2006年，24岁的李俊编写出“熊猫烧香”病毒，获利14.5万元，被判刑4年；出狱当月又为赌场搭建后台，2014年再次被判3年

2009年12月24日，武汉洪山监狱的铁门打开的时候，外面没有车来接。

李俊拎着一个塑料袋走出来，袋子里装着他在里面用的日用品和几本书。门口的路上有出租车经过，他拦了一辆，去了火车站。

那天武汉的天气不算好，阴着，空气里有一股湿冷的味道。火车站广场上人来人往，没有人认出他。三年前他的名字上过全国媒体的版面，三年后，那个名字已经很少有人提起了。

他买了一张去北京的票。

去北京干什么，他心里有个大概的方向——写病毒的那套本事，反过来就是找漏洞。安全公司需要能看懂病毒代码的人，这一点他清楚。他在监狱里就想过这条路，出来之后第一站就奔着这个方向去了。

2010年1月的北京，风大，干冷。

李俊带着简历跑了几家公司。金山、瑞星、奇虎、江民，四家都是当年国内安全行业有字号的企业，门口都挂着反病毒的招牌。他联系过其中几家，有的收了简历，有的约了面试。

金山收下简历之后，给了他一样东西——一张“民间安全观察员”的证书。证书是纸质的，盖了章，看起来挺正式。但岗位没有。证书是姿态，岗位是饭碗，中间隔着的不是技术。

另一家本来约好见面的公司，临时把那次见面取消了。取消的理由没有人公开讲，但圈子里的人都明白是怎么回事——一个写过熊猫烧香的人，简历上那三年刑期比任何技术证书都显眼。

中专学历，有案底，“毒王”两个字贴在额头上。这三样东西，比任何一张证书都硬。

一家杀毒公司如果把一个写过病毒的人放进核心安全岗，竞争对手第二天就能拿“黑客出身”做文章。这笔账，坐在办公室里的人都会算：请一个天才的收益，抵不过一句“他们招了个病毒作者”的损失。

媒体那阵子跟着他跑。他去成都认养了一只真熊猫，取名“云”。一头是屏幕里的病毒熊猫，一头是笼子里的真熊猫，这个画面对媒体来说太好用了。后来“熊猫安全顾问”“买软网CEO”这些名头也陆续挂到了他身上。名头听着响，落到手里的东西不多。

热搜退下去以后，他手里能长期干的事几乎没有。没有人给他一个能待三年五年的岗位，也没有人愿意把核心系统交到他手上。

正当的门没关死，但开得很窄。

另一扇门一直虚掩着，门后是老狱友。

2009年12月，距他出狱还不满一个月，张顺的电话打来了。时间点卡得很准，像是早就等在那儿。

张顺比他早出来一年，落脚在浙江云和，开了一家“浙江腾翔网络科技有限公司”，主营棋牌游戏软件。云和是丽水下面的一个小县，四面环山，不通铁路，从杭州过去要坐好几个小时的大巴。那地方搞棋牌游戏的公司不止一家，租金便宜，人力成本低，做出来的东西往温州、台州那些民营经济活跃的地方卖。

张顺的生意不好做。温州客户付了定金，把软件拿回去试用，问题一堆，最后退货。软件卖不动，公司要活下去，就得找别的路子。

电话里张顺说的是回来一起干，改邪归正，创业。李俊去了。第二次入狱的起点，就在这一趟。

公司起步那阵看着确实像要走正路：买游戏源码，搭棋牌平台，“牛牛”“梭哈”“两张”陆续上线。棋牌游戏本身不违法，全国做这个的公司一抓一大把。那几年智能手机还没完全铺开，棋牌游戏主要跑在电脑上，玩家群体以网吧用户和闲在家里的人为主。

