2.1 被動式DNS (pDNS) 分析
核心方法涉及分析 被動域名系統 (pDNS) 追蹤pDNS數據提供DNS查詢與解析的歷史記錄，讓研究人員能夠追溯域名與IP地址隨時間的對應關係，並識別不同實體之間的關聯（例如，礦池域名與雲服務供應商的IP範圍）。
1. 引言
加密貨幣作為區塊鏈技術的首要應用，經歷了爆炸性增長並獲得了主流採用。此生態系統的一個基本組成部分是 mining pool—一個集合咗礦工嘅群體，佢哋將運算資源整合埋一齊，以提高獲得區塊獎勵嘅機會，然後按比例分配。雖然加密貨幣帶嚟好多好處，但佢哋嘅匿名同去中心化特性，亦都助長咗勒索軟件付款同隱蔽嘅命令與控制（C2）操作等惡意活動。本文研究加密貨幣礦池同公共雲端基礎設施之間嘅關鍵交集，旨在分析佢哋嘅關聯、衡量安全風險，並模擬佢哋嘅底層動態。
核心假設係，攻擊者越嚟越多咁利用公共雲端資源進行加密貨幣挖礦，原因在於雲端嘅可擴展性、靈活性同潛在嘅濫用可能（例如透過受入侵嘅實例）。呢種轉變代表咗現代運算趨勢同攻擊者誘因嘅融合，由可追蹤嘅私人伺服器轉向短暫、基於雲端嘅攻擊前線。
2. Methodology & Data Collection
本研究採用基於網絡情報數據的被動觀察方法。
2.2 數據來源與處理
數據係從大規模被動DNS數據集中匯總。挖礦池域名係透過公開列表同區塊鏈情報來源識別出嚟。跟住，從呢啲域名解析出嚟嘅IP地址，會映射到佢哋相應嘅自治系統號碼同組織擁有者，以識別雲端服務供應商。安全信譽數據則從 VirusTotal 進行交叉參照，以評估惡意關聯。
3. Key Findings & Statistical Analysis
涉及嘅雲端服務供應商
24
發現與礦池相關聯嘅獨特雲端供應商。
主要供應商佔有率
~48%
與亞馬遜（AWS）及Google Cloud相關聯嘅關聯。
惡意端點（頭兩大雲端服務供應商）
30-35%
相關端點在 VirusTotal 上被標記為惡意。
3.1 雲端服務供應商與礦池的關聯
分析顯示 24間不同的公共雲端服務供應商 透過DNS解析路徑，可觀察到與加密貨幣礦池存在關聯。市場高度集中，其中 Amazon Web Services (AWS) 同 Google Cloud Platform (GCP) 佔所有觀察到關聯嘅近一半（48%）。呢個表明，礦工同潛在嘅惡意行為者偏好大型、成熟嘅服務供應商，可能係因為佢哋擁有龐大嘅全球基礎設施、可靠性高，而且容易混入正常流量之中。
3.2 分佈與優先連接
雲端服務供應商嘅存在同埋連接（關聯）到礦池嘅數量分佈，都跟隨住一個 重尾分佈，呢個係無標度網絡嘅特徵。呢種模式顯示咗一種內在嘅 優先連接模型：熱門嘅礦池更有可能同大型雲端服務供應商建立新嘅關聯，反之亦然，形成一種「富者愈富」嘅動態。呢種現象同其他科技網絡（由社交媒體到引用圖）觀察到嘅增長模式如出一轍。
3.3 安全風險評估
A significant security finding is the high rate of malicious association. Among the endpoints (IPs/domains) associated with the top two cloud providers (AWS & GCP), 30-35% 被檢測為陽性 根據 VirusTotal 掃描，被判定與惡意活動有關。如此高的百分比突顯出，雲端挖礦不僅僅是合法的商業活動，更與加密劫持、資源被盜用及其他形式的網絡犯罪緊密交織。該論文亦指出，挖礦活動正轉向 Metaverse-related currencies，顯示對抗性誘因正在演變。
4. Technical Framework & Mathematical Modeling
觀察到的偏好依附可以透過數學建模。設 $G(t)$ 為時間 $t$ 的網絡圖，其中節點代表雲端服務供應商和礦池，邊緣代表觀察到的關聯。新連接指向節點 $i$ 的概率 $\Pi(k_i)$ 與其當前度數 $k_i$ 成正比：
$$
此外，雲端供應商 $c$ 嘅安全風險 $R_c$ 可以概念化為其關聯量 $V_c$ 同埋呢啲關聯嘅惡意比例 $M_c$ 嘅函數：
$$
5. Experimental Results & Charts
圖表 1: Cloud Provider Association Share. 一幅圓餅圖或柱狀圖將在視覺上主導分析，顯示AWS同GCP合共佔據約48%嘅協會份額，隨後係一長串其他供應商（Microsoft Azure、Alibaba Cloud、DigitalOcean等）構成剩餘嘅52%。
圖表2：度分佈對數-對數圖。 一個關鍵實驗結果係節點度分佈嘅對數-對數圖。該圖表會顯示一條具有負斜率嘅直線，證實冪律、重尾分佈 $P(k) \sim k^{-\gamma}$。此圖直接證明咗偏好依附機制嘅作用。
