Ein zentrales Skript des Werbetechnik-Anbieters Adform ist offenbar gehackt worden und verteilt seither Schadsoftware an Besucher unzähliger Websites. Das berichtet der Sicherheitsforscher Kevin Beaumont, der die Manipulation im Rahmen einer laufenden Untersuchung entdeckt hat.

Adform gilt als eines der größeren Unternehmen im programmatischen Werbegeschäft. Rund 14.000 Firmen setzen die Technik ein, das Unternehmen hält schätzungsweise 30 Prozent Marktanteil im sogenannten Demand-Side-Segment. Betroffene Websites binden dafür ein simples Javascript-Snippet über die Adresse "s2.adform.net/banners/scripts/st/trackpoint-async.js" ein, das im Hintergrund lädt und ausgeführt wird.

Wie der Schadcode ins Skript gelangte

Genau diese Datei wurde nach Beaumonts Erkenntnissen manipuliert und liefert seit mindestens einer Woche einen sogenannten Crypto Stealer aus. Wer eine Website besucht, die Adform einbindet, kann dadurch unbemerkt kompromittiert werden, klassischer Fall einer Supply-Chain-Attacke also. Die betroffene Datei trägt laut Beaumont den Hashwert "02ff86c7f9fe609a753ff15bda90baa3c3e0d4a2e559ec4fcf8a3de0954b7c55".

Pikant dabei: Bei einer Prüfung über den Dienst VirusTotal stufen sämtliche beteiligten Sicherheitsanbieter die Datei, zugehörige URLs, Domains und IP-Adressen als unauffällig ein. Der Angriff blieb dadurch offenbar über Tage hinweg unentdeckt, obwohl die Sicherheitsbranche solche Infrastruktur eigentlich im Blick haben sollte.

Zwischenablage im Visier

Der eigentliche Schadcode setzt an einer simplen, aber effektiven Stelle an: der Zwischenablage. Er erkennt gültige Wallet-Adressen für Bitcoin, Ethereum und Tron, sobald Nutzer sie kopieren, und ersetzt sie automatisch durch Adressen der Angreifer. Das Skript prüft die Zwischenablage alle drei Sekunden neu.

Wer den Betrug bemerkt und die richtige Adresse erneut kopiert, wird also nur kurzzeitig geschützt. Sekunden später tauscht der Code die Adresse erneut aus, wodurch Überweisungen am Ende doch bei den Betrügern landen. Laut Beaumont variieren die genutzten Zielwallets offenbar von Fall zu Fall.

Zusätzlich zum Diebstahl von Kryptowährungen sammeln weitere, direkt über Adform ausgelieferte Skripte Nutzerdaten. Erfasst werden demnach die IP-Adresse des Besuchers, die Herkunfts-Website und der aufgerufene URL-Pfad. Diese Informationen sendet der Code an einen externen Server unter der IP-Adresse 84.32.102.230 über Port 7744.

Schädliches Skript entfernt

Mittlerweile hat Adform selbst Stellung genommen. Das Unternehmen erklärt, am 27. Juli 2026 verdächtige Aktivitäten entdeckt und daraufhin umgehend eine Untersuchung eingeleitet zu haben. Der Schadcode sei mittlerweile entfernt und weitere Schutzmaßnahmen seien eingeleitet worden.

Zur Funktionsweise bestätigt Adform im Kern, was Beaumont beschrieben hatte: Der Code habe versucht, beim Kopieren von Bitcoin-, Ethereum- oder Tron-Wallet-Adressen in die Zwischenablage eine andere Adresse einzuschleusen. Laut Unternehmen habe der Code jedoch keine Software auf den Geräten der Nutzer installiert und auch keine dauerhafte Präsenz aufgebaut, er sei nur aktiv gewesen, solange die betroffene Seite geöffnet war.

Beim Punkt der Datenübertragung an einen externen Server weicht die Darstellung leicht von Beaumonts Bericht ab. Adform teilt mit, bislang keine Beweise dafür gefunden zu haben, dass IP-Adressen oder besuchte Websites an Dritte übermittelt wurden, räumt aber ein, dass eine solche Übertragung technisch möglich gewesen sein könnte und dieser Punkt weiter untersucht werde. Beaumont hatte in seiner Analyse hingegen konkrete Beacon-Anfragen an eine externe IP-Adresse dokumentiert.

Betroffenen Website-Besuchern rät Adform, den Browser-Cache zu leeren und kopierte Wallet-Adressen vor Transaktionen sorgfältig zu prüfen. Kunden seien über den Vorfall direkt informiert worden, zudem sei der Fall den zuständigen Behörden gemeldet worden. Das Unternehmen entschuldigt sich in seiner Mitteilung für mögliche Unannehmlichkeiten und betont, die eigenen Dienste seien inzwischen wieder sicher nutzbar.