Hackers alteraram um arquivo JavaScript distribuído pela empresa de tecnologia em publicidade Adform e o transformaram em uma ferramenta do lado do navegador capaz de reescrever endereços de carteiras de criptomoedas.
A Adform detectou o incidente em 27 de julho de 2026, removeu o código malicioso, notificou os clientes afetados e comunicou o caso às autoridades.
Qualquer pessoa que tenha acessado um site que carregava o script comprometido em 27 de julho e copiado um endereço de Bitcoin, Ethereum ou Tron pode ter colado, sem perceber, um endereço diferente inserido pelo código malicioso. A empresa orienta os usuários a limpar o cache do navegador, já que o arquivo alterado pode continuar armazenado localmente mesmo após a correção, e recomenda verificar qualquer endereço de carteira antes de enviar fundos.
A Adform afirmou que o código não foi projetado para instalar software nem para manter persistência e que só funcionava enquanto a página afetada permanecesse aberta.
O recurso comprometido é o trackpoint-async.js, distribuído a partir de s2.adform[.]net. A documentação de implementação da Adform informa que o código de rastreamento pode rodar em uma página, em várias seções ou de forma contínua em todo o site. Ao comprometer esse recurso compartilhado, os hackers ganharam uma porta de entrada para sites downstream sem precisar invadir cada um separadamente, em um modelo de implantação que caracteriza um comprometimento da supply chain.
Segundo o pesquisador independente de segurança Kevin Beaumont, a atividade maliciosa se originava do arquivo “trackpoint-async.js”, um script JavaScript de rastreamento da Adform servido a partir de “s2.adform.net” e incorporado em sites que usam a plataforma de anúncios. Ele afirmou que o JavaScript trojanizado monitora continuamente a área de transferência dos usuários e, quando detecta endereços de carteiras Bitcoin, Ethereum ou TRON, os troca por endereços controlados pelo atacante para redirecionar pagamentos em criptomoedas.
“Isso permite que dispositivos de usuários finais de sites downstream sejam comprometidos com malware para roubo de criptomoedas. Ou seja, se você visita example.com e eles usam Adform, o example.com vai comprometer seu dispositivo”, explicou Beaumont.
O pesquisador também observou outros scripts maliciosos hospedados pela Adform se comunicando com um servidor controlado pelo atacante em 84.32.102[.]230:7744, enviando o endereço IP da vítima, o site de origem e o caminho da URL. Em sua análise, porém, Beaumont informou que o arquivo e seus URLs, domínios e endereços IP associados não apresentavam detecções no VirusTotal.
Uma análise sobre uma amostra armazenada no Archive.org também confirmou que um payload de execução automática havia sido injetado na biblioteca de rastreamento da Adform hospedada na infraestrutura da empresa. O código malicioso foi anexado em formato ofuscado ao final da biblioteca legítima e incluía uma função que substituía qualquer string que correspondesse ao formato de um endereço de carteira de criptoativos.
Além de sequestrar o conteúdo da área de transferência, a amostra capturada também reescrevia endereços digitados diretamente em campos de formulário, o que indica que a cópia pela área de transferência não era o único caminho para a substituição. O segundo bloco malicioso percorria os nós de texto do documento, reescrevia valores em elementos input, textarea e contenteditable, restaurava a posição do cursor após a alteração e interceptava eventos de copy, cut, paste e input. Ele também interceptava o setter de value em elementos input e textarea, de modo que gravações programáticas eram reescritas em trânsito.
As strings de substituição foram ofuscadas com uma chave XOR de seis bytes, e ambos os blocos continham strings hardcoded para padrões de endereços de Bitcoin, Ethereum e Tron. Beaumont afirmou que os endereços pareciam variar. Ele também compartilhou uma amostra do script malicioso no Pastebin para análise por engenheiros de segurança, e Max Maass publicou uma cópia capturada do script em 27 de julho.
Segundo Beaumont, a atividade maliciosa distribuída pela Adform vinha ocorrendo há uma semana sem ser detectada. A amostra mais antiga encontrada estava no snapshot do Archive.org de 26 de julho, registrado às 23:29:03 GMT.
A Adform confirmou a atividade suspeita detectada em 27 de julho e afirmou ter encontrado uma “ameaça de cibersegurança”. A empresa disse ter removido o código malicioso, adotado “medidas adicionais para proteger os visitantes dos sites, nossos clientes e a plataforma Adform” e informado os clientes afetados por meio de comunicações dedicadas, com orientações e ações recomendadas. A companhia também comunicou o caso às autoridades.
No aviso do incidente, a Adform afirmou não ter encontrado evidências de que o código tenha transmitido os IPs dos visitantes ou informações sobre os sites acessados, embora tenha acrescentado que a análise técnica indica que essa transmissão pode ter sido possível. A requisição do primeiro payload foi construída para enviar o hostname e o caminho da página a um servidor externo, mas a amostra não comprova se isso chegou ao operador.
A empresa diz que seus serviços já estão seguros para uso, mas a investigação ainda continua. Ainda faltam dados essenciais para dimensionar o caso: quantos sites carregavam o arquivo, quantos visitantes foram expostos, como os atacantes alcançaram o caminho de implantação da Adform e se algum valor foi desviado.
A diferença entre as janelas de tempo também impede uma estimativa confiável da exposição, já que o comunicado da Adform aponta 27 de julho como a data afetada, enquanto Beaumont afirma ter observado atividade maliciosa envolvendo a Adform ao longo da semana anterior. A empresa não identificou publicamente o autor do ataque.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...