Atakujący zmodyfikowali plik JavaScript dostarczany przez firmę Adform, dostawcę technologii reklamowych. Zmieniony skrypt działał w przeglądarce i mógł podmieniać adresy portfeli kryptowalutowych na stronach korzystających z tego zasobu. Osoba, która 27 lipca 2026 roku odwiedziła taką stronę i skopiowała adres Bitcoin, Ethereum albo Tron, mogła po wklejeniu zobaczyć inny adres podstawiony przez kod. Podmiana dotyczyła także adresów wpisywanych bezpośrednio w pola formularzy.
Jak działała podmiana adresów
Kompromitowanym zasobem był plik trackpoint-async.js, używany jako wspólny element wdrożenia Adform. Dokumentacja firmy wskazuje, że taki kod może być uruchamiany na pojedynczej stronie, w wybranych sekcjach serwisu albo bezwarunkowo w całej witrynie. Przejęcie tego zasobu stworzyło drogę do oddziaływania na wiele niezależnych stron bez konieczności naruszania każdej z nich osobno. To sprawia, że incydent ma cechy ataku na łańcuch dostaw.
- Złośliwy kod był dodany do legalnej biblioteki JavaScript i zawierał dwa bloki odpowiedzialne za podmianę danych.
- Skrypt obserwował operacje kopiowania, wklejania i wpisywania, a także odczytywał zawartość wybranych pól oraz elementów edytowalnych.
- W kodzie znalazły się wzorce adresów Bitcoin, Ethereum i Tron, a adresy podstawiane przez atakujących mogły się zmieniać.
- Adform twierdzi, że kod nie instalował oprogramowania i nie utrzymywał działania po zamknięciu objętej strony.
Co wiadomo o zakresie incydentu
Adform poinformował, że wykrył zdarzenie 27 lipca, usunął złośliwy kod, powiadomił klientów oraz zgłosił incydent właściwym organom. Firma nie opublikowała jednak informacji o liczbie stron, które faktycznie dostarczyły zmodyfikowany plik, ani o liczbie narażonych odsłon. Dane z raportu rocznego Adform za 2025 rok, obejmujące około 1800 klientów, 1,5 miliarda reklam wyświetlanych dziennie i działalność w ponad 180 krajach, opisują skalę platformy, ale nie stanowią pomiaru tego incydentu.
Publiczna oś czasu pozostaje niepełna. Adform wskazuje 27 lipca jako dzień objęty zdarzeniem, natomiast niezależny badacz Kevin Beaumont informował o aktywności powiązanej z Adform obserwowanej w ciągu wcześniejszego tygodnia. Max Maass opublikował 27 lipca przechwyconą kopię skryptu. Nie ustalono, w jaki sposób atakujący uzyskali dostęp do ścieżki wdrożeniowej, ile transferów mogło zostać przekierowanych ani czy w ogóle doszło do utraty środków. Adform nie wskazał publicznie sprawców.
Zalecenia dla użytkowników
Adform zalecił wyczyszczenie pamięci podręcznej przeglądarki, ponieważ zmodyfikowany plik mógł pozostać zapisany lokalnie po usunięciu go z serwera. Użytkownicy, którzy 27 lipca odwiedzali strony korzystające z Adform i wykonywali transfery kryptowalut, powinni przed wysłaniem środków dokładnie sprawdzić cały adres odbiorcy. Samo ponowne kopiowanie nie musiało rozwiązać problemu, ponieważ badacze opisali mechanizmy, które ponawiały podmianę podczas kolejnych operacji na stronie.
Adform przekazał, że nie znalazł dowodów na przesyłanie adresów IP odwiedzających ani informacji o odwiedzanych przez nich stronach. Jednocześnie firma zaznaczyła, że analiza techniczna wskazuje na możliwość takiej transmisji. Przechwycona próbka zawierała próbę połączenia z zewnętrznym serwerem, do którego miały trafić nazwa hosta i ścieżka odwiedzanej strony, ale nie ustalono, czy żądanie dotarło do operatorów kampanii. W chwili opisu plik oraz powiązane adresy nie były wykrywane przez VirusTotal, a publiczny komunikat Adform nie zawierał listy wskaźników kompromitacji.
