La popolarità di Coinhive è esplosa grazie alla decisione di The Pirate Bay di attivare un minatore in secondo piano. Centinaia di portali hanno deciso di seguire la stessa strada, sia in modo legittimo o coprendo completamente le proprie intenzioni. Tuttavia, i responsabili del servizio hanno imparato a proprie spese che devono rafforzare la sicurezza. Un attaccante è riuscito ad accedere al provider DNS di Coinhive usando una vecchia password che non è mai stata cambiata, e ha reindirizzato gli hash a un server privato per un periodo di sei ore. Non si sa quanto denaro abbia rubato.
L'adozione di servizi online ha i suoi rischi. Un errore di sicurezza da parte degli amministratori e sul Web compaiono milioni di password filtrate. Uno degli esempi più recenti e impressionanti è l'attacco a Yahoo!. Tutti gli account del provider sono stati compromessi, e la cosa peggiore è che gli utenti lo hanno scoperto diversi anni dopo. Fondamentalmente nessun servizio è al sicuro, e questo include la nuova generazione di minatori JavaScript. La vittima di turno è Coinhive, scelto da portali come The Pirate Bay per ottenere Monero.
Nella notte del 23 ottobre, i responsabili di Coinhive hanno rilevato un accesso non autorizzato all'account del loro provider DNS, CloudFlare. L'attaccante ha manipolato i registri del dominio coinhive.com, con l'obiettivo di reindirizzare tutte le richieste di «coinhive.min.js» a un server esterno. Quel server conteneva una versione dannosa del file JavaScript che in sostanza ha abilitato il furto di hash per un periodo di sei ore. Come è entrato l'hacker in Cloudflare? Molto semplice: gli amministratori di Coinhive hanno riutilizzato le stesse credenziali che erano state filtrate nell'attacco a Kickstarter un paio di anni fa. Le password di quella fuga erano cifrate, quindi l'ipotesi punta a una password particolarmente debole e vulnerabile a un processo di forza bruta.
Coinhive insiste sul fatto che non sono stati rubati dati personali, e il prossimo passo è implementare un sistema di compensazione per gli utenti colpiti, emettendo un credito di 12 ore basato sulla media del loro hashrate giornaliero. Forse sarà sufficiente, ma non ci sono più dubbi: I minatori online sono un bersaglio.
