Sites gebruiken uw browser om Crypto te mijnen. Het zou een goede zaak kunnen zijn

De naam zegt het al: WannaMine. Panda, een in Bilbao, Spanje gevestigd cybersecuritybedrijf, schreef begin februari dat "een nieuwe malwarevariant computers over de hele wereld heeft overgenomen en ze heeft gekaapt om een ​​cryptocurrency genaamd Monero te ontginnen".

Het virus herinnert aan WannaCry, een worm die in mei 2017 de wereld rondviel, de gegevens van geïnfecteerde systemen codeerde en bitcoin-losgeld eiste om het te decoderen. Maar WannaMine neemt een andere benadering om cryptocurrency uit zijn slachtoffers te wringen: het gebruikt de verwerkingskracht van hun machines om het algoritme CryptoNight steeds opnieuw te laten draaien, in de hoop een hash te vinden die aan bepaalde criteria voldoet voordat andere mijnwerkers dat doen. Wanneer dat gebeurt, wordt een nieuw blok gedolven, waardoor een deel van de nieuwe monero ontstaat - ter waarde van ongeveer $ 1500 op het moment van schrijven - en de meevaller op de portemonnee van de aanvaller wordt gestort.

De kans dat een bepaalde mijnwerker het volgende blok als eerste vindt en de beloning ontvangt, is klein, maar infecteert voldoende CPU's en u kunt een behoorlijke inkomstenstroom samen hacken. Omdat het slachtoffer de elektriciteitsrekening betaalt en de hardware levert, zijn de kosten voor de aanvaller te verwaarlozen. (Zie ook, Hoe werkt Bitcoin-mijnbouw? )

"Een proof-of-concept"

Op 11 februari werd een soortgelijke maar nogal spectaculairdere aanval ontdekt. Cybersecurity-onderzoekers Scott Helme en Ian Thornton-Trump (phat_hobbit) merkten op dat sites van de Britse National Health Service tot de US Courts de browsers van bezoekers kapen naar monero.

Ummm, dus ja, dit is * slecht *. Ik had zojuist @phat_hobbit erop gewezen dat @ICOnews een cryptominer op hun site heeft geïnstalleerd ... pic.twitter.com/xQhspR7A2f
- Scott Helme (@Scott_Helme) 11 februari 2018

De dader was een tekst-naar-spraak plug-in populair bij Anglophone overheden genaamd Browsealoud, die besmet was met Coinhive, een in-browser monerominer die niet per se malware per se is: zijn providers presenteren het als een legitieme manier om geld te verdienen, maar stellen hun gebruikers volgens Motherboard veel te weinig vragen.

Tot nu toe, dus 2018. Maar er is iets mis. De aanvallers maakten niets: ongeveer $ 24, dat niet eens werd uitbetaald, vertelde Coinhive aan Motherboard. En zoals Helme opmerkte, had de aanval veel erger kunnen zijn: "Aanvallers hadden willekeurige scriptinjectie op duizenden sites, waaronder veel NHS-websites hier in Engeland." Ze kunnen bootladingen met zeer waardevolle persoonlijke gegevens hebben gestolen. Maar dat deden ze niet.

Bovendien hadden de aanvallers, gezien hun gekozen aanvalsmethode, moeten kiezen voor zwaardere, minder nauwkeurig onderzochte, lager beveiligde doelen: pornosites zijn populair bij cryptominers omdat ze aan deze criteria voldoen.

Het lijkt erop dat het doel van de kapers niet was om geld te verdienen. Misschien, zoals Matt Burgess van Wired UK het uitdrukte - parafraserend Malwarebytes-analist Chris Boyd - waren ze "in plaats daarvan een proof-of-concept aan het creëren".

Crypto verstoort het advertentiemodel?

Welk concept dat zou kunnen zijn, heeft Boyd niet gespecificeerd. "Laten we eens kijken wat voor een gek iets met deze scripts kan worden gedaan, " stelde hij zich de hackers voor.

Maar Lucas Nuzzi, senior analist bij Digital Asset Research, heeft een idee. "Browser-gebaseerde mijnwerkers zoals Coinhive zijn de beste implementatie van nuttige PoW [proof of work] die er bestaat, " tweette hij. "Voor het eerst in de geschiedenis van internet hebben websites een manier om geld te verdienen zonder gebruikers met advertenties te moeten bombarderen."

