Websites herunterladen, die CoinHive Captcha nutzen

Über CoinHive Captcha

Proof of Work wurde eine Zeit lang als menschenfreundlicher Ersatz für das Bilderraster verkauft. Statt Zebrastreifen anzuklicken, sollte ein Besucher seinen Browser eine kurze Mining-Aufgabe abarbeiten lassen, und die Website durfte behalten, was der Browser dabei erwirtschaftete. CoinHive Captcha war diese Idee als Produkt, verpackt vom Anbieter CoinHive, veröffentlicht unter der Lizenz Proprietary und in unseren Daten seit 2017 erfasst. Den Mining-Dienst, auf den das Produkt angewiesen war, gibt es nicht mehr.

Ein Treffer in den aktuellen Daten meldet also kein aktives Verhalten. Die JavaScript-Einbindung steckt noch in einem Template, der Browser versucht weiterhin, sie zu laden, und es passiert nichts. Das Vorhandensein des Skripts dokumentiert ein Wartungsversäumnis und keine Technologieentscheidung. Interessant ist die Zeile deshalb eher als Hygiene-Indikator, weniger als Produktsignal.

So verstanden sind die Domains aufschlussreich. Eine Website, die das Snippet noch enthält, hat Templates, die seit Jahren niemand geprüft hat, oder sie nutzt ein Theme oder Plugin, das den Code mitgebracht hat und ebenfalls nie aktualisiert wurde. Verwaiste Verweise auf Dritte bergen zudem ein echtes Risiko: Ein Skript-Tag, das auf eine vom ursprünglichen Betreiber aufgegebene Domain zeigt, legt die Hoheit darüber, was der Browser ausführt, in die Hände dessen, der diese Domain als Nächstes besitzt.

Stand Oktober 2026 erkennen wir den Verweis noch auf 5 Websites, eingeordnet in die Kategorie Cryptominers nach dem, was das Produkt zu leisten versprach, und nicht nach dem, was der Code heute tut. Zahlen in diesem Bereich sind klein, und die Richtung zählt mehr als das Niveau. Der Nutzen liegt deshalb darin, die Menge über mehrere Datenstände hinweg zu verfolgen und ihr beim Schrumpfen zuzusehen.

In der Kategorienbezeichnung steckt eine subtilere Falle. Ein Eintrag in der Rubrik Sicherheit weckt die Annahme, dass die Website eine Schutzmaßnahme im Einsatz hat, und hier gilt das Gegenteil: Die Schutzmaßnahme ist wirkungslos, und ein Prüfer, der die Zeile als Beleg für Bot-Schutz wertet, käme zu genau dem falschen Schluss. Kategorienbezeichnungen in jedem Technologie-Datensatz beschreiben, als was ein Produkt verkauft wurde, nie, was es derzeit auf einem bestimmten Host tut, und dieser Eintrag ist das deutlichste Beispiel für diese Lücke, das wir haben.

Die Erkennung setzt außerdem voraus, dass der ursprüngliche Verweis unverändert erhalten ist. Eine Kopie, die selbst gehostet, umbenannt oder in ein Build-Ergebnis eingebunden wurde, wird nicht erkannt. Die Zahl ist daher eine Untergrenze und bildet vor allem die am wenigsten veränderten Installationen ab. Für Abuse-Teams von Hosting-Anbietern, Sicherheitsforscher und alle, die messen, wie lange toter Code im Web überdauert, ist die Liste selbst das Ergebnis. Eine einzelne Domainprüfung zeigt, ob eine Website sauber ist. Der Download zeigt, welche Websites es nicht sind, und ohne ihn gibt es weder eine gezielte Ansprache zur Bereinigung noch eine Studie zum Verfall.