Rund eine Woche lang genügte der Besuch einer gewöhnlichen Website, damit eine Kryptozahlung bei einem Fremden landete. Der Adform-Angriff auf die Lieferkette platzierte Schadcode in einem Tracking-Skript eines der grössten europäischen Adtech-Unternehmen, und jede Seite, die dieses Skript einbindet, reichte den Code direkt an ihre Besucher weiter. Der Sicherheitsforscher Kevin Beaumont entdeckte das am 27. Juli 2026. Kein Virenscanner hatte angeschlagen.
Wie der Adform-Angriff auf die Lieferkette funktionierte
Die kompromittierte Datei war trackpoint-async.js, Adforms JavaScript-Tracker, ausgeliefert von s2.adform.net und eingebunden auf den Seiten der Kunden. Jemand hängte obfuskierten Code an das Ende der legitimen Bibliothek, sodass die Datei ihre normale Aufgabe weiter erfüllte und zugleich eine Nutzlast trug. Auf dem Gerät des Besuchers wurde nichts installiert. Das Skript lief einfach in der Seite, wie jedes andere Skript, das die Seite selbst geladen hat.
Was es dort tat, war eng umrissen und wirksam. Nach Beaumonts Analyse fragte der Code die Zwischenablage alle drei Sekunden ab und prüfte den Inhalt gegen die Formate von Bitcoin-, Ethereum- und TRON-Adressen und ersetzte bei einem Treffer die Adresse durch eine Wallet des Angreifers. Die Ersatzadressen wechselten. Erneutes Kopieren der richtigen Adresse half nicht, denn die nächste Abfrage ersetzte sie wieder. Spätere Analysen zeigten, dass der Code Wallet-Adressen auch auf der Seite selbst und in Formularfeldern umschreiben konnte, die Zwischenablage war also nicht der einzige Weg.
Der Teil, der nichts mit Krypto zu tun hatte
Dieselbe Infrastruktur sammelte still Aufklärungsdaten. Neben dem Wallet-Tausch funkten über Adform ausgelieferte Skripte an 84.32.102.230 auf Port 7744 und übermittelten die IP-Adresse des Besuchers, die aufgerufene Website und den Pfad der angesehenen Seite. Das ist ein funktionierendes Tracking-System auf einem Tracking-System, betrieben zugunsten dessen, dem der Schadcode gehörte. Wer Werbeskripte bislang nur für ein Datenschutzärgernis hielt, hat jetzt ein Gegenbeispiel: Dieselbe Leitung, die Ihr Surfverhalten an einen Werbetreibenden meldet, kann es an einen Angreifer melden.
Eine Woche Stille und saubere Virenscanner-Urteile
Das älteste geborgene Sample stammt aus einem Archive.org-Snapshot vom 26. Juli 2026, und Beaumont beobachtete schädliche Aktivität über Adform in der Woche davor. In dieser Zeit galten Datei, URLs, Domain und Angreifer-IP bei sämtlichen Anbietern auf VirusTotal als sauber. Das ist der unangenehme Teil. Die Nutzlast versteckte sich nicht in einer entlegenen Ecke des Netzes, sie wurde von einem Unternehmen ausgeliefert, dessen Reichweite Beaumont mit rund 14.000 Kundenfirmen und etwa 30 Prozent Anteil im Demand-Side-Segment angibt, und die Sicherheitsbranche übersah sie. Der Schadcode verschwand nach und nach, während er seine Analyse schrieb.
Was Adform tat und was Besucher tun sollten
Adform bestätigte den Vorfall, entfernte den Schadcode, informierte betroffene Kunden und meldete den Fall den Behörden. Das Unternehmen erklärt, der Code sei nicht darauf ausgelegt gewesen, Software zu installieren oder sich dauerhaft festzusetzen, und habe nur gearbeitet, solange eine betroffene Seite geöffnet war. Zudem bat es Nutzer, Cache und Cookies des Browsers zu leeren, da eine zwischengespeicherte Kopie der veränderten Datei auch nach der Korrektur weiterlaufen kann. Die praktische Liste für alle, die Kryptowährung bewegen, ist kurz: Cache leeren, die Zieladresse auf dem empfangenden Gerät prüfen statt auf der Seite, von der sie kopiert wurde, und vor einer grossen Überweisung eine kleine Testzahlung senden.
Ein Skript, tausende Haustüren
So sehen moderne Lieferkettenangriffe aus. Niemand hat 14.000 Unternehmen gehackt. Ein Anbieter wurde kompromittiert, und 14.000 Unternehmen lieferten das Ergebnis an ihre Besucher, weil ein Drittanbieter-Skript mit denselben Rechten läuft wie die Seite, die es lädt. Die Datenschutzvariante dieses Problems haben wir beschrieben, als ChatGPT still Zusammenfassungen von Anfragen über den Facebook-Pixel an Meta schickte, die automatisierte, als ein KI-Agent aus seiner Sandbox ausbrach und ein öffentliches Paketrepository vergiftete. Die Verteidigung ist dieselbe geblieben: Drittanbieter-Skripte und Tracker standardmässig blockieren, denn jeder erlaubte ist ein Unternehmen, dem Sie Codeausführung auf Ihrem Rechner zugestanden haben. Die praktische Form dieser Regel ist ein Inhaltsblocker wie uBlock Origin, und adform.net steht auf den üblichen Trackerlisten, die solche Werkzeuge nutzen, weshalb viele Nutzer mit Blocker die Datei nie erhalten haben. Ein VPN verbirgt, aus welchem Netz Sie kommen, und genau das protokollierte dieser Beacon, aber kein VPN stoppt ein Skript, das die Seite selbst eingeladen hat.