Het potentieel is niet beperkt tot op advertenties gebaseerde modellen, ofwel:

2 \ Deze mijnwerkers kunnen worden geïmplementeerd met minder dan 20 regels code. Wikipedia hoeft geen donaties te vragen als ze een browser-gebaseerde mijnwerker hebben geïmplementeerd.
- Lucas Nuzzi (@LucasNuzzi) 15 februari 2018

Browsermining kan de huidige modellen voor het genereren van inkomsten voor aanbieders van webcontent verstoren. Internetadvertenties - die vervelend zijn, vaak kwaadaardige code bevatten en een gegevensbemiddelingsindustrie ondersteunen die de privacy en veiligheid van gebruikers in gevaar brengt - kunnen worden gedegradeerd tot een ondersteunende rol. Donaties - die naar de strekking van Wikipedia's pleidooien niet lukken - kunnen ook minder belangrijk worden. (Zie ook, Blockchain kan u maken - niet Equifax - de eigenaar van uw gegevens. )

Helaas gaat Nuzzi verder, hackers verslaan gerenommeerde sites tot het uiterste, die browsermining koppelt aan malware in de publieke verbeelding en "de hoop op acceptatie door gerenommeerde websites zoals Wikipedia verbreekt."

Salon neemt de sprong

Misschien, maar ten minste één gerenommeerde, indien worstelende, site heeft de sprong gewaagd. Salon is een samenwerking aangegaan met Coinhive en op 11 februari - de dag van het Browsealoud-debacle - begon het bezoekers te vragen om ad blockers te gebruiken of ze "advertenties wilden blokkeren door Salon uw ongebruikte rekenkracht te laten gebruiken." Op de pagina met veelgestelde vragen wordt uitgelegd dat dit mijnbouw betekent, hoewel de naam van de nu beruchte partner niet bij naam wordt genoemd. (Zie ook, Salon wil uw computer gebruiken voor Cyrptocurrency-mijnbouw. )

Om de gebruikerservaring te beoordelen, heb ik een paar adblockers ingeschakeld, Salon bezocht en ermee ingestemd "advertenties te onderdrukken". Het lukte niet. De startpagina werd semi-opaak en niet klikbaar, zoals soms gebeurt wanneer een verplichte pop-up wordt verduisterd door een adblocker (een adblocker is een noodzakelijke voorwaarde om je aan te melden voor de cryptominer). Na wat gedoe - het soort dat me onder normale omstandigheden elders zou hebben laten rondsnuffelen - was ik monero aan het delven in ruil voor liberaal commentaar.

Ik zag geen advertenties, maar ik gebruikte natuurlijk advertentieblokkering. De pagina heeft constant bepaalde elementen opnieuw geladen, waardoor de tekst om de paar seconden wordt overgeslagen. Het was moeilijk te lezen. Een beetje achterdochtig telden de tellers van mijn ad-blockers tot 11 en 29, wat aangeeft dat verzoeken bij elke herlaadbeurt waren geblokkeerd.

Ik was ongetwijfeld aan het delven. Voordat de pagina werd bezocht, liet de activiteitenmonitor van mijn Macbook geen toepassing zien met meer dan 10% CPU. Tijdens mijn bezoek varieerde Chrome Helper van 50% of zo tot - op een gegeven moment - 320%. De energie-impact van Chrome liep ook op tot drievoudige cijfers; het gemiddelde over 12 uur is 46.

Een e-mail naar het PR-bedrijf van Salon waarin werd gevraagd naar de ervaring van de outlet met browsermining kreeg geen onmiddellijk antwoord. Dit artikel wordt bijgewerkt om de antwoorden van Salon weer te geven.

Kan browsermining werken?

Mijn korte ontmoeting met browsermining onthulde het soort hik dat typisch is voor bètaversies. Maar stroomverbruik is een obstakel dat kleine verbeteringen niet zullen oplossen. Bitcoin-mijnwerkers komen massaal naar Quebec omdat de elektriciteit goedkoop is. Om dezelfde reden gebruiken kapers mijnbouwers met behulp van browsers van bezoekers. Hoewel het moeilijk is om de monetaire impact van mijnbouw namens Salon te schatten, was de toename van het elektriciteitsverbruik duidelijk. Als een aanzienlijk deel van het web browsermining zou accepteren, zou het gebruik van internet duur kunnen worden.

Hetzelfde geldt voor hardwaregebruik. WannaMine presenteerde een dergelijk probleem omdat, zoals Panda het uitdrukte, "de manier waarop het probeert maximaal gebruik te maken van de processor en RAM de computer onder grote druk zet." Tenzij sites de eisen beperken die zij aan de computers van bezoekers stellen, zullen processen traag verlopen en hardware aanzienlijk sneller verslijten.

