Günümüzde kripto para madencilerine yöneltilen en büyük eleştiri enerji maliyeti olsa da , son aylarda bulut bilişim platformlarında başka bir sorun daha ortaya çıktı : Bazı madenci grupları, kripto para madenciliği yapmak için bulut hizmet platformlarının ücretsiz katmanlarını kötüye kullanıyor.
Daha önce yamalanmamış sunuculara yönelik saldırılar ve ele geçirmelerle adı geçen bu çeteler, çeşitli sürekli entegrasyon (CI) hizmetleri tarafından şikayet konusu oldu. Bu çeteler, platformlarında ücretsiz hesaplar açtıktan sonra deneme süresi dolana kadar yeni ücretsiz hesaplar kullanmaya devam ediyorlar.
Kripto para birimleri yalnızca dijital dünyada var olmasına rağmen perde arkasında “madencilik” adı verilen devasa bir fiziksel operasyon gerçekleşmektedir.
Çeteler, belirli platformlarda hesap açarak, ücretsiz bir kademeye kaydolup, sağlayıcının ücretsiz kademe altyapısında kripto para madenciliği uygulaması çalıştırarak faaliyet gösteriyor. Deneme süreleri veya ücretsiz krediler limitlerine ulaştığında, gruplar yeni bir hesap açıp süreci yeniden başlatıyor; bu da sağlayıcının sunucularını üst kullanım limitinde tutarak normal işlemleri yavaşlatıyor.
Bu şekilde kötüye kullanılan hizmetler listesinde GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut ve Okteto gibi hizmetler yer alıyor . Son birkaç ayda geliştiriciler, diğer platformlarda gördükleri benzer kötüye kullanımlarla ilgili kendi hikayelerini paylaştılar ve bu şirketlerden bazıları da benzer deneyimlerini paylaşmak için ortaya çıktılar.
Bu tür suistimallerin çoğu, sürekli entegrasyon (CI) hizmetleri sağlayan şirketlerde meydana gelir . Sürekli entegrasyon, birden fazla katkıda bulunanın kod değişikliklerinin tek bir yazılım projesine entegrasyonunun otomatikleştirilmesi uygulamasıdır. Bu, geliştiricilerin kod değişikliklerini sık sık merkezi bir depoya birleştirmelerini ve ardından derleme ve testlerin çalıştırılmasını sağlayan önde gelen bir DevOps uygulamasıdır.
Yeni kodun entegrasyondan önce doğruluğunu doğrulamak için otomatik araçlar kullanılır . Kaynak kod sürüm kontrol sistemi, sürekli entegrasyon (CI) sürecinin temelidir. Sürüm kontrol sistemi ayrıca otomatik kod kalitesi testleri, sözdizimi kontrol araçları ve benzeri diğer kontrollerle de desteklenir.
Uygulamada bulutta barındırılan CI, oluşturma, paketleme ve test sürecini gerçekleştiren ve ardından sonucu bir proje yöneticisine ileten yeni bir sanal makine oluşturularak elde edilir.
Kripto para madenciliği çeteleri, kendi kodlarını eklemek için bu süreci kötüye kullanabileceklerini ve bu CI sanal makinesinin, saldırıdan önce saldırgan için küçük karlar elde etmek amacıyla kripto para madenciliği işlemlerini gerçekleştirmesini sağlayabileceklerini fark etti. VM'nin sınırlı ömrü sona erer ve VM, bulut sağlayıcı tarafından kapatılır.
Kripto para madenciliği çeteleri, GitHub kullanıcılarına sanal bir altyapı özelliği sunan GitHub Actions özelliğini, siteyi madencilik yapmak ve GitHub'un kendi sunucularıyla kripto para madenciliği yapmak için bu şekilde suistimal etti.
GitHub ve GitLab , bu tür suistimallerle karşılaşan tek CI sağlayıcıları değil . Rapora göre Microsoft Azure, LayerCI, Sourcehut, CodeShip ve diğer birçok platform da bu faaliyetle mücadele etti.
GitLab gibi bir şirket, daha büyük olması nedeniyle, kripto madencilerinin kötüye kullanımını önlemenin başka yollarını bularak kullanıcılarına ücretsiz CI teklifini sürdürmeye devam edebilir. Ancak diğer küçük IC satıcıları bunu yapamaz. Sourcehut ve TravisCI, geçtiğimiz Salı günü, hizmette düşüş yaşayan ödeme yapan müşterilerini koruma kararlarında, sürekli kötüye kullanım nedeniyle ücretsiz CI katmanlarını sunmayı bırakmayı planladıklarını söyledi.
Ancak, hizmet sağlayıcılar için ücretsiz kullanım tekliflerini iptal etmek, gördükleri suistimali sınırlamanın bir yolu olsa da, bu teklifleri açık kaynak projeleri için kullanan bağımsız geliştiriciler için en iyi çözüm değildir. Berrelleza'nın önerdiği alternatif bir çözüm, bu suistimali tespit eden ve buna yanıt veren otomatik sistemler kurmaktır . Bununla birlikte, bu tür sistemlerin kurulması, bazı şirketlerin ayıramayacağı kaynaklar gerektirir ve bu sistemlerin beklendiği gibi çalışacağına dair bir garanti yoktur.