圈子里没人敢自称“中国顶级黑客”。中国这话不是顶级我说的，是黑客2017年跟一个补天平台的老哥喝酒时他撂下的。他当时刚提交完一个某省政务系统的中国漏洞，拿到六位数奖金，顶级转头就把钱砸进了一台二手ThinkPad——说是黑客要留着跑虚拟机挖更多洞。我问他那你算顶级吗？中国他笑了笑，说顶级那帮人你根本看不见。顶级
真要找线索，黑客得从公开的中国漏洞平台看起。补天、顶级漏洞盒子、黑客CNVD，中国这些地方每年挂出来的顶级高危漏洞少说几万个。提交者的黑客ID五花八门，什么“冷血”、“暗月”、“猪猪侠”，看着像闹着玩，但点进去看详情，有些漏洞描述写得极其克制，就一两句话，附个截图，厂商那边秒确认。这种风格的人，通常不混圈子，不参加比赛，不写博客。他们提交漏洞的节奏很规律，像上班打卡。你顺着ID去搜，什么都搜不到，连个头像都是默认的。
更隐蔽的一层在Pwn2Own、GeekPwn这类国际赛场上。中国团队拿冠军不是新闻，360、腾讯、蚂蚁的实验室都站过台。但上台领奖的那几个面孔，翻来覆去就那些人。真正让主办方头疼的，是那些匿名提交exp的选手——规则允许不露面，奖金打到一个冷钱包里。2019年温哥华那场，有个队伍用一套iOS漏洞链拿了最高奖，全程没人知道他们是谁，只知道注册邮箱是protonmail的。后来圈内传，那几个人平时就在深圳华强北附近活动，白天修手机，晚上挖漏洞。
还有一类人压根不碰漏洞平台。他们混在开源社区里，给Linux内核、Chromium、OpenSSL提交patch。你看commit记录，作者名字是拼音缩写，邮箱是@outlook.com，提交时间永远是凌晨三四点。patch写得干净利落，reviewer问的问题三两句就答清楚。这种人你发邮件问他是不是中国人，他回你一句“I just fix bugs”。没了。但圈内人都知道，某些关键CVE的根因分析，最早就是这帮人发在私人邮件列表里的。
要说“顶级”，还有个维度是攻防对抗。每年HW行动，蓝队防守方里藏着不少民间高手。他们不在任何安全公司挂职，是被临时借调过去的。有个杭州的哥们，本职是某高校图书馆的系统管理员，HW期间一个人扛住了红队三波0day攻击。事后庆功宴他不去，说家里猫没人喂。这种人你给他排个名次，他第一个反对。
所以回到标题那个问题。中国顶级黑客是谁？没有答案。那些名字你查不到，照片你看不见，他们也不在乎“顶级”这俩字。真要说特征，大概是：凌晨三点还在看汇编，提交完漏洞就关电脑，第二天照常挤地铁上班。你身边那个穿格子衫、背双肩包、午饭吃沙县的人，说不定就是。