Хоча вартість енергії є головною критикою майнерів криптовалют сьогодні, в останні місяці виникла ще одна проблема на платформах хмарних обчислень , оскільки деякі групи майнерів зловживають безкоштовними рівнями хмарних сервісів для майнінгу криптовалют.
Раніше згадувалися про атаку та захоплення непатчених серверів, а тепер кілька сервісів безперервної інтеграції (CI) скаржаться на ці банди, які реєструють безкоштовні облікові записи на своїй платформі, перш ніж перейти на нові безкоштовні облікові записи до закінчення пробного періоду.
Хоча криптовалюти існують лише в цифровому світі, гігантська фізична операція під назвою «майнінг» відбувається за лаштунками.
Банди діють, реєструючи облікові записи на певних платформах, підписуючись на безкоштовний рівень та запускаючи програму для майнінгу криптовалюти на інфраструктурі безкоштовного рівня провайдера. Після того, як пробні періоди або безкоштовні кредити досягнуть свого ліміту, групи реєструють новий обліковий запис і починають процес спочатку, підтримуючи сервери провайдера на верхньому ліміті використання та уповільнюючи нормальну роботу.
Список сервісів, які зазнали зловживань таким чином, включає такі сервіси, як GitHub, GitLab, Microsoft Azure, Travis CI, Layer CI, Circle CI, Render, CloudBees CodeShip, Sourcehut та Okteto . Протягом останніх кількох місяців розробники поділилися власними історіями подібних зловживань, які вони бачили на інших платформах, і деякі з цих компаній також поділилися подібним досвідом.
Більшість таких зловживань трапляються в компаніях, що надають послуги безперервної інтеграції (БІ). Безперервна інтеграція — це практика автоматизації інтеграції змін коду від кількох авторів в один програмний проект. Це провідна практика DevOps, яка дозволяє розробникам часто об'єднувати зміни коду в централізований репозиторій, де потім виконуються збірки та тести.
Автоматизовані інструменти використовуються для перевірки точності нового коду перед інтеграцією. Система контролю версій вихідного коду є основоположною для процесу неперервної інтеграції. Система контролю версій також доповнюється іншими перевірками, такими як автоматизоване тестування якості коду, інструменти перевірки синтаксису тощо.
На практиці CI, розміщений у хмарі, досягається шляхом створення нової віртуальної машини, яка виконує процес збирання, пакування та тестування, а потім передає результат менеджеру проекту.
Банди майнінгу криптовалюти зрозуміли, що вони можуть зловживати цим процесом, щоб додати свій власний код і змусити цю віртуальну машину CI виконувати операції з майнінгу криптовалюти, щоб отримати невеликий прибуток для зловмисника перед атакою. Обмежений термін служби віртуальної машини закінчується, і віртуальна машина закривається постачальником хмари.
Ось як банди з майнінгу криптовалюти зловживали функцією GitHub Actions, яка пропонує користувачам GitHub функцію віртуальної інфраструктури, щоб майнити сайт і майнити криптовалюту на власних серверах GitHub.
GitHub та GitLab — не єдині постачальники неперервної інтеграції , які зіткнулися з цим зловживанням. Згідно зі звітом, Microsoft Azure, LayerCI, Sourcehut, CodeShip та багато інших платформ мали проблеми з цією діяльністю.
Така компанія, як GitLab, завдяки своєму більшому розміру, все ще може дозволити собі зберегти пропозицію безкоштовних CI для своїх користувачів, знайшовши інші способи запобігти зловживанням майнерами криптовалют. Але інші невеликі постачальники IC не можуть. Минулого вівторка, приймаючи рішення про захист своїх клієнтів-платників, які помітили погіршення якості обслуговування, Sourcehut і TravisCI заявили, що планують припинити пропонувати свої безкоштовні рівні IQ через постійні зловживання.
Але хоча скасування пропозицій безкоштовного рівня для постачальників послуг може бути одним із способів обмежити зловживання, які вони бачать, це не найкраще рішення для окремих розробників, які використовують ці пропозиції для своїх проектів з відкритим кодом. Альтернативним рішенням, як пропонує Берреллеза, було б розгортання автоматизованих систем, які виявляють та реагують на ці зловживання . Однак створення таких систем вимагає ресурсів, які деякі компанії не можуть виділити, і немає гарантії, що ці системи працюватимуть належним чином.