挖矿劫持（Cryptojacking）是什么？如何识别与防范

挖矿劫持是什么？

挖矿劫持（Cryptojacking，也叫加密劫持、恶意挖矿）是一种网络攻击：攻击者在未经同意的情况下控制受害者的电脑、手机或服务器，暗中用它进行加密货币挖矿。攻击者不用自己承担昂贵的硬件和电费，而是把这些成本转嫁给毫不知情的受害者。被感染的设备表面上照常运行，后台却有一段隐藏脚本在消耗处理器算力，为别人生产加密货币。它不会直接偷走你的钱，而是悄无声息地消耗你的硬件、电力和电池寿命。正因如此，与跑路（Rug Pull）这类突然而剧烈的攻击不同，挖矿劫持是一种隐蔽的威胁。

后台隐藏挖矿脚本运行时，CPU 使用率曲线骤然冲顶的笔记本电脑示意图

攻击者为什么偏爱挖矿劫持？

对攻击者来说，挖矿劫持最大的吸引力在于风险低、能“自给自足”。不需要诱骗受害者交出密码或签名授权，脚本一旦运行，收益就源源不断。

最常被挖的加密货币是注重隐私的门罗币（Monero），原因很实际：

• 难以追踪：门罗币缺乏透明度的交易结构，几乎可以完全抹去收益痕迹。
• CPU 友好：门罗币使用的 RandomX 算法可以用普通处理器（CPU）高效挖矿，因此由数千台普通笔记本组成的僵尸网络也能产生可观收入。
• 对比：如今没有专用硬件（ASIC），挖比特币已经无利可图，所以攻击者更愿意挖 XMR 而不是 BTC。

挖矿劫持如何运作？两种主要方式

挖矿劫持可以通过两条不同的途径侵入设备，两者的威胁特征也不一样：

文件型挖矿劫持通常通过钓鱼邮件附件、破解软件或伪装成“免广告”的应用进入系统。安装后不受重启影响，甚至可能扩散到同一网络中的其他设备，大幅增加清理成本。

浏览器型挖矿劫持则以脚本形式直接嵌入网站或恶意广告中。只要标签页开着，挖矿就会持续；标签页关闭就会停止，因此很难被察觉。

对比文件型（邮件 → 下载 → 安装 → 持久化）与浏览器型（访问网站 → 脚本运行 → 关闭标签页 → 停止）感染路径的双栏示意图

简要历史回顾

挖矿劫持一开始并不是犯罪。2017 年 9 月，一个名为 Coinhive 的服务发布了一段代码，让网站可以用访客的 CPU 挖门罗币，并把它包装成替代横幅广告的“诚实”收入模式。问题出在“同意”上：模仿者去掉了确认弹窗，到 2018 年，大约有 32,000 个网站在未告知用户的情况下运行这类挖矿脚本。Coinhive 于 2019 年关闭，但这种技术早已演变。

• 2018 年，路由器型：攻击者利用 CVE-2018-14847 漏洞控制了约 200,000 台 MikroTik 路由器，并向这些路由器背后所有设备的网页流量注入挖矿代码。攻击对象从单个网站变成网络源头，规模大幅扩大。
• 2020 年至今，僵尸网络型：Glupteba 僵尸网络会在 Windows 电脑上悄悄安装挖矿程序并窃取会话 Cookie，据估计已感染超过一百万台机器。它最引人注目的是“韧性”：即使命令服务器下线，Glupteba 也能读取隐藏在比特币交易 OP_RETURN 字段中的指令，获得新的服务器地址并重新激活——也就是把区块链本身当作备用通信渠道。

展示 Coinhive（2017-2019）、MikroTik 路由器漏洞（2018）与 Glupteba 僵尸网络（2020 年至今）等里程碑的时间线信息图

真实成本：数字示例

挖矿劫持造成的损失不只是一枚币，真正的损失来自成千上万台设备上的电力消耗和硬件损耗。

情景：一个僵尸网络控制了 1,000 台笔记本电脑，每台每天有 12 小时额外消耗 60 瓦功率。

这笔电费全部由受害者承担，而对攻击者来说，挖矿收益几乎是纯利润。此外，长期处于高温压力下的设备寿命会缩短，服务器和云基础设施上不断增加的计算成本也会叠加进来。挖矿劫持的经济逻辑正建立在这种不对称之上。

