最近我们报道了目前正在全球爆发的ransomware攻击“ 坏兔子 ” 的新闻，我们以为不可能会有比这更糟糕的了事情了。然而，在昨晚深夜，我收到了一个通知，指出Coinhive已经被黑客入侵。

众所周知，这是一种在现下比较流行的基于浏览器的服务，它提供了网站所有者嵌入的JavaScript，如此一来，就可以通过利用网站访问者的CPU来挖掘Monero的安全性。据报道，有黑客入侵了 Coinhive 的 CloudFlare 帐户，修改了网站的 DNS，并将 Coinhive 官方的 javascript 代码（https://coin-hive[.]com/lib/coinhive.min.js ）替换成恶意版本，分发给上千的网站。

2014年数据泄露的黑客重用漏洞

这次的 Coinhive 账户密码是在 2014 年的 Kickstarter 事件泄露出来的。很明显 CoinHive 并没有修改密码， 这也给了黑客可乘之机。

Coinhive 在一篇博文中写道：“10 月 23 日晚上，我们的 DNS 提供商（Cloudflare）账户已经被黑客入侵，而其中的 coinhive.com 的 DNS 记录也已被修改，coinhive.min.js 也已经重新定向到别的第三方服务器文件。

这个第三方服务器托管了具有硬编码站点密钥的JavaScript文件的修改版本。

结果，成千上万个使用协同脚本的的网站被骗了至少六个小时，在此期间加载一个修改后的代码，就会为黑客（而不是实际的站点所有者）挖掘Monero的安全性。

我们在安全上做的功课还是挺多的，并且所有的服务都使用了两步验证，而且所有的密码都是不同的，但我们还是忘记修改两年前的 Cloudflare 账户密码了。”

您的网络浏览器可能会为陌生人秘密挖矿

事实上，Coinhive之所以获得众多媒体的关注，是因为该网站秘密地使用了基于浏览器的隐私矿工。在它之后，就有数以千计的网站也开始使用Coinhive来作为替代货币化模式，并通过利用访客的CPU处理能力来挖掘数字货币。

现在黑客也使用了Coinhive服务，并通过秘密注入脚本从受到攻击的网站赚钱。实际上，该公司到现在还在寻找方法来偿还因违约而导致的用户收入损失。

如何阻止网站劫持你的CPU挖矿

由于上述担忧，一些防病毒产品，包括Malwarebytes和卡巴斯基，也开始阻止Coinhive脚本，以防止他们的客户遭到未经授权的挖掘和广泛的CPU使用。