Die Beliebtheit von Coinhive explodierte dank der Entscheidung von The Pirate Bay, einen Miner im Hintergrund zu aktivieren. Hunderte Portale entschieden sich, denselben Weg zu gehen, sei es auf legitime Weise oder indem sie ihre Absichten vollständig verschleierten. Die Verantwortlichen des Dienstes haben jedoch auf die harte Tour gelernt, dass sie ihre Sicherheit verstärken müssen. Ein Angreifer schaffte es, in den DNS-Anbieter von Coinhive einzudringen, indem er ein altes Passwort verwendete, das nie geändert wurde, und leitete Hashes für einen Zeitraum von sechs Stunden auf einen privaten Server um. Es ist nicht bekannt, wie viel Geld er gestohlen hat.
Die Einführung von Online-Diensten birgt Risiken. Ein Sicherheitsfehler seitens der Administratoren, und im Web tauchen Millionen geleakter Passwörter auf. Eines der jüngsten und deutlichsten Beispiele ist der Angriff auf Yahoo!. Alle Konten des Anbieters wurden kompromittiert, und das Schlimmste ist, dass die Nutzer erst Jahre später davon erfuhren. Grundsätzlich ist kein Dienst sicher, und das schließt die neue Generation von JavaScript-Minern ein. Das nächste Opfer ist Coinhive, das von Portalen wie The Pirate Bay ausgewählt wurde, um Monero zu erhalten.
In der Nacht zum 23. Oktober entdeckten die Verantwortlichen von Coinhive einen unbefugten Zugriff auf das Konto ihres DNS-Anbieters CloudFlare. Der Angreifer manipulierte die DNS-Einträge der Domäne coinhive.com, um alle Anfragen für coinhive.min.js auf einen externen Server umzuleiten. Dieser Server enthielt eine bösartige Version der JavaScript-Datei, die im Wesentlichen den Diebstahl von Hashes für einen Zeitraum von sechs Stunden ermöglichte. Wie kam der Hacker in Cloudflare? Ganz einfach: Die Administratoren von Coinhive verwendeten dieselben Anmeldedaten wieder, die beim Angriff auf Kickstarter vor ein paar Jahren geleakt wurden. Die Passwörter dieser Leckage waren verschlüsselt, daher deutet die Hypothese auf ein besonders schwaches Passwort hin, das anfällig für einen Brute-Force-Angriff ist.
Coinhive besteht darauf, dass keine persönlichen Daten gestohlen wurden, und der nächste Schritt ist die Einführung eines Entschädigungssystems für betroffene Nutzer, indem ein Guthaben von 12 Stunden basierend auf dem Durchschnitt ihrer täglichen Hashrate ausgegeben wird. Das mag ausreichen, aber es besteht kein Zweifel mehr: Online-Miner sind ein Ziel.