玩家下注用的是“游戏豆”。官方给的标价是5000元买1亿豆。到这一步，豆还是虚拟道具，钱进了公司账，玩家手里多了一串数字。

如果故事停在这里，它只是一家做不动的棋牌公司。

转折出现在后面——他们开始发展“银商”。

银商干两件事：高价把游戏豆卖给玩家；低价把玩家赢回来的豆回收成人民币。一进一出，豆就有了价格，也就有了兑现的出口。

钱怎么走，账面上写得清楚。总代理从公司拿豆，1亿豆4800到4900元；卖不掉的豆，公司承诺回购，再返2%到5%的点。公司兜底，代理才敢囤货。

两头一接，游戏豆的身份就变了。它不再是积分，是能进出人民币的筹码。筹码有价，牌桌就有输赢之外的另一层意思。

拉人的办法不新鲜，但管用：去网吧发体验卡、印鼠标垫，在搜索引擎做竞价排名；另外安排专人发展银商、做资金结算。线上线下的口子一起开。

李俊在这套分工里的位置很清楚：不拉客，不收钱，管技术。服务器搭建、后台控制、防攻击、对抗同行、玩家客户端维护，全归他。平台能跑一天，他的代码就在底下撑一天。

整条流水说穿了就一层窗户纸：充值人民币，买游戏豆，牌桌上分输赢，银商把豆回收，再变回人民币。五个环节，一环扣一环。只要豆能换钱这条通道是通的，棋牌室和赌场之间就没有墙。墙不是被推倒的，是根本没砌。

“金元宝”跑了有一年多。一年多时间，足够把流水做起来，也足够把证据留全。

2013年6月，警方收网。到案时，平台上聚集的参赌人员有2200多人。涉案赌资7600余万元，公司非法获利800余万元。

这些数字不是收网那天才开始攒的。2012年公安部严打网络赌博，平台的资金流水、银商层级、后台日志，早被一条条固定成证据链。

2014年1月8日，浙江丽水莲都区人民法院一审宣判。距离熊猫烧香那一判，过去了六年零三个月。李俊第二次站上被告席，这一次他32岁。

判决一条条念下来。张顺，开设赌场罪，有期徒刑五年，罚金20万。李俊，开设赌场罪，有期徒刑三年，罚金8万。同案其余24名被告人分别获刑。一个棋牌平台，最后拉出来26个人。

法庭上李俊的辩解是只管技术，没出面收钱。这句话听着像在划界限，划的是工位和罪名的界限。法院没认这个说法。共同犯罪看的不是谁坐在哪个工位，是你在这盘局里起了什么作用。没有他写的那套底层系统，那张赌桌一天都转不起来。

账还有一笔要掰清楚。网上传李俊骗了7600万，这话不对。7600万是桌面上转来转去的赌资，不是他装进口袋的钱。麻将馆里坐一晚上，四个人面前堆着十万筹码。老板不碰筹码，只收每局台费。那十万不是老板挣的，台费才是。“金元宝”案里，7600万是流水，公司非法获利800余万，李俊个人分到的是其中一部分。法律定的是开设赌场，不是诈骗。两个罪名差着档次，也差着对行为的不同理解：一个是搭台抽水，一个是骗人掏钱。

熊猫烧香那件事，得从更早的时候说起。

2006年的中国互联网，跟现在完全是两个世界。那时候宽带刚刚普及到县城一级，网吧里清一色的大头显示器，机器跑的是Windows XP，杀毒软件还在一盒一盒地卖光盘。装系统要用Ghost盘，重装一次二十分钟，网吧网管一天能装几十台。

那年的病毒生态也跟现在不一样。没有暗网交易，没有比特币勒索，写病毒的人变现渠道很窄——卖病毒源码、卖感染量、卖被感染的机器控制权，就这几条路。

熊猫烧香的技术底子是一种叫“威金”的蠕虫病毒变种。李俊在威金的基础上改了传播方式和感染逻辑，加了那个标志性的熊猫图标。病毒通过U盘、局域网共享、网页挂马几条路同时传播。2006年那会儿U盘还是主要的数据交换工具，网吧里一个人插U盘，整排机器跟着中招。

病毒发作时的症状分几层。先是程序图标全变成那只举着三炷香的熊猫，半眯着眼，两只手掌合在胸前。然后系统开始变慢，蓝屏，死机，重启之后过不了多久又瘫。用户以为是自己电脑坏了，重启了一遍又一遍。

