現在、仮想通貨マイナーに対する最大の批判はエネルギーコストの高さだが、ここ数ヶ月でクラウドコンピューティングプラットフォーム上で別の問題が浮上している。一部のマイナーグループが、クラウドサービスプラットフォームの無料枠を悪用して仮想通貨をマイニングしているのだ。
以前はパッチ未適用サーバーへの攻撃や乗っ取りに関与していたと指摘されていたが、現在では複数の継続的インテグレーション（CI）サービスが、プラットフォーム上で無料アカウントを登録した後、試用期間の制限まで次々と新しい無料アカウントを登録していくこうしたグループについて苦情を申し立てている。
仮想通貨はデジタル世界にのみ存在しますが、その舞台裏では「マイニング」と呼ばれる巨大な物理的作業が行われています。
これらの犯罪組織は、特定のプラットフォームにアカウントを登録し、無料プランにサインアップして、プロバイダーの無料プランのインフラストラクチャ上で仮想通貨マイニングアプリケーションを実行することで活動しています。試用期間や無料クレジットの上限に達すると、グループは新しいアカウントを登録して同じプロセスを繰り返し、プロバイダーのサーバーを常に使用上限まで利用させ、通常の運用を遅延させます。
こうした形で悪用されたサービスには、GitHub、GitLab、Microsoft Azure、Travis CI、Layer CI、Circle CI、Render、CloudBees CodeShip、Sourcehut、Oktetoなどが含まれます。ここ数ヶ月、開発者たちは他のプラットフォームで目撃した同様の悪用事例を共有しており、これらの企業の中には同様の経験を公表しているところもあります。
こうした誤用は、継続的インテグレーション（CI）サービスを提供する企業で多く発生しています。継続的インテグレーションとは、複数の開発者によるコード変更を単一のソフトウェアプロジェクトに自動的に統合する手法です。これはDevOpsにおける主要な手法の一つであり、開発者がコード変更を頻繁に中央リポジトリにマージし、そこでビルドやテストを実行できるようにするものです。
統合前に新しいコードの正確性を検証するために、自動化ツールが使用されます。ソースコードのバージョン管理システムは、CIプロセスにおいて不可欠です。バージョン管理システムは、自動コード品質テスト、構文チェックツールなど、その他のチェック機能によって補完されます。
実際には、クラウドホスト型 CI は、ビルド、パッケージ化、テストのプロセスを実行し、その結果をプロジェクト マネージャーに送信する新しい仮想マシンを作成することによって実現されます。
暗号通貨マイニング ギャングは、このプロセスを悪用して独自のコードを追加し、この CI 仮想マシンに暗号通貨マイニング操作を実行させて、攻撃の前に攻撃者に小さな利益をもたらすことができることに気付きました。 VM の有効期限が切れ、VM はクラウド プロバイダーによってシャットダウンされます。
このようにして、仮想通貨マイニング集団は、GitHub ユーザーに仮想インフラストラクチャ機能を提供する GitHub Actions 機能を悪用し、サイトをマイニングし、GitHub 独自のサーバーで仮想通貨をマイニングしました。
GitHubとGitLabだけが、このような悪用に直面しているCIプロバイダーではない。報告書によると、Microsoft Azure、LayerCI、Sourcehut、CodeShipなど、その他多くのプラットフォームも同様の行為に苦慮しているという。
GitLab のような企業は、規模が大きいため、仮想通貨マイナーによる誤用を防ぐ他の方法を見つけることで、ユーザーに無料の CI を提供し続ける余裕があります。 しかし、他の小さな IC プロバイダーはできません。 先週の火曜日、サービスの低下を見た有料顧客を保護する決定の中で、SourcehutとTravisCIは、継続的な悪用のために無料のIQレベルの提供を停止する予定であると述べた.
しかし、サービスプロバイダーへの無料利用枠の提供を取り消すことは、彼らが目にする不正利用を制限する一つの方法かもしれないが、オープンソースプロジェクトでこれらのサービスを利用している個人開発者にとっては最善の解決策ではない。ベレレザ氏が提案するように、代替案としては、こうした不正利用を検知して対応する自動システムを導入することが挙げられる。しかし、そのようなシステムを構築するには、一部の企業が割り当てられないリソースが必要であり、また、これらのシステムが期待どおりに機能するという保証もない。