CDN挖矿劫持是一种新兴的边界安全威胁，攻击者通过控制或滥用内容分发网络的边缘计算能力，在离用户更近的节点上执行加密货币挖矿脚本，从而占用服务商或服务使用方的CPU资源谋取私利。与传统入侵源站再挂马挖矿不同，这类攻击直接发生在边缘运行时，例如CDN提供的Serverless函数、边缘脚本引擎或缓存处理逻辑中。由于边缘节点本身具备弹性伸缩与广泛分布的特点，单点算力看似不大，但聚合之后足以构成可观的矿池。
边缘节点为何会成为挖矿劫持的目标
边缘计算的本质是把部分业务逻辑下放到靠近用户的CDN节点，让请求不必回源就能完成改写、鉴权、AB测试等操作。这种架构天然要求边缘服务器拥有可执行动态脚本的能力，比如通过JavaScript或Lua在节点内运行自定义程序。攻击者看中的正是这种“合法的执行环境”：一旦能把挖矿代码混入边缘脚本，代码就会在每一次请求命中时于节点CPU上运行，而用户和设备侧完全无感知。
从资源模型来看，CDN厂商通常以请求数、流量或边缘计算时长计费，并不对单节点CPU占用做精细隔离。某些按流量套餐付费的用户，甚至可以在额度内随意跑满边缘函数。这就让恶意租户或被盗账号有了可乘之机：他们把门罗币等依赖CPU的挖矿算法写成边缘函数，用海量正常请求做触发，实际在后台持续占用vCPU。相比浏览器挖矿会被广告拦截器发现，边缘侧挖矿藏在基础设施里，排查难度大幅提升。
此外，边缘节点往往开启了对内部网络的有限访问权限，方便回源或调用周边服务。若挖矿脚本同时具备外传算力结果或拉取最新矿池任务的能力，它就能形成一个隐蔽的分布式计算网。很多中小企业在配置CDN时只关心加速效果，忽略了对边缘脚本的版本管理与权限收敛，这进一步降低了攻击门槛。
常见入侵路径与代码实现方式
第一种路径是账号或令牌泄露导致边缘函数被篡改。以某类支持边缘函数的CDN为例，攻击者拿到管理API密钥后，将原有处理函数替换为包含挖矿循环的代码。下面是一段被简化、用于说明逻辑的边缘脚本示例，其中用转义形式展示了内部标签名，实际部署时代码直接运行：
// 伪代码：被植入的边缘函数，演示CPU占用逻辑
addEventListener('fetch', event => {
event.respondWith(handle(event.request));
});
async function handle(req) {
// 正常返回缓存内容
let res = await fetch(req);
// 恶意占用CPU：执行大量哈希计算
let fakeData = '';
for (let i = 0; i < 500000; i++) {
fakeData += Math.sqrt(i * 9973 % 7919).toString(16);
}
// 此处可静默上报算力，不阻塞响应
return res;
}
第二种路径是利用CDN配置误写，将特定路径回源到一个由攻击者控制的“计算代理”，该代理返回带有边缘可执行指令的响应，诱导节点做额外处理。第三种则是供应链污染：某些第三方边缘组件或模板本身携带挖矿模块，用户一键部署便中招。无论哪种方式，核心都是让<script>或边缘语言在节点侧持续消耗算力，而不是在客户端执行。
从检测角度讲，如果某边缘函数的执行耗时突然从几毫秒升到几百毫秒，或者节点CPU利用率与请求数曲线明显背离，就应当怀疑被植入了计算密集逻辑。但由于边缘日志往往汇总在上层，单节点异常容易被平均化，因此必须在边缘端加入轻量心跳采样。
防护策略与业务侧应对方案
最直接的防护是收紧边缘脚本的发布流程。企业应将边缘函数纳入CI/CD审计，每次变更都生成内容哈希并比对，禁止手动在控制台贴代码。对用到的运行时，只开放必要API，禁止函数访问外部矿池域名或非常规出站端口。如下面这段边缘策略配置，展示了如何用白名单限制出站连接：
{
"edge_function_policy": {
"allowed_outbound": [
"https://origin.ipipp.com",
"https://api.internal.ipipp.com"
],
"block_crypto_mining_domains": true,
"max_cpu_ms_per_request": 50
}
}
业务侧还应建立边缘资源账单异常告警。因为挖矿会带来计算时长与CPU积分的异常消耗，财务视角的突增往往比技术监控更早暴露问题。同时，选用支持“边缘沙箱隔离”的CDN服务商，确保不同租户的函数在底层cgroup或微虚拟机中隔离，避免一个恶意函数拖垮同节点其他业务。
对于已经发生的劫持，应急动作包括：立即吊销疑似泄露的API令牌、回滚边缘函数至可信版本、在边缘网络层阻断已知矿池地址。长期看，需要在架构评审中将“边缘计算可信边界”作为独立事项，明确谁有权改脚本、如何验证完整性。只有把边缘节点当作可被攻击的服务器而非纯缓存设备，才能从根本上抑制CDN挖矿劫持的生存空间。