风机工程师窃取风电挖矿被捕

近日，荷兰一名风力发电机技术经理因利用职务之便，在公司内部工业网络中部署加密货币矿机及Helium（氦气币）节点而被法院判刑。此案不仅暴露了能源行业面临的物理安全与供应链风险，更因发生在该公司遭遇Conti勒索软件攻击的敏感恢复期，引发了关于关键基础设施内部威胁管理的深刻讨论。

据荷兰阿森（Assen）法院披露，被告是一名46岁的前Nordex公司技术经理。该男子利用其在公司各风电场之间的通行权限，于2022年8月至11月期间，实施了隐蔽的“搭便车”挖矿行动，在两个风电场部署了加密币矿机：

• 吉特芬（Gieterveen）风电场：被告将三台传统加密货币矿机（用于挖掘比特币或以太坊等高能耗代币）直接接入变电站的Nordex工业路由器。

• 瓦尔德波尔德（Waardpolder）风电场：被告在风力涡轮机内部安装了两个Helium热点设备。Helium是一种去中心化的无线网络项目，通过LoRaWAN协议提供物联网覆盖来获取代币奖励。

这种部署不仅窃取了工业电力，更严重的是，他将未经授权的外部设备/网络直接挂载到了关键基础设施的内部网络（OT/IT融合区）上。

本案的一个关键加重情节在于其发生的时间背景。Nordex作为全球著名的风力涡轮机制造商，在2022年初刚刚遭受了臭名昭著的Conti勒索软件团伙的重大网络攻击，导致其被迫关闭了多个IT系统并切断了对涡轮机的远程访问权限。

当公司安全团队在同年晚些时候发现网络中出现异常流量和未知设备（即被告部署的矿机）时，误以为是攻击者留下的后门或新一轮攻击的开始。Nordex在法庭受害人陈述中强调，这种内部违规行为在公司“惊魂未定”之时，造成了极大的运营恐慌和额外的应急响应成本。

本案在法律层面出现了一个值得安全界关注的判决细节。检察官最初指控被告向Nordex的自动化系统“非法添加数据”（编者：指恶意软件注入）。

然而，法院驳回了这一特定指控。法官给出的理由具有相当的技术参考价值：

• 可识别性与具体性：传统的恶意软件（如勒索病毒或木马）具有明确的破坏性指令和可识别的代码结构。

• 区块链流量的特性：法院认为，加密货币挖矿产生的哈希计算流量和Helium网络的验证数据包，属于“不可分割的数据流”，并不符合法律对“添加数据”罪名的定义。

最终，被告仅因盗窃电力和计算机入侵（非法访问路由器和服务器）被定罪。考虑到被告系初犯、患有职业倦怠以及法律程序拖延等因素，法院判处其120小时社区服务，并赔偿Nordex公司4155.65欧元。

对比传统电力窃取（如非法改电表、火电厂内部作案），风电挖矿的诱惑和风险如下：

1.隐蔽性与物理环境

• 地理分布：与集中式的火电厂或核电站不同，风电场通常分布在广阔、偏远的地理区域，且大部分时间处于无人值守状态。技术人员可以利用维护名义进入涡轮机塔筒内部，那里空间封闭、噪音巨大，额外设备的运行噪音（风扇声）极易被掩盖。

• 网络架构：现代风机也是巨大的物联网设备。为了传输SCADA数据，风机内部通常配有工业级路由器或4G/5G回传链路。本案中被告部署Helium节点正是看中了风机的高度（利于无线信号覆盖）和现成的网络回传能力。

2.弃电诱惑与窃电风险

• 波动性利用：风电具有间歇性。在弃风限电时段，多余的电力往往被浪费。一些技术人员存在侥幸心理，认为利用这些“废电”挖矿不会被发现，也不会造成公司损失。

• 电网稳定性风险：与火电厂稳定的输出不同，在风机变流器后端私接大功率矿机，可能在风速变化剧烈时干扰风机的控制电压，甚至通过产生谐波影响并网质量，对工业控制系统（ICS）的精密电子元件构成物理威胁。

3.影子IT与横向移动风险

本案中部署Helium节点的特殊风险在于， 与单纯消耗电力的比特币矿机不同，Helium矿机本质上是无线网关。一旦将其接入风电场内网，实际上是在封闭的工业网络（OT）和公共互联网之间架设了一座不受控的“桥梁”。

攻击者理论上可以通过捕捉Helium的无线信号，尝试反向渗透进风电场的管理网络，这比单纯的电力盗窃更具网络安全破坏力。

很少有人能够抵制“大风刮来钱”的诱惑，GoUpSec建议风电企业安全团队重点关注以下措施以应对影子IT和“内部威胁”：

• 零信任网络分段：工业控制网络不应允许任意MAC地址的设备接入。应实施严格的NAC（网络准入控制），确保只有认证的工业设备才能联网。

• 物理端口管控：风机塔筒内的路由器网口应进行物理封锁或逻辑禁用，防止维护人员随意插拔。

• 异常能耗与流量监测：尽管风电功率波动大，但单台风机的自用电（Auxiliary Load）通常是稳定的。通过AI基线分析，可以识别出非典型的持续能耗（矿机特征）或异常的对外长连接流量（矿池通信）。