周鸿祎还原“区块链史诗级漏洞”事件始末：没有恶意做空EOS

周鸿祎称，采用这种公开的方式是希望以此呼吁大众关注区块链技术的同时也注意区块链安全。安全问题也是360在区块链领域的机会。

在区块链平台EOS上线之际，360公司于5月29日突然宣布，发现该平台存在重大漏洞。外界纷纷质疑360此举是为做空EOS。

5月30日午间，在“三点钟火星财经创始学习群”，360董事长、“红衣教主”周鸿祎揭秘“EOS安全风暴”事件始末。

周鸿祎表示，之前大家都在关注区块链带来的商业机会，但是很少有人关注区块链安全问题。最近EOS准备上线，在区块链行业里非常具有代表性，360这次发现EOS漏洞，提交给对方，希望督促他们修补系统，所以披露漏洞，这也是360作为一家安全公司的职责所在。

而在今日（5月30日）早些时候，EOS创始人BM针对漏洞一事做出回应称：“漏洞已被EOS修复，且早于360发布报告的时间。”

对于BM的这一说法，周鸿祎反复强调：

“我们安全厂商对外公开披露的漏洞，一定是先和对方沟通，提交给对方去修复，在得到他们修复的确认之后，我们再公开。因为如果EOS没有修复，我们公布出来了，肯定会有一大波黑客立马上去搞他们，所以我们发布报告的时间当然会是晚于修复时间的。”

周鸿祎还表示，BM的回应有点让人混乱，看起来以为是，我们报告前，他们已经修复了，其实是我们遵循了负责任的行业标准流程：报告->修复->公开。

“非常明确地说，我们先私下联系了BM，通知了他们EOS漏洞，希望他们先修复，这都是有聊天记录截屏的。等到EOS修复了，我们再对外发布这个漏洞公告。今天我们也还在和对方继续保持沟通，对方对我们表示感谢，也表示会给我们发放漏洞奖金，会对外发致谢……”周鸿祎称。

与此同时，周鸿祎还否认了做空EOS的说法，称360的做法符合安全行业标准的漏洞通报机制。

此前，周鸿祎很少提及区块链，但在这次的对话中，他表示，过去这段时间，360在区块链上做了很用心的研究，未来会仍将聚焦安全问题，并基于区块链安全生态推出三个系统，主要包括数字货币钱包安全审计系统、区块链安全态势感知系统和区块链节点安全解决方案。

以下为对话主要内容（由全天候科技整理）：

曝出EOS漏洞并非蓄谋已久

问：360以PC安全卫士起家，其后一直从事互联网安全应用，我也知道近几年也逐渐布局于企业级安全领域，为什么你的安全触角一下子进入区块链领域？今年春节之后，3点钟微信群火爆区块链期间，你也从未轻易表达过对区块链的看法，可是昨天，通过爆料EOS严重安全漏洞之际，360闪电出击，在一天之内连续公布了与币安、欧链、EOS LaoMao、Dbank等项目的合作，这是为什么？看起来你是蓄谋已久啊，后面还有大招？

周鸿祎：没有大家想象的什么蓄谋已久，也没有什么大招，我们的大招就是踏踏实实帮助区块链行业排除风险。

我至今也不觉得自己懂区块链，我个人也没有买虚拟货币，看着大家在这些群里热烈的讨论，每个人都忧国忧民，每个人都像经济学家、哲学家、思想家一样的发出各种见解，我真的觉得自己像个白痴一样听不太懂。但是我们比较懂的就是安全，所以我们希望和大家一起交流，让区块链行业更安全。

尽管很多区块链、数字货币的设计都标榜非常安全，但任何软件系统，只要非常复杂，这种复杂度，都会带来bug和漏洞，bug和漏洞被人利用，就会带来风险，就会有安全问题，区块链技术也一样。

我们最近发现了很多区块链系统、交易所系统、钱包系统存在问题。之前大家都在关注区块链带来的商业机会，但是很少有人关注区块链安全问题。最近EOS准备上线，在区块链行业里非常具有代表性，我们这次发现EOS漏洞，提交给对方，希望督促他们修补系统，所以我们披露漏洞，是我们安全公司的职责所在。

我们的心态还是比较开放的，我们也希望大家都能够关注安全问题，所以当大家主动来找我们，希望在区块链安全方面有些深入沟通交流，我们也非常愿意为区块链行业提供更安全的解决方案。

