安全运营中的挖矿行为分析

huasec · 2025-10-09 08:41 · 0 阅读

原创花十一一 2025-10-09 08:41 北京

经典加密货币挖矿与Web3 DePIN挖代币

在Web3快速发展的今天，一种更隐蔽、更“合法化”的资源滥用行为正在企业基础设施中悄然蔓延。它们不再只是传统意义上的“挖矿木马”，而是分化为两类截然不同但同样危险的模式：

一类是经典加密货币挖矿（如门罗币 XMR），通过连接矿池疯狂占用 CPU 和内存，直接拖垮业务系统；
另一类则披着“去中心化”外衣，以 Web3 DePIN（去中心化物理基础设施网络）项目的名义，静默调用你的带宽、存储甚至 GPU 算力，用于训练 AI 模型或提供分布式服务。

1、主流矿池挖矿（XMR/ETH）

目前绝大多数门罗币、以太坊矿池仍使用 Stratum V1协议，基于JSON-RPC over TCP，典型交互如下：

--> {"id":1,"method":"mining.subscribe","params":["XMRig/6.18.1"]}

<-- {"id":1,"result":[[["mining.notify","b4c6..."],["mining.set_difficulty","b4c6..."]],"b4c6...",4],"error":null}

--> {"id":2,"method":"mining.authorize","params":["4Axxx...xxx.worker","x"]}

(1)交互中使用的核心方法如下：

(2)钱包地址：params[0]中包含 Monero 钱包地址（以4或8开头，95位字符）；

(3)典型的通信端口：明文：3333、4444、5555（ETH）。TLS 加密：3334、5556、7778等，即使启用 TLS（ssl://pool.example.com:5555），仍可通过 JA3 指纹、SNI 域名、证书主题识别。

利用空间测绘发现全球矿池节点：

-- Censys 查询 TLS 矿池
services.port: 5555 AND services.tls.server_name: "*.pool.*"
-- FOFA 查询明文矿池port="3333" && banner="mining.notify"

对返回ip:port结果进行主动验证（发送 Stratum 订阅包），即可确认是否为真实矿池。

脚本验证逻辑就是通过模拟一个 Stratum V1 挖矿客户端的初始握手流程，主动探测目标服务是否为一个真实、合规的加密货币矿池（如 Monero 矿池），并能有效识别和排除常见的非矿池服务（如 SSH、HTTP、TLS、回显蜜罐等）。

2、Stratum V2：下一代矿池协议，更隐蔽、更难防

为解决 Stratum V1 的中心化与安全缺陷，Stratum V2 正在被 Braiins、Foundry 等头部矿池采用。Stratum V2 采用三层设计：

关键特征：

随着 Web3 发展，一类新型项目正在兴起：DePIN（Decentralized Physical Infrastructure Networks），如：

这些项目不挖矿，但要求用户运行客户端程序，持续上传数据、执行计算任务，大量消耗带宽、磁盘 I/O 甚至 GPU 资源。

可以在https://cn.rootdata.com/Projects?st=1&sn=DePIN&snc=DePIN&sd=310 查询DePIN项目。