更实在的损失发生在看不见的地方。游戏账号、QQ密码被人成批从后台捞走，机器还能开机，账号里的东西已经不是自己的了。等有人发现登不上，病毒的活儿早干完了。

李俊卖出去120多份，个人非法获利14.5万元。这个数字后来被写进判决书，落在“非法获利”那一栏。

买他病毒的人里，有网吧老板，有做私服的游戏贩子，也有专门收感染量再转手的中间人。那几年互联网上有一批人专门做这个生意——低价收病毒样本，加壳改装，往外卖。熊猫烧香只是其中一个牌子，只不过它做得最出名。

2007年9月29日，湖北仙桃市人民法院一审宣判。李俊，破坏计算机信息系统罪，有期徒刑四年。同案的张顺两年，王磊两年六个月，雷磊一年。四个人里他判得最重。案卷里记着他有立功表现，也没有上诉。

那时候的舆论场愿意给这种故事一个温和的结尾：年轻人有本事，走了岔路，吃了官司，出来重新做人。这话在2007年听起来很顺。

没人料到，同案名单里判得最轻的那个张顺，几年之后会成为李俊第二次入狱的引路人。两个人的名字先并排出现在熊猫烧香的判决书上，后来又并排出现在“金元宝”的判决书上。

熊猫烧香之后，中国互联网的安全生态变了一轮。杀毒软件从收费模式转向免费模式，360在2008年推出免费杀毒，瑞星和金山被迫跟进。免费杀毒铺开之后，个人电脑的中毒率大幅下降，病毒作者的变现路径也跟着收窄。写病毒卖源码这条路，到2010年前后基本走不通了。

李俊出狱的时候，赶上的是这个转型期的尾巴。安全公司需要人，但需要的是能写防护规则、能做渗透测试、能分析样本的人。一个写过病毒的人，技术上够得着这些岗位，但背景审查过不去。

他后来去浙江云和找张顺，走的是另一条路。那条路上没有背景审查，没有学历门槛，只有一行一行的代码和一张一张的订单。

云和那个地方，棋牌游戏公司扎堆不是偶然。当地政府那几年在推信息产业，租金和税收都有优惠。从温州、台州过来的小老板在这里租个办公室，招几个程序员，买一套棋牌源码改一改，就能上线运营。做得好的一年流水几千万，做得不好的两三个月就关张。

张顺的公司属于中间那一档。有客户，但客户不稳定；有产品，但产品不成熟。温州客户退货那次，公司账上的钱已经撑不了几个月。转做“金元宝”这个平台，是公司活下去的唯一一条路。

李俊进公司的时候，平台还叫“腾翔棋牌”，跑的是正规棋牌游戏的路子。后来加了银商，加了兑换通道，平台的名字改成“金元宝”，玩法也从单纯的棋牌变成了带筹码下注的模式。

这个转变不是一夜之间完成的。先是有人问能不能收豆，公司试着做了几笔；后来问的人多了，公司干脆把回购写进了代理政策；再后来银商成了平台生态里不可缺少的一环，没有银商，玩家不来；没有玩家，银商不囤豆。两边互相咬着，越咬越紧。

2012年公安部严打网络赌博，浙江是重点省份之一。丽水警方从银商的资金流水入手，一层一层往上查，查到了腾翔公司，查到了张顺，查到了李俊。

收网那天是2013年6月，警方在云和、温州、杭州几个地方同时动手。李俊在云和的办公室里被带走的时候，电脑还开着，后台的监控页面上一排一排的在线玩家数据还在跳。

2014年1月8日宣判那天，莲都区法院的旁听席上坐了一些人。有被告人家属，有记者，也有从北京专程赶过来的互联网行业观察者。李俊穿着一件深色外套，站在被告席上，表情平静。判决念完，他没有当庭表示上诉。

