Kopiujesz adres portfela, wklejasz go w oknie przelewu i wysyłasz pieniądze pod inny adres niż ten, który skopiowałeś. Tak działał kod dopisany do jednej z bibliotek firmy Adform, dużego dostawcy technologii reklamowej. Plik trackpoint-async.js był serwowany z jej własnej sieci dostarczania treści, więc przeglądarka nie miała powodu go podejrzewać. Według oświadczenia Adform, cytowanego przez serwisy o bezpieczeństwie, firma wykryła incydent 27 lipca, usunęła kod, powiadomiła klientów i zgłosiła sprawę służbom. To trzeci w ciągu tygodnia opisywany atak na łańcuch dostaw. Napastnicy weszli nie przez ofiarę, tylko przez jej dostawcę.
Co robił dopisany kod
Do legalnej biblioteki dołożono dwa bloki kodu. Pierwszy co cztery sekundy sprawdzał zawartość schowka. Jeśli znalazł tam ciąg wyglądający jak adres portfela Bitcoina, Ethereum albo Trona, podmieniał go na adres napastnika. Drugi robił to samo w polach formularzy i w elementach strony, które da się edytować.
Mechanizm jest brzydki właśnie dlatego, że jest banalny. Cała sztuczka opiera się na jednej czynności, której przy przelewie w kryptowalutach prawie nikt nie wykonuje. Nikt nie porównuje wklejonego adresu ze skopiowanym, bo adres portfela to długi ciąg przypadkowych znaków. Analiza techniczna opisuje też próby łączenia się z zewnętrznym serwerem i przesyłania mu nazw odwiedzanych domen.
Nazwa pliku wygląda na fragment systemu pomiaru skuteczności reklam, bo nim była. Skrypty tego typu ładują się na stronach wydawców po to, żeby policzyć wyświetlenia i kliknięcia. Odwiedzający nie ma jak ich odróżnić od reszty strony i nie ma nad nimi żadnej kontroli.
Czego Adform nie podał
Nie wiadomo, ile stron faktycznie serwowało skażony plik, ilu odwiedzających go pobrało ani ile pieniędzy przepadło. Firma tych liczb nie podała, a badacze ich nie oszacowali. Sama notatka bezpieczeństwa Adform nie jest dziś dostępna pod publicznym adresem, więc jej treść znamy z cytatów w relacjach branżowych.
Rozbieżność w osi czasu, której nikt nie wyjaśnił
Adform mówi o wykryciu 27 lipca. Badacz bezpieczeństwa Kevin Beaumont, który opisał techniczną stronę sprawy, pisze natomiast, że złośliwą aktywność obserwował “przez ostatni tydzień”. To dwa różne stwierdzenia. Nie da się z nich zrobić jednego zdania o tym, jak długo kod był na stronach.
Dla czytelnika ma to konkretne znaczenie. Powiedzmy, że w drugiej połowie lipca kopiowałeś adres portfela na stronie z reklamami. Nie masz jak ustalić, czy akurat ona ładowała skażony plik. Firma zaleca wyczyszczenie pamięci podręcznej przeglądarki, bo zmieniony plik mógł w niej zostać nawet po naprawie po stronie serwera. I zaleca sprawdzanie adresu portfela przed wysłaniem środków, co jest dobrą praktyką niezależnie od tej sprawy.
Skala samej firmy pokazuje, dlaczego to nie jest lokalna historia. Adform podaje, że w 2025 roku obsługiwał około 1 800 klientów. Serwował wtedy 1,5 mld reklam dziennie w ponad 180 krajach. To dane o wielkości działalności, a nie o zasięgu incydentu, i tego drugiego nadal nikt nie policzył. W Polsce firma jest obecna od lat. Figuruje na mapie branży interaktywnej IAB Polska, a jej platformą kupuje się powierzchnię u polskich wydawców.
Pierwsza Misja AI · Kodożercy
Używasz AI codziennie, ale czy robisz to dobrze?
Kurs Pierwsza Misja AI pokaże Ci techniki promptowania, które naprawdę działają. Praktyczne ćwiczenia z prawdziwym modelem, gamifikacja i certyfikat.
Sprawdź program kursu →
Jak sprawdzić, czy strona jest bezpieczna
Zwykłe metody w tym przypadku zawodzą i warto powiedzieć to wprost. Kłódka w pasku adresu potwierdza wyłącznie szyfrowanie połączenia, a połączenie z siecią dostarczania treści Adform było prawidłowo szyfrowane. Sama domena dostawcy nie jest też niczym niezwykłym na stronie z reklamami, więc nie wyglądała podejrzanie. Sygnały, po których użytkownik zwykle ocenia stronę, nie mówiły nic o zawartości samego skryptu.
Zostaje sprawdzenie tego, co strona ładuje. W przeglądarce służą do tego narzędzia dla programistów. W zakładce z siecią widać listę pobranych plików razem z ich źródłem. Strony informacyjne pobierają zwykle zasoby z wielu zewnętrznych domen naraz. Właściciel witryny rzadko pamięta o wszystkich.
Dla odwiedzającego praktyczny wniosek jest węższy, ale konkretny. Przy przelewach w kryptowalutach porównuj kilka pierwszych i kilka ostatnich znaków adresu po wklejeniu, zanim potwierdzisz przelew. To jedna z niewielu czynności, które w tym ataku mogły zapobiec wysłaniu środków pod podmieniony adres.
Trzeci atak na łańcuch dostaw w ciągu tygodnia
Ten sam schemat wraca w ciągu tygodnia po raz trzeci i to jest ważniejsze niż sam Adform. Najpierw zainfekowane paczki npm w kampanii Shai-Hulud, gdzie napastnicy przejęli konto opiekuna popularnej biblioteki. Potem wyciek z Żabki przez konto zewnętrznego dostawcy. Teraz przejęty plik u dostawcy technologii reklamowej.
Za każdym razem problem powstał poza systemami strony, która go odczuła. Zawiodło ogniwo, któremu ufa się domyślnie, bo inaczej nie dałoby się pracować. Nikt nie sprawdza co tydzień biblioteki liczącej wyświetlenia reklam. Tak samo nikt nie zagląda codziennie, co robi konto agencji w firmowym systemie.
Wniosek dla właściciela strony jest nudny i dlatego nikt go nie wykonuje. Wypisz obce skrypty, które ładuje twoja witryna. Przy każdym odpowiedz, kto go tam wstawił i czy nadal jest potrzebny. Część z nich może się okazać pozostałością po dawno zakończonych kampaniach.
Podsumowanie
Do biblioteki trackpoint-async.js firmy Adform dopisano złośliwy kod. Podmieniał adresy portfeli Bitcoina, Ethereum i Trona kopiowane przez odwiedzających strony jej klientów. Firma podaje, że wykryła to 27 lipca 2026, usunęła kod i powiadomiła klientów. Użytkownikom zaleca wyczyszczenie pamięci podręcznej przeglądarki i sprawdzanie adresu przed wysłaniem środków. Liczba stron, liczba poszkodowanych i wysokość strat pozostają nieznane. Oś czasu podana przez firmę i przez niezależnego badacza nie jest zgodna. Najtrudniejsza część tej sprawy nie jest techniczna. Przy takim ataku nie ma czego naprawić u siebie. Popsuło się u kogoś, komu trzeba było zaufać, żeby strona w ogóle działała.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
