Lieferkettenangriff auf Adform Kapert Krypto-Wallet-Adressen

Ein Lieferkettenangriff auf das Adtech-Unternehmen Adform setzte Besucher von Websites dem Diebstahl von Kryptowährungen über ein kompromittiertes Tracking-Skript aus. Der Schadcode überwachte kopierte Krypto-Wallet-Adressen und ersetzte sie durch Wallet-Adressen, die von den Angreifern kontrolliert wurden.

Kompromittiertes Adform-Skript zielte auf Kryptozahlungen ab

Der Sicherheitsforscher Kevin Beaumont entdeckte die bösartige Aktivität in trackpoint-async.js, einer JavaScript-Tracking-Datei von Adform, die über s2.adform.net ausgeliefert wurde.

Das Skript ist auf Websites eingebunden, die die Werbeplattform von Adform nutzen. Nachdem es im Browser eines Besuchers geladen wurde, überwachte der manipulierte Code die Zwischenablage auf Wallet-Adressen für Bitcoin, Ethereum und TRON.

Wurde eine passende Adresse gefunden, ersetzte das Skript sie durch eine Wallet-Adresse der Angreifer. Nutzer, die eine Krypto-Wallet-Adresse für eine Zahlung einfügten, konnten ihre Kryptowährungen dadurch unbemerkt an Cyberkriminelle senden.

Schadcode änderte auch Wallet-Adressen auf Webseiten

Der Lieferkettenangriff auf Adform beschränkte sich nicht auf die Zwischenablage. Analysen ergaben, dass der eingeschleuste Schadcode auch Krypto-Wallet-Adressen verändern konnte, die direkt auf einer betroffenen Webseite angezeigt wurden.

Dadurch konnten Besucher die Wallet-Adresse der Angreifer statt der eigentlichen Empfängeradresse sehen. Der Schadcode wurde in verschleierter Form an das Ende der legitimen Tracking-Bibliothek angehängt.

Forscher entdeckten außerdem weitere von Adform gehostete Skripte, die mit einem von den Angreifern kontrollierten Server kommunizierten. Diese Skripte übermittelten Berichten zufolge Informationen wie die IP-Adresse des Besuchers, die verweisende Website und den Seitenpfad.

Adform entfernte den Schadcode

Adform teilte mit, dass das Unternehmen am 27. Juli verdächtige Aktivitäten festgestellt und anschließend die Cybersicherheitsbedrohung entdeckt habe.

Der Schadcode wurde entfernt, und das Unternehmen ergriff zusätzliche Maßnahmen, um Besucher, Kunden und die eigene Plattform zu schützen.

Nach Angaben von Adform war der Code nicht dafür ausgelegt, Software zu installieren oder dauerhaft auf einem Gerät aktiv zu bleiben. Er funktionierte ausschließlich, solange eine betroffene Webseite geöffnet war.

Das Unternehmen erklärte, seine Dienste seien inzwischen wieder sicher nutzbar, auch wenn die Untersuchung noch andauere. Adform hat zudem betroffene Kunden kontaktiert und Handlungsempfehlungen ausgesprochen.

Besucher sollten Browser-Cookies löschen

Die bösartige Aktivität könnte etwa eine Woche lang aktiv gewesen sein, bevor sie entdeckt wurde. Die älteste archivierte Probe wurde Berichten zufolge am 26. Juli um 23:29 Uhr GMT erfasst.

Personen, die am 27. Juli 2026 Websites mit der betroffenen Adform-Technologie besucht haben, sollten nach Angaben des Unternehmens die Cookies ihres Browsers löschen. Nutzer werden außerdem aufgefordert, Krypto-Wallet-Adressen vor jeder Überweisung sorgfältig zu überprüfen.