開発者はインストール型のWebブラウザプラグインを提供する場合、それを機能させるために必要などんなパーミッションであっても、ユーザーに情報を提供した上で、ユーザーの承諾を得なければならない。

　Googleによれば、開発者がクリプトマイニングのスクリプトを仕込んで、Chromeウエブストアにアップロードしようとした拡張機能の90％は、そうしたポリシーを守っていなかった。役に立つ機能を提供すると見せかけた拡張機能に、クリプトマイニングの隠しスクリプトを仕込み、ユーザーの知らないうちに、あるいは承諾を得ないまま、バックグラウンドで実行していたのだ。

　視覚障害者がWebページを閲覧するために使う「Browsealoud」（開発：Texthelp）というテキスト読み上げツールは、そのスクリプトが改ざんされてクリプトジャッキングに利用されていた。クリプトジャッキングは、アクセスが制限されたロシアのスーパーコンピュータにも侵入した他、基幹インフラシステムや産業制御システムにも入り込み、重要なサービスやシステムを潜在的な危険にさらしている。

　2018年4月、GoogleはChromeウエブストアにおいて、クリプトマイニングを実行する拡張機能の受け入れをやめ、同年6月下旬に既存の拡張機能を削除すると表明した。同じく同年6月には金融サービスに対する規制ポリシーを改訂し、デジタル通貨関連の広告を規制した。

　Googleがこうした決定に踏み切った背景には、クリプトマイニングのスクリプトが大量のCPUリソースを消費して、システムの性能や消費電力に重大な影響を与えかねないという懸念があった。CPUが過剰利用されれば正規のプログラムが減速し、過熱による破損やシステム障害が発生することもある。

　新しいポリシーは確かに、スキルの低いハッカーが開発したプラグインが、エンドユーザーを混乱させる事態は防止できるだろう。だが攻撃者は常に、Chromeウエブストアに承認されるまで、拡張機能の真の狙いを隠す手段を模索している。幸い「Opera」など他のWebブラウザや、マルウェア対策ツールも力を合わせて、迷惑なクリプトマイニングスクリプトの阻止に乗り出している。そのためサイバー犯罪集団が、クリプトジャッキングに悪用できるデバイスを必要なだけ確保するのは難しくなっている。

　クリプトジャッキングの熱狂が収まる可能性を期待できる事実がある。クリプトマイニングによる収益化サービスを手掛けるCoinhiveの推定によれば、Webブラウザ内のクリプトマイニングは、たとえ大規模に実行したとしても大きな利益が出ない。例えば原稿執筆時点のCoinhiveのサービスでは、100万人の訪問者が1つのWebサイトを5分間閲覧したとしても、採掘される仮想通貨「Monero」は総額で月間約63ドルにとどまるという。

　自分のマシンが許可なくクリプトマイニングに利用されている可能性を疑うなら、Webブラウザが異常な量のCPUやGPU（画像処理プロセッサ）の処理能力を消費していないかどうかチェックする必要がある。Chromeの場合はアドレスバーに「chrome://extensions/」と入力してEnterキーを押せば、インストールされている拡張機能を全て確認できる。