2015年中旬，李俊第二次出狱。这一次门口没有镜头，也没有等着递名片的人。

没有媒体蹲点，没有企业递offer，也没有认养熊猫的新闻。他从公开视野里彻底消失。

按1982年出生算，他现在四十出头。再往后他干了什么，判决书之外没有可靠信源。

能盯住的只有两条盖过章的时间线：2007年，卖病毒，获利14.5万，坐4年；2014年，开赌场，涉案7600万，再坐3年。

同样的代码能力，第一次用来感染电脑，第二次用来搭赌局。载体换了，底层逻辑没换——都是用技术抄一条离钱最近的小路。

熊猫烧香那个年代，写病毒的人靠卖源码赚钱，钱来得快，风险也来得快。2010年之后，写代码的人靠给灰产平台搭后台赚钱，钱来得稳一些，风险藏得更深。李俊两次踩的是同一条河，只是第二次河水比第一次深。

近几年的判决书里，一模一样的架子还在搭，只是外壳越换越轻。

湖北罗田，一个“XX麻将”APP。圈主建亲友圈，卖房卡，每局抽2元，积分按1分等于1元跟赌客结算。有人充值10.5万，圈主抽头16.6万。2025年，这名圈主以开设赌场罪判二年三个月，缓二年六个月，罚5000元。抽头比充值还多，说明这个池子转得有多快。

湖北石首，有人拿麻将APP当圈主代理，设“跑得快”“赖晃”等玩法，抽水提成，代理再发展下线结算。2026年3月一审，11人获刑，最高五年六个月。

上海浦东，吴某既没开平台，也没写代码，只给网络赌场做资金结算，用微信支付宝走账。开设赌场罪，算从犯。

上海青浦，常某在线下开“炸金花”“牛牛”的局，自己兑筹码抽成，涉案30多万，判一年，罚两万。

把这些案子跟“金元宝”并排摆，规则完全一样：充值，下注，能提现。技术从电脑搬到了手机，从端游搬到了微信群里。三个环节缺一个，是游戏；三个环节齐了，就是赌场。这句判断不看平台叫什么名字，也不看它挂在哪家应用商店。

游戏豆、金币、积分、钻石，叫什么不重要。能稳定换回人民币，性质就定了。

写病毒那套本事，用来找系统漏洞，是安全研究员；用来卖病毒，是破坏计算机信息系统；用来给赌场搭底层，是开设赌场的共犯。

不是技术选边，是人选边。

那只举着三炷香的熊猫，早从电脑屏幕上消失了。它背后这套东西没有消失。一个新平台，一套虚拟币，一群银商，一条提现通道，几个懂技术的人把系统搭稳，前面再挂一张休闲娱乐的皮。

代码不会自己作恶，敲回车的人会。

李俊两次站上被告席，第一次24岁，第二次32岁。中间隔着出狱、求职、证书、创业、再入狱。他不是没遇到过正路，是正路慢、灰路快，他两次都伸手去拉那扇最好开的门。

2006年那会儿，中国网民数量刚过一亿。2026年，这个数字翻了十倍不止。写代码的人多了，能写病毒的人多了，能给赌场搭后台的人也多了。李俊的故事之所以还被反复提起，不是因为他做了什么别人做不出来的事，是因为他做了太多人够得着的事。

熊猫烧香的技术门槛在今天看来不算高。一个熟练的编程爱好者，照着公开的蠕虫代码改一改，花几个晚上就能做出类似的东西。真正难的不是写代码，是写完之后的那条路怎么走。

李俊第一次走错了，判了四年。第二次又走错了，判了三年。两次之间隔了七年，七年里他试过走正路，没走通。正路没走通的原因很复杂，有社会的偏见，有企业的顾虑，也有他自己的选择。但第二次站上被告席的时候，那些原因都已经不重要了。法庭看的是他做了什么，不是他为什么做。

云和那个小县城，现在还有棋牌游戏公司在运营。有的做正规棋牌，有的打着棋牌的幌子做别的。当地监管部门这几年查得紧，隔一段时间就有公司被查。查完之后，换个名字，换个地方，同样的模式又搭起来。

技术一直在变，模式一直没变。

充值，下注，能提现。三个环节齐了，就是赌场。这句话写在判决书里，写在警方的警示通告里，也写在每一个因为开设赌场罪进去的人的案卷里。

看到游戏能充钱、能下注、还能提现，不用管它画的是熊猫、是金鱼、还是钻石——那已经不是游戏，是别人摆好的桌。桌对面坐着的，可能就是下一个把技术用错地方的人。