Le cryptojacking est une méthode qui permet de miner des cryptomonnaies en utilisant les ressources de votre ordinateur secrètement. Une technique qui a été popularisée en septembre 2017 par le projet communautaire CoinHive. Ce projet permet d’intégrer un script JavaScript à son site web. Le script va alors miner une cyptomonnaie, Monero, sur les ordinateurs des visiteurs. Le but ? Proposer une nouvelle forme de monétisation des audiences.
À l’origine, un projet : CoinHive
Le boom des cryptomonnaies, notamment le bitcoin, a entraîné un besoin croissant de puissance de minage. Si on assiste désormais à l’ouverture de fermes de minage – des fermes de serveurs dédiées au minage -, aux débuts de la cryptomonnaie, les mineurs étaient des particuliers utilisant leur PC.
C’est ce principe que veut reprendre CoinHive en permettant de miner la cryptomonnaie Monero via les ordinateurs d’internautes. Les fondateurs de ce projet offrent à la base une technologie qui semble gagnante-gagnante. Elle diminue drastiquement les coûts de minage pour Monero et monétise, en Monero, l’audience des sites web. Sachant que cette cryptomonnaie vaut environ 330$, le gain est séduisant.
Un minage qui opère en secret
Le principal problème de CoinHive est que le script généré ne nécessite pas que l’internaute donne son accord pour miner, d’où la notion de « cryptojacking ». Ainsi, fin octobre, on dénombrait 500 millions d’internautes qui auraient miner sans le savoir des cryptomonnaies[1]. De nombreux sites ont été séduits par cette offre qui se veut être une vraie alternative à la publicité. Pourtant, quasiment aucun ne notifiait ses utilisateurs qu’ils allaient miner de la cryptomonnaie.
Or, le minage requiert énormément de puissance. Selon la formule choisie par l’hébergeur du site, le minage peut utiliser une partie ou la totalité des capacités du processeur. Conséquence pour l’internaute : un ralentissement notable des capacités de l’ordinateur et une surconsommation électrique. On comprend donc bien l’avantage pour Monero, aucun coût d’électricité et aucun investissement dans des serveurs. Un système très malin pour les cryptomonnaies mais plus que dérangeant pour les internautes, d’autant que les sites utilisant ces scripts sont parmi les plus visités. À ce jour, il y aurait plus de 2500 sites [2] qui utiliserait les scripts de CoinHive.
ThePirateBay, une phase de test mitigée
Parmi les hébergeurs épinglés figurent ThePirateBay, un tracker de BitTorrent, qui a testé le script durant 24 heures sur son site et s’est attiré les foudres des internautes. En cause, une « coquille » dans le script qui a utilisé toute la capacité du processeur des internautes au lieu de 20 à 30%, ce qui a donc considérablement ralenti les ordinateurs.
Le site a ainsi dû s’expliquer :
« Comme vous avez pu le constater, nous testons un mineur Javascript Monero. C’est uniquement un test. Nous voulons vraiment nous débarrasser de toutes ces pubs. Mais nous avons également besoin de suffisamment d’argent pour maintenir le site. Dites-nous ce que vous en pensez. Est-ce que vous voulez voir des pubs ou donner quelques cycles de CPU chaque fois que vous visitez le site ? » – ThePirateBay
Il semblerait finalement que les internautes soient prêts à concéder un peu de leur performance pour éviter les publicités, mais cela une fois qu’ils ont été mis au courant.
Et l’internaute dans tout ça ?
Soulevant de nombreuses critiques, CoinHive a très vite été contré avec des extensions pour navigateur telles que No Coin ou Coin-Hive blocker. Ces extensions, une fois activées, empêchent le démarrage du script. AdBlockPlus a également ajouté une fonctionnalité permettant de bloquer ces scripts. Au vu de ces nombreuses tentatives de protection, CoinHive a décidé de mettre en place une alternative à son script initial avec AuthedMine. Ce script nécessite l’accord de l’internaute pour démarrer : il n’y a pas de démarrage de script sans opt-in. Un premier pas mais qui n’empêche pas l’utilisation du script initial.
Le problème que pose ce script est plus large que le seul minage en sous-marin. En effet, il attire également l’attention des concepteurs de malwares. Il a notamment été intégré à des pages pop-up malveillantes mais aussi à des sites web sans l’accord des propriétaires du site. Au vu des sommes d’argent que le minage peut rapporter, il n’est pas étonnant que le dispositif séduise également les pirates. Ainsi, fin octobre, des pirates ont réussi à détourner pendant plusieurs heures la puissance de calcul et ont généré beaucoup d’argent sur le dos des utilisateurs, consentants ou non, de CoinHive. Se pose alors la question du futur de ce dispositif qui en plus d’être contraignant pour les internautes, pourrait facilement devenir l’arme de pirates.
Sources :
[1] https://www.zataz.com/cryptojacking-cryptomonnaie-miner/
