Si bé el cost de lenergia és la crítica número u contra els miners de criptomonedes en lactualitat, ha sorgit un altre problema en les plataformes de computació al núvol en els últims mesos, ja que alguns grups de miners estan abusant de nivells gratuïts de plataformes de serveis al núvol per extreure criptomonedes.
Anteriorment citats en l'atac i segrest de servidors no pegats, diversos serveis d'integració contínua (CI) ara es queixen d'aquestes bandes, que registren comptes gratuïts a la plataforma abans de passar a nous comptes gratuïts fins al límit de períodes de prova.
Tot i que les moneda digital existeixen només en el món digital, una gegantesca operació física anomenada «mineria» es porta a terme entre bastidors.
Les colles operen registrant comptes en certes plataformes, registrant-se en un nivell gratuït i executant una aplicació de mineria de criptomonedes a la infraestructura de nivell gratuït del proveïdor. Quan els períodes de prova o els crèdits gratuïts han arribat al límit, els grups registren un compte nou i comencen el pas un de nou, mantenint els servidors del proveïdor en el límit d'ús superior i alentint les operacions normals.
La llista de serveis que s'han abusat així inclou serveis com GitHub, GitLab, Microsoft Azure, TravisCI, LayerCI, CircleCI, Render, CloudBees CodeShip, Sourcehut i Okteto . Durant els darrers mesos, els desenvolupadors han compartit les seves pròpies històries d'abusos similars que han vist en altres plataformes, i algunes d'aquestes empreses s'han presentat per compartir experiències d'abusos similars.
La major part d ‟aquest ús indegut es produeix en empreses que brinden serveis d‟integració contínua (CI). La integració contínua és la pràctica dautomatitzar la integració de canvis de codi de múltiples contribuents en un sol projecte de programari. Aquesta és una pràctica líder de DevOps, que permet als desenvolupadors fusionar sovint els canvis de codi en un repositori central on després s'executen les compilacions i les proves.
S'utilitzen eines automatitzades per verificar la precisió del codi nou abans de la seva integració. Un sistema de control de versions del codi font és fonamental per al procés de CI. El sistema de control de versions també es complementa amb altres comprovacions, com ara proves automatitzades de qualitat del codi, eines de revisió d'estil de sintaxi, etc.
A la pràctica, la CI allotjada en el núvol s'aconsegueix mitjançant la creació d'una nova màquina virtual que realitza el procés de construcció, empaquetat i prova, després transmet el resultat a l'administrador d'un projecte.
Les bandes de mineria de moneda digital es van adonar que podien abusar d'aquest procés per afegir el seu propi codi i fer que aquesta màquina virtual de CI realitzés operacions de mineria de moneda digital per generar petits guanys per a l'atacant abans de l'atac. La vida útil limitada de la VM expira i la VM és apagada pel proveïdor del núvol.
Així és com les bandes de mineria de moneda digital van abusar de la funció Accions de GitHub, que ofereix una funció d'infraestructura virtual als usuaris de GitHub, per minar el lloc i minar moneda digital amb els propis servidors de GitHub.
GitHub i GitLab no són els únics proveïdors de QI que s'han enfrontat a aquest abús. Microsoft Azure, LayerCI, Sourcehut, CodeShip i moltes altres plataformes han lluitat amb aquesta activitat, segons l'informe.
Una empresa com GitLab, per la seva mida més gran, encara es pot permetre mantenir la seva oferta de CI gratuïta per als seus usuaris a l'trobar altres formes de prevenir l'ús indegut per part dels criptomineros. Però altres proveïdors petits d'IC no poden. Dimarts passat, en les seves decisions de protegir els seus clients de pagament que van veure una degradació en el servei, Sourcehut i TravisCI van dir que planegen deixar d'oferir els seus nivells de CI gratuïts a causa de l'abús continu.
Però encara que revocar les ofertes de nivell gratuït per als proveïdors de serveis pot ser una manera de limitar l'abús que hi veuen, no és la solució òptima per als desenvolupadors solitaris que utilitzen aquestes ofertes per als projectes de codi obert. Una solució alternativa, com proposa Berrelleza, seria desplegar sistemes automatitzats que detectin i responguin aquests abusos . Tot i això, la creació d'aquests sistemes requereix recursos que algunes empreses no poden assignar, ni garanteix que aquests sistemes funcionin com s'espera.