症状：你的设备被劫持了吗？

现代挖矿劫持脚本往往被设计成在设备闲置或充电时才启动，以免引起注意。但迹象仍会逐渐显现：

• 性能下降：系统突然变慢、频繁卡顿，笔记本仿佛一夜之间“老”了好几年。
• 过热：设备空闲时风扇也一直转、机身摸起来发烫，或手机锁屏充电时仍在发热。
• 空闲时 CPU 占用高：打开任务管理器（Windows）或活动监视器（macOS），如果什么都没做却出现无法解释的 CPU 消耗，就是危险信号。
• 充电变慢：插着电源的手机充满所需时间明显变长，可能说明后台有程序在耗电。
• 浏览器快速测试：发现浏览器 CPU 占用很高时，关闭相关标签页；如果占用立刻下降，就可以怀疑是浏览器型攻击。

更深层的风险：挖矿劫持是一种大量占用资源、持续运行的操作。服务器和云基础设施上被抬高的账单，以及悄然建立的立足点，可能是规模更大攻击的前兆。

检测与清除：分步操作

如果怀疑设备被感染，请依次执行以下步骤：

1. 进行全盘杀毒扫描：使用 Microsoft Defender 等可靠工具，然后启动离线扫描，以发现伪装成系统文件的木马。
2. 进入安全模式：在 Windows 中按 Win+R，输入 msconfig，启用“安全引导”后重启，使可疑程序无法干扰。
3. 卸载陌生程序：在控制面板中删除不认识的应用，并清理临时文件（搜索 %temp%，全选后删除）。
4. 重置浏览器：把浏览器设置恢复默认，清除恶意扩展和被注入的脚本。
5. 回到正常模式：在 msconfig 中关闭“安全引导”并重启，再扫描一次确认系统已清理干净。

如果是网站被入侵，可以手动检查 HTML 中是否有陌生的挖矿脚本，或使用网站扫描工具检测恶意代码。

按 CPU 列排序的 Windows 任务管理器截图，一个陌生进程以 95% 占用率排在最上方

如何防范挖矿劫持

用来防范加密货币诈骗的大多数安全习惯，同样适用于防范挖矿劫持：

• 不点击可疑链接：打开带附件的邮件前先核实发件人和链接；忽略那些主动发来的、宣称有稀有 NFT 铸造或“免费”福利的私信。
• 使用广告拦截工具：藏在恶意广告中的挖矿脚本，正是广告拦截工具和注重隐私的浏览器所拦截的对象。
• 及时更新杀毒软件和操作系统：确保 MikroTik 漏洞这类已知安全漏洞得到修补至关重要。
• 考虑在不可信网站上禁用 JavaScript：这很有效，但也可能影响正常网站的功能。
• 像保护钱包一样保护设备：软件更新、来源核实和异常监控，这些习惯是防止你的硬件被偷偷拿去替别人挖矿的最有力防线。

COINOTAG 观点

只把挖矿劫持看作技术层面的恶意软件问题是不全面的。这类攻击反映了加密经济的一个基本事实：凡是算力直接具有货币价值的地方，就会有人试图窃取它。

从 2017 年公开透明的 Coinhive 小组件，到如今借助区块链“续命”的 Glupteba 僵尸网络，这一演变表明攻击者正在迅速专业化。安全研究人员警告，规模足够大的闲置挖矿僵尸网络，将来可能转向勒索软件或 DDoS 攻击。

你在保护加密资产安全方面养成的习惯——更新软件、核实来源、留意异常——同样完全适用于保护硬件。而如果想从正当角度了解挖矿，我们的门罗币挖矿指南能帮助你更好地理解这些攻击者所利用的机制。