页面能打开，只是手机发热、风扇加速，停留时间越长越卡。另一边，云主机CPU常年维持高位，但业务请求并没有增长。加密劫持不一定让系统立刻宕机，它更擅长把算力成本悄悄转嫁给用户和企业。
把CDN称为“算力防火墙”可以帮助理解边缘入口的价值，但不能误以为单一产品能识别所有挖矿。有效防御需要把分发脚本、网络连接、云资源和终端行为放在一起观察，CDN主要负责内容交付和互联网流量这一段。
加密劫持的三条常见路径
浏览器型劫持通过被篡改的JavaScript调用WebAssembly或高频计算，消耗访客设备；服务器型劫持利用漏洞或弱凭证植入矿工进程；云账号型劫持则创建高算力实例或滥用无服务器资源。三类路径的证据不同。
CDN最容易发现第一类内容变化和部分外联行为，也能看到攻击者对漏洞入口的探测。服务器进程和云账单异常仍需终端检测、云审计与成本监控补足。
浏览器脚本如何被识别
对关键JavaScript建立版本、哈希和发布人基线。未经发布流程出现的脚本变化、突然增加的WebAssembly资源、长时间Worker线程和陌生外联域名都值得调查。SRI可以保护固定第三方资源，但频繁更新的自有脚本仍需要发布签名与监测。
不要仅按“挖矿脚本特征字符串”拦截。攻击者可以混淆代码或动态加载。更可靠的是结合脚本来源、执行行为、CPU占用反馈和矿池通信特征。
CDN与网络侧能提供哪些信号
边缘可以阻断已知恶意脚本和异常下载，限制漏洞扫描，观察可疑域名请求与响应体变化。DNS安全与出口控制可阻断已知矿池和代理协议，但加密隧道会降低可见性。
应关注“小流量、长连接、稳定周期”的外联，而不仅是大带宽。若同一批设备在访问页面后出现一致外联，需关联前端版本和发布时间。
云资源异常不能只看CPU
高CPU可能来自正常计算任务。判断加密劫持要结合实例创建者、镜像、进程树、网络目的地、运行时段和业务吞吐。账号在非常用地区创建GPU实例，或新密钥突然扩大资源规模，比单一CPU告警更有价值。
预算告警应设置在账号、项目和资源类型多个层级。发现异常后先隔离并保留快照，再撤销凭证、检查持久化和相邻资源。直接关机可能丢失调查证据。
构建可落地的七维防线
可以从内容完整性、脚本行为、DNS与外联、漏洞入口、身份权限、计算资源和成本异常七个维度建立控制。每个维度都有负责人和数据源，才能避免告警互相推诿。
防御流程应包含发现、验证、隔离、凭证轮换、可信版本恢复和用户会话处置。恢复后继续观察至少一个业务周期，确认没有定时任务、容器镜像或发布脚本再次植入。
一次低成本的加密劫持排查
可以从过去30天的前端资源清单开始，比较文件哈希、体积、外联域名和WebAssembly调用变化；再把页面发布时间与终端CPU投诉、云资源异常和DNS日志对齐。若异常只在特定地区出现，还要检查节点缓存版本是否一致。
排查过程中要避免把所有高CPU都归为挖矿。视频编码、搜索索引和批处理同样耗费算力。只有脚本或进程来源无法解释、网络目的地异常、账号操作可疑且业务吞吐不匹配时，才应升级为安全事件并启动隔离。
落地检查清单
- 对关键脚本建立哈希与发布基线
- 监测WebAssembly、Worker和陌生外联变化
- 把CPU与进程、网络、身份和成本联合分析
- 高权限云账号启用MFA与短期凭证
- 隔离前保存快照和日志证据
结语
加密劫持利用的是内容链路、漏洞和云权限之间的空隙。CDN可以守住脚本交付和公网入口，但必须与终端、云审计和成本管理协同，才能让隐蔽的算力消耗变成可追踪事件。