我们没有立场，是中立，我们提出任何一个系统的漏洞，都是为了帮助这个系统改善安全性，保证它的安全，不是为了打击它。区块链这个行业里，大家其实是在一条船上，作为新生事物，某一家不安全会让大家对整个行业产生质疑、失去信心，对行业是不利的。所以我们反对大家利用安全问题做文章，把安全问题变成竞争的工具。后面我们肯定还是会继续深入研究区块链安全问题，也会继续保持开放心态，欢迎大家来交流合作。

回应“制造恐慌”：确认EOS修复后 360才公开漏洞

问：今天凌晨，EOS创始人BM在电报群中回应360披露的EOS安全漏洞问题，称360报告中提到的漏洞早已被EOS修复，且早于360发布报告的时间。对于漏洞本身，BM称大部分漏洞是来源于第三方代码库而非EOS核心代码；且该漏洞并不能改写可执行内存，且不能获得Root权限，除非部署节点时就已经是以Root用户身份来运行。BM的回应，暗指360制造恐慌，并声明对于任何挑起市场恐慌的行为将取消其奖励资格。对此，你怎么看？

周鸿祎：对于已经修复这个事情，我还是需要和大家普及一个知识，就是 我们安全厂商对外公开披露的漏洞，一定是先和对方沟通，提交给对方去修复，在得到他们修复的确认之后，然后我们再公开。 因为如果EOS没有修复，我们公布出来了，肯定会有一大波黑客立马上去搞他们，所以我们发布报告的时间当然会是晚于修复时间的。

这个不仅仅是对EOS，对微软谷歌苹果都是一样的，对于安全漏洞，通常的步奏就是，首先是挖掘漏洞，挖出来之后就会研究，会怎么被黑客们利用，把这些研究透了，再向相关的厂商汇报，比如这次EOS的，就是把怎么利用的视频还有涉及的详细代码报告给了对方，再然后就是对方修复，等对方确认修复之后，我们才会对外公布。

他提到的这个root权限，root权限是指计算机系统里面的最高权限。是否获得root权限，不影响攻击者控制EOS节点，没有root权限也是一样的。如果用户使用root权限运行EOS，那么攻击者就可以获取root权限。

BM的回应有点让人混乱，看起来以为是，我们报告前，他们已经修复了，其实是我们遵循了负责任的行业标准流程，报告->修复->公开。

非常明确地说，我们先私下联系了BM，通知了他们EOS漏洞，希望他们先修复，这都是有聊天记录截屏的。等到EOS修复了，我们再对外发布这个漏洞公告。

今天我们也还在和对方继续保持沟通，对方对我们表示感谢，也表示会给我们发放漏洞奖金，会对外发致谢……

这也是安全圈的行业通行做法，对方不修复，我们不会公告。这事我们一直在BM单独沟通，他在Telegram上的留言的截图是昨天晚上的，比较断章取义。实际上那个留言之后，他很快回复说，漏洞是真实存在有效的。但是就被截了一点儿。

至于制造恐慌，如果说我们要制造恐慌，直接在主网上线时放出这个，恐慌效果一定比现在要好的多。

我再强调一遍，我们提交的漏洞，EOS官方是确认真实有效的，而且，今天早上在和BM沟通时，他们依然是非常认同我们的成果和技术实力的。

在这整个过程中，360都是非常负责任地严格遵循安全行业的安全漏洞披露原则的。我们做为国内最大的一家安全厂商，在全球也是排名前三的安全厂商，我们希望和全球同行和科技公司一起，解决网络安全问题，降低网络安全问题给用户带去的损害。帮助大家发现漏洞、修补漏洞，让大家提供安全放心的产品给用户，是我们共同的责任。区块链作为新兴的技术方向，我们参与进来，无论是这次披露EOS漏洞，还是之前和其他区块链机构的沟通，都是希望和大家一起共同构建安全放心的区块链产品和服务。

问：今年的区块链最大的话题就是EOS，现在很多人都担心EOS会延期发布公网版本。以360安全技术团队评估，EOS Dawn 4.0的公网版本是否有可能推迟发布？

周鸿祎：我认为应该延迟上线，我们的安全团队还在发现一些EOS的漏洞，我们也会第一时间及时的提交给他们，我们建议修复之后再上线。

没有恶意做空EOS

问：因为在国内有很多EOS超级节点的参与者，他们中有很多人是EOS的狂热支持者，昨天360曝光安全漏洞，引发了各种猜测和起哄，360有没有联合某些组织做空EOS？

周鸿祎：大家从我们披露漏洞的时间其实应该就能知道我们肯定不是在做空。假如我真想恶意做空的话，完全可以捂着，等EOS主网上线，直接爆出来。

我们现在的做法是什么？是安全行业标准的漏洞通报机制，先和EOS团队联系，提交漏洞详情，然后等他们修复完成了，我们才对外公布，这是非常负责任的做法。我们是希望EOS乃至整个区块链行业发展的更好。

