黑客即法律

过去一年多，我投身了新兴领域：区块链安全。这和我之前在其他细分领域的起步是类似的：疯狂吸收陌生领域的知识；持续敬畏；持续输出。

这个领域确实是非常非常早期，有人说比特币都 10 年了，还算早期？是的，比特币的疯狂起步也仅仅是一年多前，在疯狂之前，哪怕出现了极其严重的漏洞或攻击事件，也很难引起关注。现在不一样，加密货币的大事件能吸引越来越多非这个领域的人的注意，哪怕这个注意仅仅只有几秒钟，哪怕这些注意都是负面消息。

以太坊(ETH)在 2016 年因为 The DAO 攻击事件而大火，攻击者利用 The DAO 智能合约 0day 漏洞，盗走了 360 多万枚 ETH。至少当时我被这起攻击吸引了注意力，之后持有的 ETH(以太坊) 分叉出了 ETC(以太经典)，这等于我不仅拥有我的 ETH，我还多了同等数量的 ETC，虽然当时币价瀑布了。这是我第一次经历的硬分叉，因为信仰差异而导致社区一分为二：以太坊“追回”了被盗的币，以太经典“承认”了被盗的币。现在回过头来看，以太坊这种激进的做法似乎是对的，至少从市值和算力来看，以太坊都是以太经典的 20 多倍。相比之下以太坊已经是个巨无霸生态，尤其是其上的智能合约，让这个生态不仅仅是支付，这个生态之上可以有更多更好的应用出现。

这次攻击事件，让所有人都对“代码即法律”有了第一印象，以太坊虽然“追回”了被盗的币，但当时付出的代价是巨大的。之后，2018 年 4 月的 BEC 溢出攻击事件，真正意义上打开了针对智能合约攻击的潘多拉魔盒，更多的攻击者们发现，在这个世界里可以完成非常安全的收割操作。

注：代码即法律，是很早很早就出现的概念，意图之一是相信久经考验的代码实现，比如是否有漏洞？是否是设计者或现实世界的真实意图？通过代码来约束一些行为。但这个概念在新世界的具体表现还是模糊的，不过这不影响我列举一些普遍的看法。

在区块链上，代码即法律，意味着，发布的智能合约没法修改，一旦出现漏洞，命运只有一个：死亡。死亡的具体体现是：项目方大量代币被盗取，攻击者通过后续的洗币操作，最终获利。而由于代码没法修改，漏洞没法修复，项目方代币只能作废，重来。

在区块链上，代码即法律，意味着，这是个全新的游戏规则，过去立的法、执法、司法在这个新世界里水土不服。这是很正常的现象，法律跟随新事物发展，在法律真跟上来之前，这里是个“法外之地”。如果法律跟上来后，意味着紧密的中心化监管的存在，那么这是个怎样的世界？

潘多拉魔盒开启之后，项目方逐渐意识到智能合约的代码里其实可以加上中心化治理机制。比如项目方有权暂停合约的一切动作，比如冻结交易，这样即使合约被攻击了，只要风控及时，是可以把攻击者持有的代币冻结的。再比如，项目方分模块编写智能合约，入口合约不变的情况下，其他模块合约都可以采用替换的方式来进行任意升级。现在知名的基于以太坊智能合约实现的各大稳定币都是类似的做法，甚至还加入了 AML(反洗钱) 等扩展接口，方便配合传统中心化监管机构的监管。

到了 EOS 的世界，智能合约的中心化治理就更简单了，入口合约都可以任意升级，只要项目方握住权限不放。比如像知名合约项目 IQ，历史上出现过 9 次升级，其中有一次升级非常为社区诟病：增加了转账手续费，这导致不知情的交易所及钱包方额外担负了“突然”出现的手续费。

这样的中心化治理还是“代码即法律”吗？优秀的项目方会选择将项目运作尽量透明化，比如：代码开源或半开源；把升级权限采用多签方式移交出去；并在公告里说明这些关键动作。但绝大多数项目方是不会这样做的，然而，现实是，这个世界绝大多数用户是不关心或关心不了一个项目是否足够透明运作，但如果有办法让他们知道，他们会更安心。

代码即法律虽然有了中心化治理，但在攻击者视角来看，无所谓，因为这些治理经常滞后于攻击，攻击只要够快，后续的洗币操作顺畅，攻击者可以继续安全的获利。站在攻击者角度，他才是法律。站在大家习惯的称呼上，攻击者即黑客，那么黑客即法律。

这个世界所有人都很忙碌，即使 2018 一整年，被盗的数字货币价值超过 20 亿美金，平均一天就有 548 万美金被盗；即使 EOS 主网启动到现在的大半年，平均 2～3 天就有一个 DApp 被黑；即使他们知道这是个黑暗森林。这个世界所有人都很忙碌，大多数人无暇顾及这些，他们觉得还有无数的事情要做，他们只是希望被黑的不要是自己，即使被黑，损失也能尽可能小，他们在赌，所有的一切。

攻击者，喜欢这个世界，他们是低调的收割者，历史上无数起被黑事件，真正抓获的攻击者，屈指可数。

但我们还是对这个世界充满信心与期待，这是一个相对自由得多的世界，虽然不可避免地出现大量混乱，这个世界最终还是由具备创造能力的真正黑客领导着。所有人都很忙碌，攻击者很忙碌，创造者们也很忙碌，进化的脚步一刻都未停歇。

-------
余弦，身处于这个混乱的世界

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/