Nuzzi neemt deze problemen niet buiten beschouwing. "Als browser-gebaseerde mijnbouw iets wordt, zal er zeker misbruik zijn als het gaat om het aantal mijnwerkdraden dat de website verbruikt, " zei hij via e-mail. Aan de andere kant, "zoals advertenties, zullen er manieren zijn om die scrypt te blokkeren, dus websites moeten erachter komen wat het juiste evenwicht zou moeten zijn, anders zullen gebruikers stoppen met het bezoeken van de website of de mijnwerker blokkeren."

Wat het elektriciteitsverbruik betreft, heeft de hash-functie CryptoNight van monero een lichtere touch dan bijvoorbeeld de SHA-256 van bitcoin. Monero-mijnbouw "is geen groot probleem voor laptopgebruikers", zegt Nuzzi, maar "het beperkt zeer zeker enkele gebruikstoepassingen voor smartphones" met hun beperktere batterijcapaciteit.

Dan is er het risico dat de hash rate-wapenrace, waardoor CPU en zelfs GPU-mining van bitcoin en litecoin onrendabel zijn geworden, de browser mining-push blokkeert. De reden dat Coinhive en WannaMine monero gebruiken, is dat het een van de weinige cryptocurrencies is die met een CPU winstgevend kan worden gedolven. Zou monero, gezien de juiste economische prikkels, niet ook het slachtoffer kunnen worden van ASIC's, gespecialiseerde hardware die uitsluitend is ontworpen om hashfuncties zo snel mogelijk te doorlopen?

Nuzzi denkt van niet. Hij noemt CryptoNight "briljant ontworpen", voegt eraan toe dat het "Monero" kan worden gedolven met behulp van een verscheidenheid aan apparaten, waaronder smartphones, omdat de meerderheid van hen ten minste 2 GB RAM heeft, terwijl slechts 2 MB nodig is om een ​​CryptoNight-instantie te initiëren. to Scrypt (het consensusalgoritme van Litecoin), CryptoNight is veel beter bestand tegen circuitintegratie, waarmee ASIC's kunnen worden gebouwd. "

De ontwikkelaars van Monero hebben ook beloofd het algoritme te wijzigen als een ASIC wordt ontwikkeld. "Fabrikanten zoals Bitmain zouden nooit het R & D-budget toewijzen om een ​​Monero ASIC te ontwikkelen gezien dit risico", zegt Nuzzi. (Zie ook Bitcoin versus Litecoin: wat is het verschil? )

Lang achterstallig

Als cryptomining advertenties verplaatst als de primaire manier om geld te verdienen met online inhoud, zou dit de vervulling zijn van een van de eerste beloften van cryptocurrency.

Het argument dat bitcoin-microbetalingen aan sites het huidige model zouden kunnen verstoren, werd het slachtoffer van stijgende transactiekosten, maar er zijn andere pogingen gedaan met behulp van andere tokens, zoals het Basic Attention Token van de advertentie-blokkerende Brave-browser. Maar zolang het financieren van een portemonnee en het compenseren van sites waarvan u de advertenties blokkeert optioneel blijft - zoals in Brave - lijkt het onwaarschijnlijk dat sites sites de inkomsten zullen geven die ze nodig hebben. (Moedig, zo moet gezegd worden, ziet een plaats voor adverteerders op zijn platform.)

Er is geen garantie dat browsermining aanslaat, of dat het effect op gebruikersapparatuur en elektriciteitsrekeningen geen dealbreuk zal veroorzaken. Er is echter een kans dat irritante, opdringerige, soms schadelijke advertenties - of de programma's die u gebruikt om ze te blokkeren - onderweg zijn.

Investeren in cryptocurrencies en andere initiële muntaanbiedingen ("ICO's") is zeer riskant en speculatief, en dit artikel is geen aanbeveling van Investopedia of de schrijver om te investeren in cryptocurrencies of andere ICO's. Aangezien de situatie van elke persoon uniek is, moet een gekwalificeerde professional altijd worden geraadpleegd voordat hij financiële beslissingen neemt. Investopedia geeft geen verklaringen of garanties met betrekking tot de nauwkeurigheid of tijdigheid van de hierin opgenomen informatie. Vanaf de datum waarop dit artikel is geschreven, heeft de auteur geen positie in cryptocurrencies.