Kuigi energia hind on tänapäeval krüptovaluuta kaevandajate vastu suunatud kriitika number üks, on viimastel kuudel pilvandmetöötluse platvormidel ilmnenud teine probleem , kuna mõned kaevurite rühmad kuritarvitavad pilveteenuste platvormide tasuta astmeid krüptovaluutade kaevandamiseks.
Varem rünnaku ja uuendamata serverite kaaperdamise eest süüdistatud jõugud kurdavad nüüd mitmed pideva integratsiooni (CI) teenused nende jõukude üle, kes registreerivad enne prooviperioodi piiranguni uutele tasuta kontodele üleminekut nende platvormil tasuta kontosid.
Kuigi krüptorahad eksisteerivad ainult digitaalses maailmas, toimub kulisside taga hiiglaslik füüsiline operatsioon nimega "kaevandamine".
Jõugud tegutsevad nii, et registreerivad kontosid teatud platvormidel, registreeruvad tasuta astmele ja käitavad krüptovaluuta kaevandamise rakendust pakkuja tasuta astme infrastruktuuril. Kui prooviperioodid või tasuta krediidid on oma piirini jõudnud, registreerivad rühmitused uue konto ja alustavad protsessi uuesti, hoides pakkuja servereid ülempiiril ja aeglustades tavapärast tööd.
Sel viisil kuritarvitatud teenuste loend sisaldab selliseid teenuseid nagu GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut ja Okteto . Viimaste kuude jooksul on arendajad jaganud oma lugusid sarnasest kuritarvitamisest, mida nad on teistel platvormidel näinud, ja mõned neist ettevõtetest on jaganud sarnaseid kogemusi.
Suurem osa sellest väärkasutusest esineb ettevõtetes, mis pakuvad pideva integratsiooni (CI) teenuseid. Pidev integratsioon on praktika, mille käigus automatiseeritakse mitme kaastöötaja koodimuudatuste integreerimine ühte tarkvaraprojekti. See on juhtiv DevOps-i praktika, mis võimaldab arendajatel sageli koodimuudatusi ühendada kesksesse hoidlasse, kus seejärel käivitatakse järgud ja testid.
Uue koodi täpsuse kontrollimiseks enne integreerimist kasutatakse automatiseeritud tööriistu . Lähtekoodi versioonikontrollisüsteem on konfiguratsiooniintegratsiooni protsessi alustala. Versioonikontrollisüsteemi täiendavad ka muud kontrollid, näiteks automatiseeritud koodikvaliteedi testimine, süntaksikontrolli tööriistad jne.
Praktikas saavutatakse pilves hostitud CI uue virtuaalse masina loomisega, mis täidab ehitamis-, pakettimis- ja testimisprotsessi ning edastab tulemuse seejärel projektijuhile.
Krüptoraha kaevandamise jõukud mõistsid, et nad võivad seda koodi kuritarvitada, et oma kood lisada ja lasta sellel CI virtuaalsel masinal krüptoraha kaevandamistoiminguid teha, et ründajale enne rünnakut väike kasum teenida. VM-i piiratud eluiga aegub ja pilvepakkuja sulgeb VM-i.
Nii kuritarvitasid krüptoraha kaevandamise jõukud GitHubi kasutajatele virtuaalse infrastruktuuri funktsiooni pakkuva funktsiooni GitHub Actions, et saidi kaevandada ja krüptot kaevandada GitHubi enda serveritega.
GitHub ja GitLab pole ainsad CI-teenuse pakkujad , kes on selle kuritarvitamisega silmitsi seisnud. Aruande kohaselt on selle tegevusega hädas olnud ka Microsoft Azure, LayerCI, Sourcehut, CodeShip ja paljud teised platvormid.
GitLabi-sugune ettevõte võib oma suurema suuruse tõttu siiski endale lubada oma kasutajate jaoks tasuta CI-de pakkumise leidmist, leides muid võimalusi krüptokaevurite väärkasutuse vältimiseks. Kuid teised väikesed IC pakkujad seda ei saa. Eelmisel teisipäeval teatasid Sourcehut ja TravisCI oma otsustes kaitsta oma maksvaid kliente, kes nägid teenuste halvenemist, jätkuva väärkohtlemise tõttu lõpetada oma tasuta IQ tasemete pakkumine.
Kuigi tasuta astme pakkumiste tühistamine teenusepakkujatele võib olla üks viis kuritarvituste piiramiseks, pole see parim lahendus sooloarendajatele, kes kasutavad neid pakkumisi oma avatud lähtekoodiga projektide jaoks. Alternatiivne lahendus, nagu Berrelleza välja pakub, oleks automatiseeritud süsteemide juurutamine, mis tuvastavad ja reageerivad sellisele kuritarvitusele . Selliste süsteemide loomine nõuab aga ressursse, mida mõned ettevõtted ei saa eraldada, ja pole mingit garantiid, et need süsteemid töötavad ootuspäraselt.