问：一位从事过信息安全的朋友提醒我问，在Vulcan团队发现这个大漏洞之后，你们是如何考量曝光漏洞的时机和方式？你们认为现在这样的漏洞爆出时机和方式，是否体现了或者符合网络安全行业通用的、负责任的处理方式？

周鸿祎：前面我也说了，这次我们的处理方式，是非常负责任的，也是网络安全行业比较通用的。

时机上，我们发现漏洞之后，Vulcan团队在完成对这个大漏洞利用研究测试之后，立刻联系了EOS创始人BM，我们是希望帮助EOS开发团队先解决这个漏洞的，保证漏洞不会攻击者利用，在他们修复完成之后，才披露的。

采用这种比较公开的方式，我们也是希望以此呼吁大众关注区块链技术的同时也注意区块链安全。我认为现在的漏洞爆出时机和处理方式都是合适的，负责任的。

“史诗级漏洞”名称、价值由来

问：在360公布#3498 EOS漏洞之前，EOS的bug已经在Github上提交了3497条，但360出手前鲜有人关注并产生如此之大的影响。你如何看待昨天披露安全漏洞的严重程度？为什么称这个漏洞价值百亿美元？为什么360安全卫士在微博上将之称为“史诗级”漏洞？

周鸿祎：我先来解释下这个漏洞被人利用可以用来干什么。如果漏洞被人利用，可以控制EOS网络里面的每一个节点每一个服务器，那就不仅仅是接管网络里面的虚拟货币、各种交易和应用，也可以接管节点里面所有参与的服务器。拿到服务器权限，就可以为所欲为了。如果有人做一个恶意的智能合约，就能够把里面所有的数字货币直接拿走了。所以这个对于区块链网络来说，不会有比这个更严重的漏洞了。

再说“史诗级”，EOS在区块链发展史上的重要性大家肯定知道，如果说，这个漏洞我们没有提出来，EOS没有修复，等到EOS主网上线了，被恶意的黑客发现并利用了，那时候EOS会不会一夜之间就被搞掉了，我们都不好说。EOS现在的估值至少百亿美金了，所以我觉得这个漏洞价值百亿美金并不夸张。另外就是这个其实是我们安全圈内部的说法，是半个舶来语。“史诗级”是从“Epic”翻译过来的，国外安全社区经常用“Epic bug”或者“Epic fail”来形容比较重大的安全漏洞。

当然我从公关的角度来看，史诗级这个词大家理解不一样，太文艺青年了，所以说成百亿美金的漏洞，大家会不会觉得更接地气一点。因为很多标题党，吓尿了、吓哭了、吓软了、崩溃了……都被滥用了，所以用了个史诗级，其实说百亿美金级别最好了。

关于“360安全大脑”

问：此次发布EOS漏洞事件，让Vulcan（伏尔甘）团队一战成名，可此前行业内很少有关于他们的消息，能否向我们具体介绍下他们？你最近不断提及360安全大脑，能一并介绍下吗？在这个事情上，你们安全大脑团队跟BM团队是通过telegram直接交流的，你们实质接触是从什么时候开始的？坊间说，你们和EOS很快有合作要公布，你方便在这里透露吗？

周鸿祎：你们说的行业内，肯定不是安全圈子里面。360 Vulcan团队在安全圈子里，大家应该多多少少都知道。Vulcan最早是我们360安全卫士的攻防研究团队，有一年他们要参加Pwn2Own，这是个比较厉害的世界黑客大赛，要参加这种大赛，所以他们组了一个小组，就是Vulcan团队。

他们在攻防研究、挖掘厂商漏洞和帮助厂商修复漏洞上实力很强的。他们2015年组队去参加Pwn2Own 2015获了奖，当时用了17秒攻破了微软的IE11，是历史上首支成功攻破IE的亚洲团队。Pwn2own黑客大赛上，Vulcan团队连续多年斩获了十几项冠军，在Pwn2own 2017上更是拿到了世界总冠军。所以圈子内部，对他们是绝对不陌生的。

最近的安全大脑是这样的，从名字上大家就能看出来一点，大脑，肯定要能学习、还能做运算做决策的。所以简单说， 360安全大脑，是一个具有感知能力、学习能力、推理能力、预测能力和决策能力的综合性智能系统。然后就是360安全大脑能够干什么，这次EOS漏洞的发掘，其实就是结合360安全大脑和安全专家的能力。

