Scaricare i siti web che utilizzano CoinHive

Informazioni su CoinHive

Uno script morto non si cancella da solo. CoinHive vendeva agli editori un modo per trasformare i cicli di processore dei visitatori in Monero, e quando il servizio alla base ha chiuso, i frammenti di codice sono rimasti incorporati nelle pagine che li avevano adottati. Quello che il nostro crawler incontra oggi è in gran parte un residuo, ed è proprio il residuo il motivo per cui vale la pena scaricare la lista.

La proposta originale era semplice. Invece di vendere spazi pubblicitari, il proprietario di un sito incollava un frammento di JavaScript in un template condiviso e lasciava che il browser di ogni visitatore macinasse hash mentre la pagina veniva letta. L’idea arrivò nel 2017 con licenza Proprietary, e il gestore del servizio tratteneva una quota di quanto veniva estratto. La realtà si allontanò dalla proposta quasi subito, perché lo stesso frammento funzionava altrettanto bene quando veniva iniettato in un sito compromesso senza che nessuno ne fosse informato, e la tecnica diventò un payload standard per chiunque avesse ottenuto accesso in scrittura a un template.

Il nostro campo versione è insolitamente informativo per un prodotto di questo tipo. Tra i rilevamenti compare un’unica build etichettata, opt-in, un’etichetta che rimanda alla variante che chiede il consenso e non a quella silenziosa che i fornitori di soluzioni di sicurezza iniziarono a bloccare a vista. Ospitare la variante con consenso significa che a un certo punto qualcuno ha fatto una scelta deliberata e l’ha scritta nella pagina. Ospitare la variante silenziosa significa una scelta diversa oppure nessuna scelta in assoluto, il che corrisponde esattamente alla distinzione che chi studia gli abusi deve tracciare e che non può ricavare dal nome di un dominio.

A ottobre 2026 rileviamo l’impronta su 133 siti, e il dato va letto con un asterisco accanto. Il rilevamento dipende dal fatto che il loader sia ancora richiamato nel markup consegnato, quindi un miner sepolto in un bundle minificato, o servito solo a determinati user agent, non comparirà. Il conteggio inoltre non dice nulla sul fatto che il codice faccia ancora qualcosa, perché l’endpoint che raccoglieva il lavoro non esiste più. Per un ricercatore l’oggetto interessante non è il mining ma il segnale di manutenzione, dato che una pagina che richiama ancora un servizio chiuso è una pagina che nessuno controlla da moltissimo tempo.

Una ricerca per singolo dominio dice se un sito già sospettato ospita il frammento. Il file scaricabile restituisce invece la forma del problema: quali ambienti di hosting, quali stack editoriali e quali mercati nazionali lo servono ancora, e quanta parte di quella popolazione appare abbandonata più che monetizzata attivamente. Ordinare un’intera popolazione in base a un segnale di decadimento non è qualcosa che si possa fare una query alla volta.