上个月在茶餐厅见了老张，五十七岁，刚从工厂退休，头发白了一半。桌子上摊着几张打印纸，全是区块链社群的聊天记录，字打得大，边缘都磨起了毛。他攒了八十万，想给未出嫁的小女儿攒嫁妆，投进了一个打着文旅IP旗号的NFT项目，结果不到一周，钱全没了。
老张的八十万：没了，连说理的门都找不到
项目当初吹得特别好：用智能合约自动分润，绝对透明，没人能挪用公款，稳赚不赔。老张听进去了，觉得连代码都写死了，总不会骗我吧，把所有积蓄转了进去。
上线第三天，项目方发了一则公告。
区块链智能合约出了漏洞，被黑客攻击，所有募集资金被转走，项目暂停，大家自求多福。
老张懵了。找项目方，项目方说我们也是受害者，智能合约是去中心化运行的，我们冻不住转出去的钱啊。找社群群主，群主早就退群拉黑。找上线的交易所，交易所说钱已经转到项目方的合约地址了，我们只是提供交易服务，管不着。报警，警察说资金流向了境外好几个地址，追踪成本太高，一时半会出不了结果。
八十万，没了。
代码不是护身符，多数漏洞根本就是低级错误
很多人被“代码即法律”“不可篡改”吹得晕头转向，觉得智能合约就是绝对安全的黑箱子。说实话，我听过太多这种吹法了。
不可篡改的不只是正确的代码，还有漏洞啊。
现在多少项目抢风口赶上线，融了几千万，连几万块的代码审计钱都舍不得出。公开数据显示，超过七成的智能合约安全事故，根源都是可以提前避免的低级错误。重入漏洞，就是写代码的时候忘了给操作加锁，黑客可以反复提钱把账户掏空；整数溢出漏洞，就是没做数值范围判断，黑客能凭空造出无数 Token 把池子榨干；更黑心的，就是像老张遇到的这种，项目方故意留个超级权限后门，出事了就推给黑客攻击，神不知鬼不觉把钱吞了。
我后来找做代码审计的朋友，扒了老张投的那个项目的合约代码。一眼就看到了问题：项目创始人的地址天生就有权限转走合约里的所有ETH，根本不需要什么黑客攻击。
这哪是漏洞，这就是给普通人挖好的坑。
法律踩在新土地上，总得先学会迈步
不少人说，遇到这种事只能认栽，区块链是法外之地，法律管不着。真的是这样吗？
不过话说回来，我去年看到杭州法院的一份判决，一下子把这个误区打破了。有个投资者跟老张情况差不多，买项目的时候因为智能合约漏洞亏了钱，把项目方和审计机构告上法院，最后法院判项目方赔投资者七十多万，审计机构因为没尽到义务也要担连带责任。法官写的判决理由特别实在：你项目方发行项目、用智能合约收钱，就有义务保证代码安全，不能拿“去中心化”当挡箭牌甩锅。
你品品这个道理，太对了。你开饭店，你说我的炒菜锅是全自动的，吃坏了人，你全自动锅不负责，我饭店就不负责？哪有这种逻辑。不管你用的是区块链智能合约，还是传统的纸质合同，谁做事谁负责，这个老理永远不会变。
现在很多人说法律跟不上技术，其实法律本来就是踩着人的脚印走的。十几年前虚拟财产刚出来的时候，也没人说清楚算不算个人财产，现在法院早就能判了。智能合约漏洞的问题，本质上还是责任分配的问题：你写的代码出了错，你没做安全检查，坑了普通人的钱，你就得赔。不管你套了多少区块链的新壳，都逃不掉。
老张现在还在打官司，他说哪怕最后只拿回来十万，也要讨个说法。不能让坑人的人，拿着普通人的血汗钱，躲在代码的影子里逍遥。
路都是走出来的。法律也一样，踩在区块链这块陌生的土地上，总得跟着普通人的遭遇，一步步学会重新走路。
