服务器挖矿犯法吗？关键看你知不知情

机器 CPU 一直顶在 100%、风扇声音明显不对劲、月底账单往上翻——十有八九是被塞了矿机程序。这时候脑子里蹦出来的第一句就是：服务器挖矿犯法吗。给你一个不绕弯的回答：矿不是你架的、币不是你收的、你甚至连它什么时候跑起来的都不知道，那你多半是受害人，不是嫌疑人。反过来，机器是你的、矿池客户端是你亲手装的、还按月收别人的钱分成，那就是另一码事。这条线不在机器上，在人身上。

服务器挖矿犯法吗，卡点在“知不知情”

法律条文里没有一条叫“挖矿罪”的罪名，这点先摆清楚。2021 年 9 月，国家发改委等多部门联合发过一份整治虚拟货币“挖矿”活动的通知，把挖矿活动列入淘汰类产业，具体口径以官方公告原文为准。这属于产业政策和行政层面的事。真正会落到某个具体人头上的，往往不是挖矿这个动作本身，而是它捎带出来的东西：占别人的电按盗窃、控制别人的机器按非法控制计算机信息系统、明知对方在搞事还提供服务器和支付通道的，可能往帮助信息网络犯罪活动上靠。这几条走的路不一样，但落脚点差不多——办案的人先问的都是同一句话：你知不知道。

被挖矿和挖矿，是两件完全不同的事

自己的服务器被入侵植了矿马，这就是妥妥的被害方。攻击者扫到你一个弱口令、一个没打补丁的 Redis、一个对外开放的 6379，顺手把木马塞进去，用你的 CPU 和带宽替他挣钱。这种情况下你不是“挖矿的人”，你是被偷电、被占资源的那个人。该做的不是慌，是把证据留住：进程列表、启动项、外联记录、登录日志，先截屏先导出，再考虑清理。顺序反了，后面想报个案都拿不出东西。

还有一种容易被忽略的：公司内网的测试机、闲置的老机器。有人图省事在上面挂着挖，觉得“这么老的机器谁管”。资源是公司的、电是公司的，性质就变了。这在很多单位内部是按违规使用资产处理的，情节重的会往刑事那头够。别拿“没人管”当理由，公司资产清单上写着呢。

把算力租出去，风险是从这儿开始的

真正麻烦的是这一层：知道对方要干什么，还把服务器、带宽、root 权限交出去，甚至从中抽成。这时候“我不知道”很难说出口，聊天记录、转账记录、工单备注都会帮你回忆起来。做 IDC 和云服务的同行尤其要注意，客户拿来跑什么，合同里写没写清楚，异常流量有没有告警，出事之后能不能拿出处置记录，这些平常看着只是流程上的事，事后就是能不能自证清白的凭据。

也别觉得“我只卖硬件不掺和”就万事大吉。账号是谁的、IP 是谁备案的、电费谁付的，这些都是能对上人的东西。

挖矿程序有几个挺明显的特征

排查不难。登录上去先 top 或 htop 看一眼，CPU 长期贴着跑、负载高但业务量没涨，这就可疑。ps aux 里翻进程名，xmr 系的东西很喜欢伪装成 kdevtmpfsi、xmrig、sysupdate 这类看着挺正常的名字，路径还常藏在 /tmp、/var/tmp 下面。crontab -l 看看有没有定时任务在偷偷拉脚本回来，systemctl list-units 里翻有没有莫名其妙的服务。再看看外联，netstat -antp 或者 ss -antp 里连着 3333、5555、7777 这种端口，对端还是个不认识的外网 IP，基本就能定位了。

自查别只盯着 CPU

只盯 CPU 容易漏。先出问题的往往是账单：带宽跑满了、流量异常、云厂商的告警邮件一封接一封。还有物理层面的，风扇一直高转、摸上去烫手、UPS 负载比平时高一截。有的矿马做得很收敛，自己限制占用率避免被发现，你从监控上看就是“稍微有点高”，这种才阴。所以日常做基线很重要，平时什么样、忙时什么样，心里得有个数，不然异常摆在眼前也认不出来。

真撞上了，留证比删程序更要紧

顺序我一般这么说：先别急着 kill。把进程、命令行参数、可执行文件的哈希、外联的 IP 和端口、近几天的登录记录，还有 Web 日志里的异常请求，能导的全导出来，存到另一台机器上。然后断外联、改口令、补漏洞、重装系统，该做的做。要是已经造成了损失，带上这些东西去报案，比空口说一句“我被挖矿了”有用得多。

至于要不要上报，我的看法是宁可多报一次。公司内部的走信息安全流程，云上的提工单，让服务商那边一起看日志。处置建议以服务商或官方页面给出的说明为准，别一个人闷头扛。

最后给一份能落地的动作清单：确认机器上有没有你不认识的进程和定时任务；确认有没有对陌生矿池地址的持续外联；确认最近登录记录里有没有不属于你的 IP；确认弱口令、未授权访问这类老漏洞堵没堵上；确认合同里写清了客户不得用于违规用途。一条条过完，再谈犯不犯法这件事，心里就有底了。法律边界这档子事，最终还是以官方公告原文和专业人士的意见为准，我能给的只是一套排查顺序。