黑客投毒 Adform 脚本，在客户网站上替换加密货币钱包地址

攻击者修改了广告技术公司 Adform 提供的一个 JavaScript 文件，将其变成一个浏览器端工具，用于重写加密货币钱包地址。
Adform 于 2026 年 7 月 27 日检测到该事件，移除了恶意代码，通知了受影响的客户，并向当局报告。
任何在 7 月 27 日访问过加载受影响脚本的网站，并复制了比特币、以太坊或波场（Tron）地址的人，可能粘贴的是恶意代码插入的不同地址。
Adform 建议用户清除浏览器缓存，因为修复后修改过的文件可能仍保留在缓存中，并在发送资金前检查钱包地址。
Adform 表示，该代码并非设计用于安装软件或建立持久性，仅在受影响的页面保持打开时运行。捕获的样本还会重写直接输入到表单字段中的地址，因此剪贴板复制并非被替换的唯一途径。
公开的时间线尚未明确。Adform 的通知将 7 月 27 日确定为受影响日期；Kevin Beaumont 表示，他在过去一周通过 Adform 观察到了恶意活动。
被入侵的资源是 trackpoint-async.js，从 s2.adform[.]net 提供。Adform 的实施文档称，该跟踪代码可以在一页、多个区块或整个网站上无条件运行。入侵这一共享资源使攻击者能够进入不相关的下游网站，而无需逐一攻破每个网站。共享的部署路径使其构成供应链攻击。
在受影响的页面保持打开期间，支付点的一个被篡改地址就可能将转账重定向。
独立安全研究员 Beaumont 披露了这一入侵事件，并写道："即使你注意到地址有误并重新复制钱包，它也会持续替换。"Beaumont 报告称，该文件及其相关 URL、域名和 IP 地址当时在 VirusTotal 上未返回任何检测结果。Max Maass 于 7 月 27 日发布了该脚本的捕获副本。
捕获的样本包含附加到合法库中的两个恶意代码块。它们的替换字符串使用六字节 XOR 密钥进行混淆。第一个块监听复制事件，每四秒尝试读取剪贴板，并替换匹配的地址。
它还在页面加载时尝试向 84.32.102[.]230:7744 发起 HTTP 请求，其中包含访问者所在页面的主机名和路径。
第二个块遍历文档的文本节点，重写 input、textarea 和 contenteditable 元素中的值，并在重写后恢复光标位置。它挂接了 input 和 textarea 元素的值设置器，因此程序化写入会在传输过程中被重写。
它还拦截复制、剪切、粘贴和输入事件。两个代码块都包含针对比特币、以太坊和波场地址模式的硬编码替换字符串，Beaumont 表示这些地址似乎各不相同。
Adform 表示，未发现代码传输访问者 IP 地址或其访问网站信息的证据。它在其事件通知中补充道："技术分析表明，此类传输可能是可能的。"第一个恶意负载的请求旨在将页面主机名和路径发送到外部服务器；样本中并未确认该请求是否到达了操作者手中。
大部分范围仍然缺失：有多少网站加载了该文件，多少访问者受到影响，攻击者如何进入 Adform 的部署路径，以及是否有资金被转移。持续时间上的差异也使得无法做出可靠的暴露评估，因为 Adform 关于 7 月 27 日受影响日期的声明与 Beaumont 更长时间的观察仍未得到统一。Adform 的公开事件通知未列出任何入侵指标。
Adform 的 2025 年年度报告称，该公司拥有约 1,800 名客户，每天支持展示 15 亿条广告，并在 2025 年期间在 180 多个国家提供或交易广告。
这些数字描述的是平台，而非此事件。更有用的数字是实际收到被篡改资源的页面加载次数，而 Adform 尚未公布这一数字。Adform 尚未公开确定攻击者身份。