Meskipun biaya energi adalah kritik utama terhadap penambang mata uang kripto saat ini, masalah lain telah muncul di platform komputasi awan dalam beberapa bulan terakhir, karena beberapa kelompok penambang menyalahgunakan layanan gratis dari platform komputasi awan untuk menambang mata uang kripto.
Sebelumnya disebut-sebut terlibat dalam serangan dan pembajakan server yang belum diperbarui, beberapa layanan integrasi berkelanjutan (CI) kini mengeluhkan kelompok-kelompok ini, yang mendaftarkan akun gratis di platform mereka sebelum beralih ke akun gratis baru hingga batas masa percobaan.
Meskipun cryptocurrency hanya ada di dunia digital, operasi fisik raksasa yang disebut "penambangan" terjadi di belakang layar.
Geng-geng tersebut beroperasi dengan mendaftarkan akun di platform tertentu, mendaftar untuk paket gratis, dan menjalankan aplikasi penambangan mata uang kripto di infrastruktur paket gratis penyedia layanan. Setelah masa percobaan atau kredit gratis mencapai batasnya, kelompok-kelompok tersebut mendaftarkan akun baru dan memulai prosesnya lagi, sehingga server penyedia layanan terus beroperasi pada batas penggunaan maksimumnya dan memperlambat operasi normal.
Daftar layanan yang telah disalahgunakan dengan cara ini mencakup layanan seperti GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut, dan Okteto . Selama beberapa bulan terakhir, para pengembang telah berbagi kisah mereka sendiri tentang penyalahgunaan serupa yang mereka lihat di platform lain, dan beberapa perusahaan ini telah maju untuk berbagi pengalaman serupa.
Sebagian besar penyalahgunaan ini terjadi di perusahaan yang menyediakan layanan integrasi berkelanjutan (CI). Integrasi berkelanjutan adalah praktik otomatisasi pengintegrasian perubahan kode dari banyak kontributor ke dalam satu proyek perangkat lunak. Ini adalah praktik DevOps terkemuka, yang memungkinkan pengembang untuk sering menggabungkan perubahan kode ke dalam repositori pusat tempat build dan pengujian kemudian dijalankan.
Alat otomatis digunakan untuk memverifikasi keakuratan kode baru sebelum integrasi. Sistem kontrol versi kode sumber sangat mendasar bagi proses CI. Sistem kontrol versi juga dilengkapi dengan pemeriksaan lain, seperti pengujian kualitas kode otomatis, alat pengecekan sintaksis, dan sebagainya.
Dalam praktiknya, CI yang dihosting di cloud dicapai dengan membuat mesin virtual baru yang melakukan proses pembuatan, pengemasan, dan pengujian, lalu menyampaikan hasilnya ke manajer proyek.
Geng penambangan cryptocurrency menyadari bahwa mereka dapat menyalahgunakan proses ini untuk menambahkan kode mereka sendiri dan membuat mesin virtual CI ini melakukan operasi penambangan cryptocurrency untuk menghasilkan keuntungan kecil bagi penyerang sebelum serangan. Masa pakai VM yang terbatas akan berakhir dan VM dimatikan oleh penyedia cloud.
Beginilah cara geng penambangan cryptocurrency menyalahgunakan fitur Actions GitHub, yang menawarkan fitur infrastruktur virtual kepada pengguna GitHub, untuk menambang situs dan menambang crypto dengan server GitHub sendiri.
GitHub dan GitLab bukanlah satu-satunya penyedia CI yang menghadapi penyalahgunaan ini. Microsoft Azure, LayerCI, Sourcehut, CodeShip, dan banyak platform lainnya juga mengalami masalah serupa, menurut laporan tersebut.
Perusahaan seperti GitLab, karena ukurannya yang lebih besar, masih dapat mempertahankan penawaran CI gratisnya untuk penggunanya dengan menemukan cara lain untuk mencegah penyalahgunaan oleh penambang kripto. Tetapi penyedia IC kecil lainnya tidak bisa. Selasa lalu, dalam keputusan mereka untuk melindungi pelanggan yang membayar mereka yang melihat penurunan layanan, Sourcehut dan TravisCI mengatakan mereka berencana untuk berhenti menawarkan tingkat IQ gratis mereka karena penyalahgunaan yang sedang berlangsung.
Namun, meskipun mencabut penawaran tingkat gratis untuk penyedia layanan mungkin merupakan salah satu cara untuk membatasi penyalahgunaan yang mereka alami, itu bukanlah solusi terbaik bagi pengembang individu yang menggunakan penawaran ini untuk proyek sumber terbuka mereka. Solusi alternatif, seperti yang diusulkan Berrelleza, adalah dengan menerapkan sistem otomatis yang mendeteksi dan menanggapi penyalahgunaan ini . Namun, membangun sistem seperti itu membutuhkan sumber daya yang tidak dapat dialokasikan oleh beberapa perusahaan, dan tidak ada jaminan bahwa sistem ini akan bekerja seperti yang diharapkan.