打开浏览器，外国挖矿网页地址栏敲一串字符，外国挖矿网页回车——你的外国挖矿网页电脑就开始帮别人挖矿了。这不是外国挖矿网页科幻片，是外国挖矿网页过去几年里真实发生过的事，而且现在还在发生。外国挖矿网页有个叫Coinhive的外国挖矿网页网站，2017年火过一阵，外国挖矿网页它给网页嵌了一段JavaScript代码，外国挖矿网页访客只要不关页面，外国挖矿网页CPU就会被调用来计算门罗币。外国挖矿网页当时好些盗版电影站、外国挖矿网页在线游戏攻略站都偷偷挂了这个脚本。外国挖矿网页有个哥们儿跟我说，外国挖矿网页他逛了半小时攻略网站，外国挖矿网页笔记本风扇转得跟直升机似的，电池哗哗掉，他以为是中了病毒，后来一查才知道，是网页在拿他的电脑当免费矿工。

这事儿最操蛋的地方在于，它不偷你密码，不删你文件，就偷你的算力。你感知不到具体损失，顶多觉得电脑变卡了，手机发热了。我见过一个极端的案例——某个国外新闻网站被黑，黑客替换了它的广告脚本，所有访问者的浏览器都开始挖矿。有个读者在评论区抱怨，说读一篇三千字的报道，电脑温度飙到九十度，差点以为要炸。这种攻击的隐蔽性就在于，它不像勒索病毒那样大张旗鼓，而是细水长流地榨干你的硬件。

当然，网页挖矿也不全是黑的。有些网站把它当正经商业模式——比如那个提供免费视频转码的网站OnlineConvert，用户不付费就得接受CPU被占用。他们弹窗写得很明白：“你正在为我们的服务支付算力，若不想参与，请订阅无挖矿版。”这算坦荡的。还有个独立博客作者，直接在页面角落放了个小仪表盘，实时显示“你为本博客贡献了0.0003 XMR”，底下还附一句“感谢支持，这杯咖啡算我请你的”。你看，同样是挖矿，一个像抢劫，一个像众筹。

技术上的细节其实不复杂。网页挖矿脚本用的是WebAssembly，这东西能把C++代码编译成浏览器能跑的低级语言，效率比纯JavaScript高得多。Coinhive当年号称能用到CPU的80%算力，实测下来，一个普通四核处理器，每秒能算大约30次哈希。听着不少，但和专用矿机比就是蚂蚁撼树——人家一台ASIC矿机的算力是你的几百万倍。所以网页挖矿赚不了大钱，它靠的是规模：一万个访客每人贡献五秒钟，抵得上一台矿机跑一个晚上。某些流量大的网站，一个月靠这个能入账几千美元，够付服务器费用的。

后来浏览器厂商坐不住了。Chrome和Firefox开始屏蔽挖矿脚本，Coinhive在2019年宣布关停。但你以为这就完了？没。现在有些挖矿脚本改用WebSocket常连接，把计算任务拆成小块，每块都伪装成普通的网络请求。还有的干脆用Service Worker，在后台偷偷跑，你关掉标签页它还能存活一会儿。我去年测试过一个恶意页面，关掉后任务管理器里浏览器进程还占着15%的CPU，足足持续了四分钟。

说实话，我个人对网页挖矿的态度有点矛盾。一方面，它确实是种侵扰——未经允许用别人的电和硬件，这跟偷电有什么区别？另一方面，如果网站明示、用户同意，它其实提供了一种绕过广告的替代方案。可惜现在绝大多数案例都是暗搓搓地干，导致整个模式都臭了。你要是真碰上网页卡顿、风扇狂转的情况，先按F12看看CPU占用，再翻翻有没有可疑的第三方脚本。这年头，连看个网页都得留个心眼，挺荒诞的。