事件经过
2026 年 6 月 18 日，我收到 Google Cloud 的通知邮件。
邮件表示：
我的一台虚拟机因为涉嫌进行加密货币挖矿而被暂停。
通知内容包括：
- 项目：My First Project
- 虚拟机：shousake666（us-west1-b）
- 时间范围：2026-06-18
- 原因：Cryptocurrency Mining（加密货币挖矿）
Google 表示该行为违反了免费试用条款，因此自动暂停了相关资源。
问题是：
我根本没有挖矿。
这台机器主要用于：
- 代理服务
- Zerotier 网络连接
- 网络实验
并非矿机。
第一反应
我的第一反应是：
服务器是不是被入侵了？
因为很多矿工程序都会在攻击者取得服务器权限后自动部署。
于是我开始排查。
排查一：SSH 登录记录
执行：
last -a结果：
Google 指出的时间段内没有 SSH 登录记录。
也就是说：
至少没有证据表明我在那个时间手动登录服务器并启动挖矿程序。
排查二：系统进程
执行：
top
ps aux结果：
- CPU 空闲率约 98%
- Load Average 约 0.4
未发现：
- xmrig
- miner
- kinsing
- kdevtmpfsi
等常见挖矿程序。
排查三：计划任务
检查：
crontab -l
sudo crontab -l
ls -al /etc/cron.*结果：
仅存在 Ubuntu 默认任务。
未发现可疑定时任务。
排查四：Docker 容器
检查所有容器。
未发现任何与挖矿相关的容器。
排查五：Cloud Logging
Google 要求查看 Abuse Event 日志。
查询：
jsonPayload.@type="type.googleapis.com/google.cloud.abuseevent.logging.v1.AbuseEvent"结果：
未找到任何记录。
我无法找到任何能够证明挖矿行为的日志。
当前结论
截至本文发布时：
- 未发现挖矿程序
- 未发现可疑登录
- 未发现恶意计划任务
- 未发现 Abuse Event 日志
目前存在三种可能：
- Google 误判；
- 存在短暂异常行为但未留下痕迹；
- Google 根据网络行为进行了内部检测。
我已经向 Google 提交申诉，并要求提供更多证据。
如果后续收到官方回复，我会继续更新本文。