Swati Khandelwal2026年8月1日Webセキュリティ / サプライチェーン攻撃

攻撃者が広告技術会社Adformが提供するJavaScriptファイルを改ざんし、ブラウザ側で暗号通貨ウォレットアドレスを書き換えるツールに変えた。

Adformは2026年7月27日にこのインシデントを検知し、悪意のあるコードを削除し、影響を受けたクライアントに通知し、当局に報告した。

7月27日に影響を受けたスクリプトを含むサイトを訪問し、ビットコイン、イーサリアム、またはトロンのアドレスをコピーした人は、悪意のあるコードによって挿入された別のアドレスを貼り付けた可能性がある。

Adformは、修正後も改ざんされたファイルがキャッシュに残る可能性があるため、ブラウザのキャッシュをクリアするよう人々に呼びかけ、資金を送金する前にウォレットアドレスを確認するよう促している。

Adformによると、このコードはソフトウェアをインストールしたり永続性を確立したりするよう設計されておらず、影響を受けたページが開いている間のみ動作した。キャプチャされたサンプルは、フォームフィールドに直接入力されたアドレスも書き換えるため、クリップボードのコピーが置き換えの唯一の経路ではなかった。

Cybersecurity

公開されたタイムラインは未解決である。Adformの通知は7月27日を影響を受けた日付として特定しているが、Kevin Beaumontは過去1週間にAdform経由で悪意のある活動を目撃したと述べている。

侵害されたリソースはs2.adform[.]netから配信されるtrackpoint-async.jsである。Adformの実装ドキュメントによると、このトラッキングコードは1つのページ、複数のセクション、またはウェブサイト全体で無条件に実行できる。この共有リソースを侵害することで、攻撃者は各サイトを個別に侵害することなく、無関係な下流サイトへの侵入経路を得た。この共有展開パスにより、サプライチェーン侵害となった。

影響を受けたページが開いている間、支払い時点で1つのアドレスが改ざんされるだけで送金がリダイレクトされる可能性があった。

独立系セキュリティ研究者のBeaumontはこの侵害を公表し、「アドレスが間違っていることに気づいてウォレットを再コピーしても、置き換えが続く」と記した。Beaumontは、当時このファイルと関連URL、ドメイン、IPアドレスがVirusTotalで検知されなかったと報告した。Max Maassは7月27日にスクリプトのキャプチャされたコピーを公開した。

キャプチャされたサンプルには、正規ライブラリに追加された2つの悪意のあるブロックが含まれている。置き換え文字列は6バイトのXORキーで難読化されている。1つ目はコピーイベントを監視し、4秒ごとにクリップボードを読み取って一致するアドレスを置き換えようとする。

また、ページ読み込み時に84.32.102[.]230:7744へのHTTPリクエストを試み、訪問者がいるページのホスト名とパスを含める。

2つ目のブロックはドキュメントのテキストノードを走査し、input、textarea、contenteditable要素の値を書き換え、書き換え後にカーソル位置を復元する。inputおよびtextarea要素の値セッターをフックするため、プログラムによる書き込みも転送中に書き換えられる。

また、コピー、カット、ペースト、入力イベントを傍受する。両ブロックにはビットコイン、イーサリアム、トロンのアドレスパターン用のハードコードされた置き換え文字列が含まれており、Beaumontはアドレスが異なるように見えたと述べた。

Cybersecurity

Adformは、訪問者のIPアドレスや訪問したウェブサイトに関する情報をコードが送信した証拠は見つからなかったと述べている。インシデント通知で、「技術分析では、そのような送信が可能であった可能性がある」と付け加えた。最初のペイロードのリクエストは、ページのホスト名とパスを外部サーバーに送信するよう構築されているが、サンプルでは運用者に届いたかどうかは確認されていない。

ほとんどの範囲はまだ不明である。ファイルを含んでいたウェブサイトの数、露出した訪問者の数、攻撃者がAdformの展開パスに到達した方法、資金が流用されたかどうかである。期間のギャップも、Adformの7月27日の影響日付の声明とBeaumontのより長い観察が一致していないため、防御可能な露出推定を妨げている。Adformの公開インシデント通知には、侵害の兆候はリストされていない。

Adformの2025年年次報告書によると、同社は約1,800の顧客を抱え、2025年に毎日15億件の広告を表示可能にし、180カ国以上で広告を配信または取引した。

これらの数字はプラットフォームを説明するものであり、このインシデントを説明するものではない。より有用な数字は、実際に改ざんされたリソースを受け取ったページロードの数であり、Adformはこれを公表していない。Adformは攻撃者を公に特定していない。

この記事が興味深かったら、Google News、Twitter、LinkedInでフォローして、投稿する独占コンテンツをもっと読んでください。