器）被关了八个月，但支付宝那次，官方选择了沉默。有人说是怕曝光影响用户信心，也有人说是看他未成年，又没造成损失。但我知道个细节——支付宝的工程师后来私下联系过他，请他吃了顿饭，问他愿不愿意来实习。菜霸没去，他说“坐办公室太无聊”。

现在回头看，这事挺荒诞的。当年那个漏洞，放到今天可能连门都摸不着，但那时候，一个小孩就能撬开金融大门。你说他胆大？我觉得他更像是个好奇心过剩的野孩子。他根本没想过后果，纯粹是觉得“你越说安全，我越要看看”。

支付宝后来成了巨头，菜霸呢？他回了老家，开了个小店，偶尔还在网上写点代码。没人再叫他黑客，他自己也不提。但每次有人吹嘘“我们系统无敌”，我都会想起那个网吧里的下午——一个少年，用键盘敲碎了一个行业的傲慢。