Descarregar sites que utilizam CoinHive

Sobre CoinHive

Um script morto não se apaga sozinho. A CoinHive vendia aos editores uma forma de converter ciclos do processador dos visitantes em Monero e, quando o serviço por trás fechou, os fragmentos ficaram embebidos nas páginas que os tinham adotado. O que o nosso rastreador encontra hoje é sobretudo resíduo, e é o resíduo que torna esta lista digna de ser extraída.

A proposta original era simples. Em vez de vender espaço publicitário, o dono de um site colava um fragmento de JavaScript num modelo partilhado e deixava o navegador de cada visitante triturar hashes enquanto a página era lida. A ideia surgiu em 2017 com licença Proprietary, ficando o operador com uma parte de tudo o que fosse minerado. A realidade afastou-se da proposta quase de imediato, porque o mesmo fragmento funcionava igualmente bem quando era injetado num site comprometido sem que ninguém fosse avisado, e a técnica tornou-se uma carga habitual para quem tivesse conseguido acesso de escrita a um modelo.

O nosso campo de versão é invulgarmente informativo para um produto deste tipo. Ao longo das deteções aparece uma única compilação identificada, opt-in, um rótulo que aponta para a variante que pede consentimento e não para a variante silenciosa que os fornecedores de segurança começaram a bloquear à vista. Transportar a variante com consentimento significa que alguém fez em determinado momento uma escolha deliberada e a escreveu na página. Transportar a variante silenciosa significa outra escolha ou escolha nenhuma, o que é exatamente a distinção que um investigador de abusos precisa de traçar e não consegue traçar a partir de um nome de domínio.

Em outubro de 2026 detetamos a impressão digital em 38 sites, e o valor deve ser lido com um asterisco. A deteção depende do carregador continuar a ser referenciado na marcação entregue, pelo que um minerador enterrado num pacote minificado, ou servido apenas a determinados agentes de utilizador, não aparece. A contagem também nada diz sobre se o código ainda faz alguma coisa, porque o ponto de acesso que recolhia o trabalho desapareceu. Para um investigador, o objeto interessante não é a mineração mas o sinal de manutenção, já que uma página que continua a chamar um serviço encerrado é uma página que ninguém audita há muitíssimo tempo.

Uma consulta por domínio indica se um site de que já se suspeitava transporta o fragmento. O ficheiro para descarregar responde à forma do problema: que vizinhanças de alojamento, que pilhas de publicação e que mercados nacionais o continuam a servir, e que parte dessa população parece abandonada em vez de ativamente monetizada. Ordenar uma população inteira por um sinal de decadência não é coisa que alguém consiga fazer uma consulta de cada vez.