Iako je cijena energije danas glavna kritika protiv rudara kriptovaluta, posljednjih se mjeseci pojavio još jedan problem na platformama za računalstvo u oblaku , jer neke skupine rudara zloupotrebljavaju besplatne razine platformi za rudarenje kriptovaluta.
Prethodno spomenuti u napadu i otmici nezakrpljenih servera, nekoliko servisa za kontinuiranu integraciju (CI) sada se žali na ove bande koje registriraju besplatne račune na svojoj platformi prije nego što pređu na nove besplatne račune do isteka probnog razdoblja.
Iako kriptovalute postoje samo u digitalnom svijetu, iza kulisa se odvija gigantska fizička operacija nazvana "rudarstvo".
Bande djeluju tako da registriraju račune na određenim platformama, prijave se za besplatnu razinu i pokrenu aplikaciju za rudarenje kriptovaluta na infrastrukturi besplatne razine pružatelja usluga. Nakon što probna razdoblja ili besplatni krediti dosegnu svoj limit, grupe registriraju novi račun i ponovno pokreću proces, održavajući poslužitelje pružatelja usluga na njihovoj gornjoj granici korištenja i usporavajući normalan rad.
Popis usluga koje su na ovaj način zloupotrijebljene uključuje usluge kao što su GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut i Okteto . Tijekom proteklih nekoliko mjeseci, programeri su podijelili vlastite priče o sličnoj zlouporabi koju su vidjeli na drugim platformama, a neke od tih tvrtki su se javile kako bi podijelile slična iskustva.
Većina ove zlouporabe događa se u tvrtkama koje pružaju usluge kontinuirane integracije (CI). Kontinuirana integracija je praksa automatizacije integracije promjena koda od više suradnika u jedan softverski projekt. Ovo je vodeća DevOps praksa koja omogućuje programerima da često spajaju promjene koda u središnji repozitorij gdje se zatim izvode izgradnje i testovi.
Automatizirani alati koriste se za provjeru točnosti novog koda prije integracije. Sustav kontrole verzija izvornog koda temeljan je za CI proces. Sustav kontrole verzija nadopunjuju i druge provjere, kao što su automatizirano testiranje kvalitete koda, alati za provjeru sintakse i tako dalje.
U praksi se CI hostovan u oblaku postiže stvaranjem novog virtualnog stroja koji izvodi postupak izrade, pakiranja i testiranja, a zatim rezultate prenosi upravitelju projekta.
Bande rudarstva kriptovaluta shvatile su da bi mogle zloupotrijebiti ovaj postupak kako bi dodale vlastiti kôd i imale da ovaj virtualni stroj CI izvodi operacije miniranja kriptovaluta kako bi napadaču generirali malu zaradu prije napada. Ograničeni životni vijek VM-a istječe, a dobavljač oblaka ga isključuje.
Na ovaj su način bande rudarstva kriptovaluta zloupotrijebile značajku GitHub Actions, koja korisnicima virtualne infrastrukture nudi značajku virtualne infrastrukture, kako bi minirale web mjesto i iskopavale kripto s vlastitim GitHubovim poslužiteljima.
GitHub i GitLab nisu jedini pružatelji CI-ja koji su se suočili s ovom zlouporabom. Microsoft Azure, LayerCI, Sourcehut, CodeShip i mnoge druge platforme borile su se s ovom aktivnošću, prema izvješću.
Tvrtka poput GitLaba, zbog svoje veće veličine, još uvijek može priuštiti da zadrži svoju ponudu besplatnih CI-a za svoje korisnike pronalaženjem drugih načina za sprečavanje zlouporabe kriptokopača. Ali drugi mali davatelji usluga IC-a to ne mogu. Prošlog utorka, u svojim odlukama da zaštite svoje korisnike koji plaćaju, a koji su vidjeli degradaciju usluge, Sourcehut i TravisCI rekli su da planiraju prestati nuditi svoje besplatne razine IQ-a zbog kontinuiranog zlostavljanja.
No iako bi opoziv ponuda besplatnih usluga za pružatelje usluga mogao biti jedan od načina ograničavanja zlouporabe koju vide, to nije najbolje rješenje za samostalne razvojne programere koji koriste te ponude za svoje projekte otvorenog koda. Alternativno rješenje, kako predlaže Berrelleza, bilo bi implementacija automatiziranih sustava koji otkrivaju i reagiraju na ovu zlouporabu . Međutim, izgradnja takvih sustava zahtijeva resurse koje neke tvrtke ne mogu dodijeliti, a nema jamstva da će ti sustavi raditi kako se očekuje.