再给大家举个例子说一下吧。不知道大家记不记得2016年美国曾遭遇过一次大断网事件，这个事情后来查出来了，是黑客利用安防智能摄像头搞了一次DDoS攻击，360被邀请参与了事件的紧急处置，最后还受到了FBI的致谢。360安全大脑在这中间做了什么呢，其实这个事情发生之前，我们就在安全社区，我们圈子里做了预警，我们是最早做过预警的，就是我们的360安全大脑，发现了有针对安防智能摄像头的异常访问流量。

安全大脑是人工智能基于大数据的分析判断，加上我们的富有经验的安全专家的人脑，构成了真正的安全超脑。

跟BM团队联系是我们安全团队直接联系沟通的，最早应该就是28号的时候。

我们和EOS方面目前没有直接合作的，区块链安全是我们一直关注的问题。此外360也是互联网科技企业，像EOS这些主要的公链，我们在技术研究方面一直有投入。从年初开始就已经与一些合作伙伴，就EOS生态建设、安全防护、主节点的竞争等方面进行交流讨论。

搞安全需要耐得住寂寞

问：在移动互联网时代，今日头条、小米科技、美团点评等等迅速崛起，与PC互联网时代占尽先发优势不同，360优势并不明显，这会不会让你感觉到失落？你是一个不服输的人，这会不会是360有一天大举进军区块链很大的动力？

周鸿祎：其实做安全这个行业，说刺激也很刺激，你看不管是去年5月的勒索病毒，还是昨天的EOS漏洞，一下子就让全行业都关注到你了。

但与此同时，实际上，搞安全是一件需要耐得住寂寞，需要长久投入努力的事情。比如上面我说Vulcan他们参加黑客大赛11秒攻破IE 11，但在那之前，他们扒代码的时间你是想象不到的。然后，不参加比赛了，虽然帮助微软帮助谷歌帮助苹果修复了很多漏洞，你们都不知道，我们更像是一群守护者，站在大家身后的人。

PC时代那时候，病毒木马横行，我们顺应潮流用360安全卫士、360杀毒帮大家解决了安全问题，可能获得的关注比较多。

但在移动互联网时代，实际上我们也做了很多事情，你们可以看看去年谷歌致谢榜单里面，我们在安卓上，帮助谷歌修复两百多个漏洞，全球第一，是第二名的三倍。除了这类工作，我们还和公安合作，比如推出猎网平台，打击电信电话网络诈骗。

这些事情，可能不会像当年一样刺激，但我觉得我们是做了非常有价值的一些事情，从内心来说，我们还是比较骄傲的。

这些年，我们在原创核心技术上积累也是非常多的，比如上面说的安全大脑，其实是我们多年技术积累的结晶。

360安全大脑的网络安全空间大数据，现在是全球规模最大的。也因为有这些大数据和数据中心，360安全大脑的态势感知、智能查杀、攻防与溯源，包括应急响应上，现在在全球都非常具备竞争力。

我不服输，但不是说非要进军区块链什么的，而是说，在大安全这个新时代里面，希望能够继续发挥360安全守护者这个作用。区块链应用以后有可能深入生活、生产的多个方面，360作为国内最大的安全公司，当然希望充当一个“守护者”的角色，为区块链应用保驾护航。

360的安全业务边界

问：在前不久的第二届世界智能大会上，你提到“人工智能本身就存在安全问题。”你举例说，360安全团队曾利用超声波干扰技术，成功实现对特斯拉的欺骗，让它相信前方的障碍物并不存在。你的观点是，人工智能也许可以有99.99%的概率保证识别是正确的，但是对于安全来讲，它只要出现一次识别错误，就会造成严重后果。那么，360定义的安全业务的边界有多大？

周鸿祎：我们关注人工智能或者区块链， 其实不管是AI和区块链的安全，都有一个共同点，就是无论是AI的算法，还是区块链的算法，都是要写代码实现的，而代码是人写的，肯定会有漏洞的。

我之前看到过一个数据，开源软件中，每千行平均就有6-8个安全漏洞。所以对于新生事物，不管是新兴技术还是什么，看到美好一面的同时，作为搞安全的，我会不自觉的看到他们潜在的安全风险。搞安全的人更像是一个“看门人”，时刻都要保持一颗怀疑之心、守护之心。