圖表3：各大供應商嘅惡意端點比例。 一幅比較 AWS 同 GCP 嘅分組柱狀圖顯示，大約 35% 同 AWS 相關嘅端點，同埋 30% 同 GCP 相關嘅端點，被標記為惡意，為安全風險提供咗可量化嘅衡量。
6. 分析框架：個案研究
個案：追蹤一宗疑似加密貨幣劫持行動
步驟一 - 種子識別： 從已知的惡意加密貨幣挖礦程式二進制檔案，或來自威脅情報來源的網域（例如 `malicious-miner-pool[.]xyz`）開始。
第二步 - pDNS擴展： 查詢過去6個月內與種子域名相關的所有IP地址（`A`記錄）的pDNS數據。
第三步 - 雲端歸屬分析： 對每個已解析嘅IP，執行WHOIS查詢同ASN映射。篩選出屬於主要雲服務供應商（例如AWS `us-east-1`）嘅IP範圍。
步驟4 - 圖形構建： 將數據建模為二分圖：一組節點係礦池域名，另一組係雲服務供應商IP區塊。如果一個域名解析到某區塊內嘅一個IP，則存在一條邊。
Step 5 - Anomaly Detection & Risk Scoring:
- 流量激增： 檢測特定CSP IP區段是否突然解析數百個新的臨時礦工域名——此為大規模自動化部署的跡象。
- 惡意關聯： 將所有發現嘅域名同VirusTotal API進行交叉比對。計算風險評分：$\text{評分} = \frac{\text{惡意域名數量}}{\text{總域名數量}} \times \log(\text{獨立IP總數})$。
- 時序分析： 觀察挖礦活動喺收到下架通知後，會唔會由一個雲服務供應商遷移到另一個，從而判斷攻擊者嘅韌性。
結果： 此框架不僅能識別單一惡意個案，更能偵測雲端基礎設施中的濫用模式，從而向雲端服務供應商（CSP）的安全團隊發出針對特定高風險IP區塊的警報。
7. Future Applications & Research Directions
1. 雲端服務供應商嘅主動威脅搜尋： 雲端供應商可以將類似嘅pDNS分析整合到內部安全運營中心（SOCs），主動識別同暫停用於非法挖礦嘅資源，從而減少濫用，並為合法客戶節省基礎設施。
2. 區塊鏈分析整合： 未來嘅工作應該將鏈上交易數據同雲外IP情報融合。通過將挖礦獎勵地址同雲端託管礦池端點關聯，研究人員可以追蹤加密劫持收益嘅資金流向，呢種技術類似Chainalysis同Elliptic所用嘅方法。
3. AI驅動行為檢測： 機器學習模型可以基於雲端實例嘅網絡同資源消耗模式（CPU/GPU負載、去已知礦池嘅網絡流量）進行訓練，以實時檢測挖礦惡意軟件，類似端點檢測與回應（EDR）工具嘅運作方式，但喺虛擬機監控程序層面進行。
4. Policy & Regulatory Implications: 本研究揭示數據缺口。監管機構可考慮參照金融行動特別工作組（FATF）框架建議，要求雲服務供應商（CSP）呈報加密貨幣挖礦流量的綜合指標，類似財務交易報告，以提升生態系統透明度及打擊非法金融活動。
5. 新一代資產研究： 如前所述，市場正轉向元宇宙貨幣。未來研究須擴展分析範圍至隱私幣（如Monero、Zcash）的礦池，以及與虛擬世界和去中心化實體基礎設施網絡（DePIN）掛鈎的新工作量證明（Proof-of-Work）資產。
8. References
- Nakamoto, S. (2008). Bitcoin: A Peer-to-Peer Electronic Cash System.
- Barabási, A. L., & Albert, R. (1999). Emergence of scaling in random networks. 科學, 286(5439), 509-512.
- Möser, M., et al. (2018). An Empirical Analysis of Traceability in the Monero Blockchain. Proceedings on Privacy Enhancing Technologies.
- Vasek, M., & Moore, T. (2015). There's no free lunch, even using Bitcoin: Tracking the popularity and profits of virtual currency scams. In Financial Cryptography and Data Security.
- Financial Action Task Force (FATF). (2021). Updated Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers.
