恶意挖矿，是攻击者在设备所有者不知情、未授权的情况下，偷偷占用电脑、手机、服务器或云计算资源来进行加密货币挖矿，也被称为挖矿劫持或cryptojacking。它与正常的加密货币挖矿并不等价：合法挖矿由参与者自行承担矿机、电力和算力成本，恶意挖矿则把这些成本转嫁给受害者，攻击者从中获得区块奖励或矿池收益。受害者未必会立刻丢失钱包资产，却可能持续支付更高电费、云账单，并承受设备性能下降带来的隐性损失。
这类攻击通常不会以我要挖矿的方式直接出现，而是伪装成软件、浏览器脚本、系统进程或云平台操作。恶意邮件附件、破解软件、仿冒下载站、存在漏洞的网站，都可能成为挖矿木马的入口。程序进入系统后，会在后台启动矿工组件，连接特定矿池，并把收益地址指向攻击者控制的钱包。部分样本会使用基于XMRig的程序挖掘门罗币等资产；在云环境中，攻击者还可能利用泄露的账号密钥创建虚拟机、安装GPU驱动，批量调高算力配额，让一场入侵迅速变成高额账单。
设备被恶意挖矿后，最直观的信号是CPU或GPU长时间处于高负载，即使没有运行大型游戏、视频渲染或数据处理任务，风扇依旧高速转动，机身发热，系统响应变慢，笔记本续航缩短，手机出现异常耗电。企业还要关注云账户中突然出现的大量虚拟机、陌生GPU实例、异常的驱动扩展、资源配额快速消耗，以及服务器持续访问矿池域名或相关地址。单独出现高CPU占用并不能直接证明存在恶意挖矿，需结合进程名称、启动项、网络连接、账号操作记录进行判断。
恶意挖矿的危害也不只是电脑变卡。持续满负荷运行会增加电力消耗，加快散热系统、风扇和电池老化，云主机则可能产生远超预算的计算费用。更值得警惕的是，攻击者往往不会满足于单纯挖矿。成功进入企业网络后，相关账号可能被用来横向移动、维持持久化访问、窃取数据，甚至进一步投放勒索软件。微软曾披露，部分云挖矿事件造成受害组织超过30万美元的计算费用；在攻击链中，挖矿有时只是低门槛变现手段，也是后续攻击的掩护。
处理恶意挖矿不能只停留在结束一个高占用进程。个人用户应卸载来源不明的软件，检查开机启动项、计划任务、浏览器扩展和异常服务，完成系统补丁更新，并使用安全软件进行全盘扫描；企业与云账户则应立即隔离异常实例，撤销泄露密钥，重置相关密码，启用多因素认证，收紧权限，设置预算、配额和异常资源告警。下载工具时尽量使用官方渠道，服务器不要暴露不必要的管理端口。把算力被偷视为一次完整的安全事件，而不是简单的电脑故障，才能避免矿工被清除后再次出现。
