Chociaż obecnie głównym zarzutem wobec górników kryptowalut jest koszt energii, w ostatnich miesiącach pojawił się inny problem na platformach przetwarzania w chmurze , ponieważ niektóre grupy górników nadużywają bezpłatnych poziomów platform usług w chmurze do wydobywania kryptowalut.
Wcześniej wspomniane ataki i przejmowanie kontroli nad niezałatanymi serwerami spowodowały, że kilka usług ciągłej integracji (CI) skarży się teraz na te gangi, które rejestrują darmowe konta na swojej platformie, a następnie przechodzą na nowe darmowe konta aż do upływu okresu próbnego.
Choć kryptowaluty istnieją tylko w cyfrowym świecie, za kulisami odbywa się gigantyczna fizyczna operacja zwana „wydobyciem”.
Gangi działają poprzez rejestrowanie kont na wybranych platformach, rejestrowanie się w ramach darmowego poziomu i uruchamianie aplikacji do kopania kryptowalut w ramach darmowej infrastruktury dostawcy. Po osiągnięciu limitu okresów próbnych lub darmowych kredytów, grupy rejestrują nowe konto i rozpoczynają proces od nowa, utrzymując serwery dostawcy na najwyższym poziomie wykorzystania i spowalniając normalne działanie.
Lista usług, które padły ofiarą tego typu nadużyć, obejmuje takie usługi jak GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut i Okteto . W ciągu ostatnich kilku miesięcy deweloperzy dzielili się swoimi historiami o podobnych nadużyciach, których doświadczyli na innych platformach, a niektóre z tych firm również podzieliły się swoimi doświadczeniami.
Większość tych nadużyć występuje w firmach świadczących usługi ciągłej integracji (CI). Ciągła integracja to praktyka automatyzacji integracji zmian w kodzie pochodzących od wielu współpracowników w ramach jednego projektu oprogramowania. Jest to wiodąca praktyka DevOps, umożliwiająca programistom częste scalanie zmian w kodzie w centralnym repozytorium, gdzie następnie uruchamiane są kompilacje i testy.
Zautomatyzowane narzędzia służą do weryfikacji poprawności nowego kodu przed integracją. System kontroli wersji kodu źródłowego jest podstawą procesu ciągłej integracji (CI). System kontroli wersji jest również uzupełniany przez inne mechanizmy kontroli, takie jak automatyczne testowanie jakości kodu, narzędzia do sprawdzania składni itp.
W praktyce CI hostowany w chmurze uzyskuje się poprzez utworzenie nowej maszyny wirtualnej, która wykonuje proces kompilacji, pakowania i testowania, a następnie przekazuje wynik kierownikowi projektu.
Gangi zajmujące się kopaniem kryptowalut zdały sobie sprawę, że mogą nadużywać tego procesu, aby dodać własny kod i zlecić tej wirtualnej maszynie CI wykonywanie operacji kopania kryptowalut w celu wygenerowania niewielkich zysków dla atakującego przed atakiem. Ograniczony okres eksploatacji maszyny wirtualnej wygasa i maszyna wirtualna zostaje wyłączona przez dostawcę chmury.
W ten sposób gangi zajmujące się wydobywaniem kryptowalut nadużywały funkcji GitHub Actions, która oferuje użytkownikom GitHub funkcję infrastruktury wirtualnej do kopania witryny i kopania kryptowalut na własnych serwerach GitHub.
GitHub i GitLab to nie jedyni dostawcy CI , którzy spotkali się z tym nadużyciem. Według raportu, Microsoft Azure, LayerCI, Sourcehut, CodeShip i wiele innych platform również borykało się z tym problemem.
Firma taka jak GitLab, ze względu na swój większy rozmiar, nadal może sobie pozwolić na utrzymanie swojej oferty bezpłatnych elementów CI dla swoich użytkowników, znajdując inne sposoby zapobiegania nadużyciom przez górników kryptowalut. Ale inni mali dostawcy IC nie mogą. W zeszły wtorek, podejmując decyzje o ochronie płacących klientów, którzy zauważyli pogorszenie usług, Sourcehut i TravisCI powiedzieli, że planują przestać oferować swoje bezpłatne poziomy IQ z powodu ciągłych nadużyć.
Choć cofnięcie ofert free-tier dla dostawców usług może być jednym ze sposobów ograniczenia nadużyć, nie jest to najlepsze rozwiązanie dla deweloperów indywidualnych, którzy korzystają z tych ofert w swoich projektach open source. Alternatywnym rozwiązaniem, proponowanym przez Berrellezę, byłoby wdrożenie zautomatyzowanych systemów wykrywających i reagujących na te nadużycia . Budowa takich systemów wymaga jednak zasobów, których niektóre firmy nie są w stanie przeznaczyć, i nie ma gwarancji, że będą one działać zgodnie z oczekiwaniami.