360进入区块链行业的机会——安全问题

问：如果360进入区块链行业，360的机会在哪里？你如何评价目前区块链行业数字货币交易所处于中心地位的状况？

周鸿祎：我们现在看区块链，涉足区块链，肯定还是围绕安全。

安全问题不是说这次我们披露了，大家热闹一天就完了。我希望大家记住，EOS这个漏洞，不是最后一个，也一定不是最厉害的一个。

未来区块链行业一定会出现更多的安全问题，之前传统互联网领域里面遇到的安全问题，区块链行业里面一定也会遇到。这就是我们在其中的机会，当然我们也有自信和实力在其中担起责任，保护区块链行业健康稳定安全发展。

问：能否介绍下360在区块链安全方面的布局和方案，比如：交易所安全怎么做？矿池安全怎么做？智能合约安全方面又怎么做？

周鸿祎：过去这段时间，360在区块链方向上，我们的安全团队还是很用心的研究了很多，也拿了一些方案。我们未来会基于区块链安全生态推出三个系统，主要包括数字货币钱包安全审计系统、区块链安全态势感知系统和区块链节点安全解决方案。

第一个，数字货币钱包安全审计系统，这里面会详细地列一些审计的要点，阐述如何做一款比较安全的数字钱包，从而保障用户的财产安全。

第二个，区块链安全态势感知系统，这个系统是基于360安全大脑的，可以自动对异常区块、异常交易、异常地址和智能合约进行监控，不仅可以将交易风险降到最低，而且还可对非法数字货币进行溯源。

最后一个，区块链节点安全解决方案，目前主要会针对EOS。

问：未来几年，区块链行业会出现一家像PC互联网时代的360这样有影响力的安全企业吗？在区块链时代，360安全产品是否能否全面开源？

周鸿祎：区块链行业里会不会出现一个360，我觉得应该不会出现这种情况，区块链方面问题的解决会是产业化的，360肯定会是其中的主力，但不会像PC时代那样一枝独秀，会有很多从事安全的企业和个人一起来保障区块链的安全。

区块链行业的安全需与网络安全行业协同开放

问：你认为区块链企业自身应该采取哪些措施，加强区块链的安全性？

周鸿祎：区块链领域里面，我认为真正的安全问题其实还没出来。通过这次披露EOS漏洞，我们希望是让大家能够重视区块链安全问题。在网络安全行业里，有两种情况是最可怕的，一种是做沙漠里的鸵鸟，知道不改，还有一种是知道了不爆出来，最后被人利用，这两个才是最可怕的。

我最近还在提一个概念，叫“大安全”，简单说，就是网络安全的影响已经从最初简单的信息安全，演变到现在，从线上到线下，都会受到网络攻击的威胁，并且新威胁越来越多。区块链作为这两年新火起来的技术，它遇到的安全威胁，我也把它归到新威胁里面。

这种情况下，光靠某个企业，比如区块链行业里，你某个项目自身，安全防护能力肯定是有限的，反过来光靠360这样一家安全公司也不行，所以应该是整个安全行业需要得到发展。所以，区块链行业，要能够与网络安全行业，做到协同开放，大家一起来做这个事情。你上一个区块链项目，区块链本身，你肯定比我懂得多，但是安全问题上，肯定我的人更专业，那如果我们来给你们做一下安全检测，是不是安全风险就会降低很多？

我们一定要记住，有这么一句话，叫“没有攻不破的网络”，只有没被发现的漏洞，或者被发现没公开的，不存在没有漏洞的网络。所以，我们希望无论是区块链行业，还是其他行业，要能够正视网络安全问题的重要性。

做法上，除了我刚刚说的，利用网络安全行业的外部公司力量，你还可以做一些漏洞奖励计划，让整个安全社区都来帮助你解决安全问题。我们每年都会帮谷歌、微软和苹果他们解决很多问题，他们都有自己的漏洞奖励计划，对提交漏洞的团队给予奖励。

问：从目前的漏洞产生机制上看，360安全团队只曝光了EOS智能合约的设计缺陷，实际上，从漏洞风险上看，我们认为可能在P2P端口、RPC端口、服务器与集群等方面还可能潜藏着很多安全的大坑。360的技术团队就这些问题是否会对EOS进行系统的评估？

周鸿祎：是的，从黑客攻击者的角度来说，对一个系统或者应用来说，有很多的攻击面，他们通过各种途径和方式尝试突破，软件设计和实现的缺陷是其中一个也是最直接的攻击面。

360有很多安全团队，他们会从不同角度发现系统的脆弱性，通过评估给出整体的安全解决方案。目前区块链应用主要以智能合约应用和数字货币为主，从360安全团队发现的安全威胁来看，在区块链新领域的确还存在很多安全威胁，我们会逐步在这方面拓宽关注和研究的方向。

本文链接: http://www.yixieshi.com/116695.html (转载请保留)