- Zhu, J. Y., et al. (2017). 《使用循環一致性對抗網絡進行非配對圖像到圖像翻譯》。 Proceedings of the IEEE International Conference on Computer Vision (ICCV). (CycleGAN reference for methodological analogy in mapping between domains).
- Cloud Security Alliance (CSA). (2022). Top Threats to Cloud Computing: The Egregious 11.
- VirusTotal. (n.d.). Google's VirusTotal API Documentation. Retrieved from https://developers.virustotal.com/
核心洞察
本文不僅僅是關於雲端加密貨幣挖礦；它更是一份嚴厲的揭露，展示現代計算架構——集中式、可擴展、按需供應——如何被挪用，以推動去中心化、資源密集的區塊鏈經濟，且往往出於惡意意圖。觀察到的活動有近一半流經 AWS 和 Google Cloud，這一發現是迄今為止最有力的證據，表明在對抗性環境中，「雲端中立」只是一個神話。主要雲服務供應商在不知情的情況下，卻不成比例地成為了合法與非法挖礦活動的共同基石。這造成了巨大的不對稱：防禦者必須保護一個廣闊、共享的攻擊面，而攻擊者則享有短暫雲端資源所帶來的敏捷性和匿名性。
邏輯流程
作者的邏輯具說服力且方法論穩健。他們從一個穩固的前提出發：雲端應用與加密貨幣普及的匯合，自然成為濫用的目標。以pDNS作為基礎視角十分巧妙——它是一個被動、全球性的真相來源，繞過了對侵入式端點監控的需求。從簡單的關聯計數進展到識別重尾分佈，正是分析超越單純量度之處。透過引用Barabási-Albert偏好依附模型，他們從「是什麼」推進到「為什麼」，主張雲端挖礦網絡並非隨機，而是遵循可預測、自我強化的增長模式。這類似社交網絡或萬維網本身的演化方式。最後一躍至透過VirusTotal量化的安全風險，將抽象的網絡模型重新聯繫到具體、可操作的威脅情報。
Strengths & Flaws
優點： 該論文的主要優勢在於其 data-driven, empirical approach. 佢避免咗猜測，將每一個論點都建基於觀察到嘅pDNS數據之上。運用已確立嘅網絡科學原理（無尺度網絡）增添咗重要嘅理論份量。研究重點喺 Metaverse currencies 係有先見之明，顯示研究緊貼對抗性創新嘅最前沿，而唔只係追蹤好似Bitcoin挖礦呢類歷史威脅。
關鍵缺陷： 然而，該分析存在明顯的盲點。首先，它是 本質上回顧性的pDNS顯示攻擊嘅來源 曾經係，唔係佢哋 而家嘅位置 或者 將會係. 使用快速變換DNS或直接IP連接嘅精密攻擊者可以規避此方法。其次， 因果關係聲稱薄弱. pDNS中的關聯並不能證明雲端實例曾被 用於 mining；可能係一個同礦池通訊嘅良性服務，亦可能係一個被植入挖礦腳本嘅受入侵網站。本文可以參考Zhu等人嘅CycleGAN等研究中使用嘅技術——採用對抗性驗證來更好區分合法同惡意關聯模式。最後， 經濟驅動因素未獲充分探討。一個比較雲端實例成本與加密貨幣收益嘅簡單模型，將能有力解釋攻擊者嘅投資回報率（ROI），並預測下一波目標會係邊啲雲端區域或實例類型。
Actionable Insights
畀CSP安全團隊：實施 基於圖嘅異常檢測 喺你自己內部嘅DNS日誌上進行。標記嗰啲實例顯示出快速、連續解析到多個已知礦池域名嘅租戶——呢個係自動化部署工具嘅典型特徵。優先調查喺運算成本最平嘅區域（例如AWS spot instances）嘅資源。
對於威脅情報公司：將此 雲端歸因層 整合到您的加密劫持數據源中。不僅要報告惡意域名，更要報告其託管於特定雲服務供應商的IP區塊，從而透過直接供應商渠道實現更精準、更快速的清除。
For Regulators & Policymakers: Mandate 透明度報告. 遵循金融行動特別工作組針對虛擬資產服務提供者制定的旅行規則先例，考慮要求大型雲服務提供商匯總報告匿名的、顯示挖礦活動特徵的計算資源消耗模式指標。這能在不侵犯用戶私隱的前提下，從宏觀層面呈現問題。
總而言之，Adeniran 和 Mohaisen 繪製了一幅關鍵的隱蔽戰場地圖。雲端不再只是一種公用事業；在加密貨幣戰爭中，它已成為一種戰略資源。下一階段的研究必須從繪製地圖轉向預測與先發制人，利用實時串流分析和經濟建模，以領先那些已經在利用雲端優勢來對抗其擁有者的對手。