程序员挖“坑”致富：发现漏洞获1272万元悬赏

程序员有哪些好的副业？ 写文章、做技术顾问、开发小程序、发背书（bushi）……通过这些副业，很多人这些年逐渐实现了理想中的“经济自由”。

其中，还有一种非常流行的业余赚钱方式：“专挑别人的毛病，自己赚奖金”的漏洞赏金猎人。 无论是苹果、微软、谷歌等国外巨头，还是华为、阿里、腾讯等国内厂商，都推出了自己的漏洞赏金计划，即开发者搜索软件中的漏洞并报告他们给制造商，然后他们可以获得奖励。 丰厚的回报。

而这笔奖金到底有多丰厚？ 近日，iOS越狱软件Cydia之父Jay Freeman发现以太坊关键漏洞，中得200万美元（约合人民币1272万元）的巨奖！

（注：被誉为 iOS 越狱之父的著名软件开发者 Jay Freeman 开发了 Cydia 应用商店，允许越狱 iPhone 用户在 iOS 中下载未经授权的软件。）

创造无数ETH代币的漏洞

Optimism 是以太坊的 Layer 2 解决方案，可以大规模处理交易，同时保持以太坊的安全性。 原本只适用于Uniswap、Synthetix等特定项目，随后在去年底宣布取消白名单机制：任何用户都可以在Optimism上自由交易部署合约，构建应用。 但近日，Jay Freeman 发博称，他在 Optimism 的 Geth 分叉中发现了一个关键 bug：攻击者可以借此非法创建无数的 ETH 代币。

在这篇博文中，Jay Freeman 详细介绍了该错误是如何被发现的以及它是如何被利用的：“这个错误，我想称之为‘无节制的乐观’，可能被粗略地认为是‘桥’另一端的错误' 漏洞，但实际上这是在 Optimism 上执行智能合约的虚拟机中的一个漏洞。利用这个漏洞，攻击者可以在‘桥’的远程端访问无限数量的有效令牌。”

Jay Freeman 明确指出，该 bug 出现在以太坊 VM 中的 SELFDESTRUCT 指令中。 合同使用此指令进行自毁，删除其帐户对象，从而允许从区块链的活动集中快速删除潜在的大量“陈旧”状态。 当合约进行到 SELFDESTRUCT 指令时，它指定一个“受益人”来接收它当前拥有的资金。 该操作码在go-ethereum的EVM中实现，将余额添加到受益人，然后调用StateDB.Suicide将账户余额清零。

但是 Jay Freeman 发现这一步既没有使用 stateObject 的 setBalance setter 也没有使用共享的 common.Big0 常量，这意味着它除了将对象上的 boolean 设置为 true 之外什么也没做，这意味着“此时的合约仍然存在并继续拥有它以前的代码！”

Optimism 团队在随后的一份报告中也指出：“该漏洞允许通过反复触发持有 ETH 余额的合约上的 SELFDESTRUCT 操作码，在 Optimism 上创建无数 ETH 代币。”

该漏洞尚未被利用，需要尽快修复

幸运的是免费挖以太坊，Jay Freeman 很快在 2 月 2 日向 Optimism 团队报告了这个 bug，Optimism 团队分析了 Optimism 链的历史发现，除了 Etherscan 员工意外触发（当时没有产生可用的多余 ETH），该漏洞尚未被利用。

对于这个bug的出现，Optimism团队解释说：“这个bug源于对go-ethereum代码库的修改（旨在保持与旧OVM 1.0系统的向后兼容性）。” 由于 Optimism 用户在过去一年增长了很多，与早期涉及少数关键基础设施提供商之间协调的发布过程相比，Optimism 团队表示，今天发布的复杂性急剧增加：与代码库的桥梁，更多提供商，涉及多个主网分支。 即使发现错误，Optimism 团队也不能立即发布明显的补丁——他们不能冒着有人在升级前对错误进行逆向工程的风险。

在收到错误报告并确认漏洞后的数小时内，Optimism 团队测试了错误修复并将其部署到 Optimism 的 Kovan 和 Mainnet 网络（包括所有基础设施提供商）。

Optimism官方提醒，虽然该漏洞尚未被利用，但考虑到该漏洞的重要性，许多易受攻击的Optimism fork和bridge提供商需要注意，确保尽快升级到l2geth的0.5.11版本。

漏洞赏金计划，也许是必不可少的

从这件事可以看出，对于很多大型项目来说，漏洞赏金计划可能是不可或缺的。 就像Optimism一样，逐年增加的用户伴随着越来越复杂的技术，同时出现bug的可能性也越来越大。 这个时候，仅靠有限的项目内部人员来查找bug无疑是非常困难的。

无私找bug的人肯定有人免费挖以太坊，但是适当的赏金计划显然可以激发很多开发者找bug的热情和动力。 这可能是许多大型科技公司或项目发布漏洞赏金计划的原因：在 Jay Freeman 披露漏洞的同一天，MakerDAO 也发起了有史以来最大的漏洞赏金活动，最高奖励高达 1000 万美元。

不过，不可否认的是，漏洞赏金计划也引起了一些争议：

去年 9 月，向苹果报告了四个零日漏洞的丹尼斯托卡列夫表示，根据苹果的安全赏金页面，他报告的漏洞价值为 10 万美元，但苹果拒绝支付。

无独有偶，开发者Jose Rodriguez此前也曾发推谴责苹果：他报告的漏洞价值超过25000美元，但最终只得到5000美元的奖励。

那么，您对漏洞赏金计划有何看法？