O site Portal Cidadão.SP, do governo de São Paulo, foi flagrado na quinta-feira (9) minerando moedas digitais no computador de visitantes, de acordo com denúncia de Felipe Hoffa, desenvolvedor do Google, no Twitter.
Ao visitar o site, usuários podem sentir lentidão na máquina e não recebem qualquer tipo de aviso da prática, o que pode gerar aumento na conta de energia enquanto o domínio ganha algumas frações de moedas digitais.
Contatada, a assessoria de imprensa do governo informou que “o Portal Cidadão.SP segue operando normalmente. Em razão de uma falha pontual já superada, o código-fonte da referida página foi atualizado. A medida não resultou em prejuízos à prestação de serviço população”.
Desenvolvedores independentes constataram que, pela maneira como o código foi inserido na página, é bastante provável que tenha sido fruto de um ataque intencional. Um deles, identificado apenas como Guilherme no Twitter, afirmou ter alertado a Coinhive, empresa que fornece a solução de mineração para sites, do local inusitado em que o código foi encontrado.
A Coinhive respondeu que encerrou a conta por violação dos termos de serviço, o que reforça a hipótese de que foi um ataque, não uma ação intencional de alguém de dentro do governo.
Acessado pela reportagem na manhã desta sexta-feira (10), o site de fato já não apresentada o código responsável pela mineração, nem lentidão excessiva.
Epidemia
Um grupo de desenvolvedores criou um sistema de detecção de sites usando a técnica e constatou que mais de 1000 sites estão usando o sistema da Coinhive. No Brasil, o site de notícias Jornalivres, ligado ao Movimento Brasil Livre (MBL), foi flagrado fazendo uso da técnica. A exemplo do Portal do Cidadão do governo de São Paulo, nele também já não se nota a presença do código.
Proteja-se
Existem algumas maneiras de bloquear o código da Coinhive. A extensão No Coin, para Chrome, faz exatamente (e apenas) isso. Após instalada, ela bloqueia o código da Coinhive e promete ser atualizada caso algum outro serviço do tipo apareça. Por ter o código aberto e ser auditada por outros desenvolvedores, há alguma garantia de que a extensão se manterá fiel ao seu propósito.
Outra alternativa, mais direcionada, é colocar o código da Coinhive e outros relacionados em uma lista negra em extensões que bloqueiam conteúdo, como os bloqueadores de anúncios. Esta é uma das mais completas e atualizada com frequência; basta inseri-la na lista de elementos bloqueados de uma extensão de bloqueio de conteúdo para que o problema não se manifeste. Extensões como Adblock Plus e 1Blocker oferecem suporte a inserções de bloqueios por parte do usuário e outras, caso da Ublock Origin, já incorporaram o bloqueio à lista oficial.
