作者那盏 12.99 美元买的 Tuya 智能灯泡上周二在挖矿。凌晨 3:17 他的网络监控把它叫醒：这盏放在衣柜里的灯泡向深圳的一个 IP 上传了 400MB 数据，并在 3333 端口保持长连接——3333 端口不是用来开灯的，它是门罗币矿池的端口。拆开后里面是一颗 ESP8266 克隆芯片、2MB 闪存、2019 年的固件，硬编码的 Telnet 口令是 admin:admin，外加一个藏在不该存在的分区里的 xmr_mini 二进制。他把一台 26 美元的 GL.iNet 路由器刷成 OpenWrt 放在调制解调器与真路由器之间，装上 Pi-hole 与 AdGuard Home 做 DNS 黑洞、Suricata 做 IDS，然后什么都不拦、只看七天。结果很具体：35 美元的摄像头每 30 秒回连一次日志桶，一周上传 2.1GB；智能电视每天凌晨解析 47 个广告域名，七天里尝试连接 doubleclick.net 一万四千次；扫地机器人把公寓的压缩地图发到新加坡的服务器。