MacAppStoreで公開されていた「Calendar 2」というアプリに仮想通貨のマイニング機能が故意に追加されAppleの審査を通過。

　MacAppStoreで公開されていた「Calendar 2」というカレンダーアプリに仮想通貨のマイニング機能が故意に追加され審査を通過していたそうです。詳細は以下から。

　Ars Technicaによると、ニューヨークのQbixというソフトウエア会社が開発＆Mac App Storeで販売している「Calendar 2」というカレンダーアプリに、全ての機能をUnlockするための内部課金手法に加え、

The app is Calendar 2, a scheduling app that aims to include more features than the Calendar app that Apple bundles with macOS. In recent days, Calendar 2 developer Qbix endowed it with code that mines the digital coin known as Monero.

There’s a currency miner in the Mac App Store, and Apple seems OK with it – Ars Technica

仮想通貨MoneroのマイニングをユーザーのMacで行うことで、Calendar 2アプリの全ての機能を利用できるようにするオプションが追加されていたことが発見され、話題になっているそうです。

　このオプションはCalendar 2アプリの開発者Gregory Magarshakさんによって故意に追加されAppleのレビューを通過したそうですが、その後このマイニング機能が勝手に動作してしまう不具合が発見され、MagarshakさんはCalendar 2アプリの公開を中止したそうですが、

Arsは、マイニング機能を搭載したアプリがApp Storeの利用規約およびサービスに違反していないのかAppleにコメントを求めているそうですが、現在のところAppleから返事はなく、Objective-SeeのPatrickさんはCalendar 2アプリにフレームワーク(Coinstash_XMRSTAK.framework)が隠され、xmr-stakというプロセスがマイニングをし、”greg@qbix.com”へMonero(XMR)を送っていたと指摘しており、

Ok, so it’s pretty clear that, although Apple claims to thoroughly vet all applications submitted to the Mac App Store, the Calendar 2 application possesses “hidden” cryptocurrency mining capabilities! Let’s now take a closer look at exactly how it may take over your CPU to mine monero (XMR).

A Surreptitious Cryptocurrency Miner in the Mac App Store? – Objective-See

これはアプリ内で明文化されていてもApp Storeの利用規約およびサービスに触れる可能性が高く、違反していなくてもユーザーの反感を買うだろうとコメントしています。

Update

　今回の騒動に対し、Calendar 2を開発しているQbix AppsのMagarshakさんは有償アップグレードの1つの方法として仮想通貨Moneroのマイニング機能を故意に追加したことを認め、今後のアップデートで削除すると発表しているので、ユーザーの方はアップデートがあるまでアプリを利用しない事をお勧めします。

We have decided to REMOVE the miner in the app. The next version will remove the option to get free features via mining. This is for three reasons:

1. The company which provided us the miner library did not disclose its source code, and it would take too long for them to fix the root cause of the CPU issue.
2. The rollout had a perfect storm of bugs which made it seem like our company *wanted* to mine crypto-currency without people’s permission, and that goes against our whole ethos and vision for Qbix.
3. My own personal feeling that Proof of Work has a dangerous set of incentives which can lead to electricity waste on a global scale we’ve never seen before. We don’t want to get sucked into this set of incentives, and hopefully our decision to ultimately remove the miner will set some sort of precedent for other apps as well.

Ultimately, even though we technically could have remedied the situation and continued on benefiting from the pretty large income such a miner generates, we took the above as a sign that we should get out of the “mining business” before we get sucked into the Proof of Work morass of incentives.

There’s a currency miner in the Mac App Store, and Apple seems OK with it – Ars Technica

• Calendar 2 – Qbix, Inc.が公開されていたURL

https://itunes.apple.com/us/app/calendar-2/id415181149?mt=12

itunes.apple.com

• A Surreptitious Cryptocurrency Miner in the Mac App Store? – Objective-See
• There’s a currency miner in the Mac App Store, and Apple seems OK with it – Ars Technica
• Apple、MRTをv1.29へアップデートし感染したMacで仮想通貨のマイニングを行うマルウェア「OSX.MudMiner.A」を削除。