Websites herunterladen, die CoinHive nutzen

Über CoinHive

Ein totes Skript löscht sich nicht selbst. CoinHive verkaufte Website-Betreibern eine Möglichkeit, die Prozessorzyklen ihrer Besucher in Monero zu verwandeln, und als der Dienst dahinter eingestellt wurde, blieben die Snippets in den Seiten stecken, die sie übernommen hatten. Was unser Crawler heute vorfindet, sind größtenteils Überreste, und gerade diese Überreste machen es lohnend, die Liste abzurufen.

Das ursprüngliche Versprechen war einfach. Statt Werbeflächen zu verkaufen, fügte ein Website-Betreiber ein Stück JavaScript-Code in ein seitenübergreifendes Template ein und ließ den Browser jedes Besuchers Hashes berechnen, während die Seite gelesen wurde. Die Idee kam 2017 unter der Lizenz Proprietary auf den Markt, und der Dienstbetreiber behielt einen Anteil an allem, was geschürft wurde. Die Wirklichkeit entfernte sich fast sofort von diesem Versprechen, denn dasselbe Stück Code funktionierte genauso gut, wenn es ohne Wissen der Betroffenen in eine kompromittierte Website eingeschleust wurde. Die Technik wurde so zum gängigen Schadcode für jeden, der sich Schreibzugriff auf ein Template verschafft hatte.

Unser Versionsfeld ist für ein Produkt dieser Art ungewöhnlich aufschlussreich. Über alle Treffer hinweg taucht ein einziger benannter Build auf, nämlich „opt-in“, und diese Bezeichnung verweist auf die Variante mit Einwilligungsabfrage, nicht auf die stille Variante, die Sicherheitsanbieter umgehend zu blockieren begannen. Wer die Einwilligungsvariante einbindet, hat irgendwann bewusst eine Entscheidung getroffen und sie in die Seite geschrieben. Wer die stille Variante einbindet, hat entweder anders entschieden oder überhaupt nicht, und genau diese Unterscheidung muss treffen, wer Missbrauch untersucht. An einem Domainnamen lässt sie sich nicht ablesen.

Stand Oktober 2026 erkennen wir den Fingerprint auf 38 Websites, und die Zahl sollte man nur mit Vorbehalt lesen. Die Erkennung setzt voraus, dass der Loader im ausgelieferten Markup noch referenziert wird. Ein Miner, der in einem minifizierten Bundle steckt oder nur an ausgewählte User-Agents ausgeliefert wird, taucht deshalb nicht auf. Die Zahl sagt auch nichts darüber, ob der Code noch irgendetwas bewirkt, denn der Endpunkt, der die Rechenarbeit eingesammelt hat, existiert nicht mehr. Für die Forschung ist nicht das Mining interessant, sondern das, was der Fund über die Wartung verrät: Eine Seite, die noch einen abgeschalteten Dienst aufruft, hat seit sehr langer Zeit niemand mehr geprüft.

Eine Abfrage pro Domain klärt, ob eine Website, die Sie ohnehin verdächtigen, das Snippet enthält. Die herunterladbare Datei zeigt, wie sich das Problem verteilt: in welchen Hosting-Umgebungen, auf welchen Publishing-Stacks und in welchen Ländermärkten es noch ausgeliefert wird und welcher Teil dieses Bestands eher verwaist als aktiv monetarisiert wirkt. Einen ganzen Bestand nach einem Verfallssignal zu sortieren, schafft niemand Abfrage für Abfrage.