360回应安全龙虾私钥泄露：业务失误所致，证书仅限本机使用已吊销 | 加密百科深度分析
加密百科独家解读
这件事本质上是一次“家门钥匙被不小心扔到了大街上”，但幸运的是，这把钥匙只能开你自己家卧室里一个不上锁的抽屉。
我们来拆解一下关键点：
1. 泄露了什么？
360安全团队不小心把一个内部使用的“数字证书”和对应的“私钥”打包进了公开的软件安装包里。你可以把这个“数字证书”想象成一张官方颁发的、带有360公司钢印的身份证，而“私钥”就是制作这张身份证的唯一且绝密的模具。有了这两样东西，理论上就能冒充360的某个服务。
2. 风险有多大？
新闻里提到，这张身份证的名字（域名）是 `.myclaw.360.cn`，但它被设计成只指向你自家电脑的“127.0.0.1”这个地址。也就是说，这把“钥匙”只能用来冒充一个只在你自己电脑内部运行的服务，无法直接连接到360的外部服务器。因此，对于普通用户来说，实际造成危害的可能性很低。所谓的“中间人劫持”理论风险，就像有人捡到了你卧室抽屉的钥匙，但他必须先非法闯入你家（你的电脑），才能用上这把钥匙，实施门槛很高。
3. 为什么迅速吊销很重要？
360在接到报告后，第一时间向证书颁发机构申请“吊销”了这张身份证。这就好比立刻登报声明：之前丢失的那张身份证作废了，以后所有场所（浏览器、操作系统）都会拒绝承认那张旧身份证。这是行业标准的应急操作，能从根本上防止这张证书在未来被滥用。
这件事给我们的核心提醒是：
在加密和安全领域，私钥是最高机密，必须与代码分离管理。任何将私钥硬编码或打包进客户端程序的行为，都是严重的安全失误。这次事件由于服务范围被严格限制在本机，所以后果可控，但它清晰地展示了私钥泄露的标准处理流程——立即吊销证书。对于区块链和加密货币用户来说，这再次强调了私钥管理的重要性：你的资产安全，完全系于那串绝不外泄的私钥。
背景资料 (原快讯)
据 1M AI News 监测 ，360 安全团队就安全龙虾（OpenClaw）通配符证书和私钥泄露事件作出回应，称系业务失误将内部域名证书打包进安装包。涉事证书 *.myclaw.360.cn 实际解析地址为 127.0.0.1 本地回环地址，仅在用户本机使用，不对外提供任何服务。
收到多名安全研究员报告后，360 已申请吊销该证书，目前证书已失效，无法再用于任何合法的 HTTPS 加密通信，普通用户不受影响。泄露期间中间人劫持的理论风险仍然存在，但由于证书对应服务仅运行于本机环境，实际风险相对有限。
此前消息：360旗下OpenClaw助手安装包泄露SSL私钥，周鸿祎此前曾承诺“绝不泄露密码”
注：以上背景资料自公开行业资讯，加密百科网仅作科普解读。