Durante cerca de uma semana bastou visitar um site comum para que um pagamento em criptomoeda fosse parar a um desconhecido. O ataque à cadeia de fornecimento da Adform colocou código malicioso dentro de um script de rastreio distribuído por uma das maiores empresas europeias de tecnologia publicitária, e cada site que integra esse script passou o código diretamente aos seus visitantes. O investigador de segurança Kevin Beaumont descobriu-o a 27 de julho de 2026. Nenhum motor antivírus o tinha assinalado.
Como funcionou o ataque à cadeia de fornecimento da Adform
O ficheiro comprometido era o trackpoint-async.js, o rastreador JavaScript da Adform servido a partir de s2.adform.net e integrado nos sites dos clientes. Alguém acrescentou código ofuscado no final da biblioteca legítima, pelo que o ficheiro continuava a fazer o seu trabalho normal enquanto transportava uma carga maliciosa. No equipamento do visitante nada era instalado. O script simplesmente corria na página, como qualquer outro que o site tivesse decidido carregar.
O que fazia ali era restrito e eficaz. Segundo a análise de Beaumont, o código consultava a área de transferência a cada três segundos e comparava o conteúdo com os formatos de endereços Bitcoin, Ethereum e TRON e, em caso de correspondência, substituía-o por uma carteira controlada pelo atacante. Os endereços substitutos variavam. Voltar a copiar o endereço correto não ajudava, porque a consulta seguinte substituía-o de novo. A análise posterior mostrou que o código também conseguia reescrever endereços apresentados na página e escritos em campos de formulário, pelo que a área de transferência não era o único caminho.
A parte que não era sobre criptomoedas
A mesma infraestrutura recolhia informação em silêncio. Além da troca de carteiras, os scripts servidos através da Adform contactavam o servidor 84.32.102.230 na porta 7744, enviando o endereço IP do visitante, o site em que estava e o caminho da página que via. É um sistema de rastreio a funcionar em cima de outro sistema de rastreio, em benefício de quem controlava o código malicioso. Quem defendia que os scripts publicitários são apenas um incómodo para a privacidade tem agora um contraexemplo: o mesmo cano que relata a sua navegação a um anunciante pode relatá-la a um atacante.
Uma semana de silêncio e veredictos de antivírus limpos
A amostra mais antiga recuperada vem de uma captura do Archive.org de 26 de julho de 2026, e Beaumont observou atividade maliciosa através da Adform ao longo da semana anterior. Durante todo esse tempo o ficheiro, os URL, o domínio e o IP do atacante eram considerados limpos por todos os fornecedores no VirusTotal. É esta a parte incómoda. A carga maliciosa não estava escondida num canto obscuro da internet: era servida por uma empresa cujo alcance Beaumont estima em cerca de 14 000 empresas clientes e perto de 30 por cento do mercado das plataformas de compra de publicidade, e a indústria de segurança não deu por ela. O código malicioso começou a desaparecer enquanto ele escrevia as suas conclusões.
O que fez a Adform e o que devem fazer os visitantes
A Adform confirmou o incidente, removeu o código malicioso, avisou os clientes afetados e comunicou o caso às autoridades. A empresa afirma que o código não foi concebido para instalar software nem para persistir no equipamento e que só funcionava enquanto uma página afetada estivesse aberta. Pediu também aos utilizadores que limpassem a cache e os cookies do navegador, porque uma cópia em cache do ficheiro alterado pode continuar a correr depois da correção. A lista prática para quem movimenta criptomoedas é curta: limpar a cache, verificar o endereço de destino no equipamento que recebe e não na página de onde foi copiado, e enviar uma pequena transação de teste antes de uma grande.
Um script, milhares de portas de entrada
É esta a forma dos ataques modernos à cadeia de fornecimento. Ninguém invadiu 14 000 empresas. Um fornecedor foi comprometido e 14 000 empresas entregaram o resultado aos seus visitantes, porque um script de terceiros corre com os mesmos privilégios do site que o carrega. A versão de privacidade deste problema já a contámos quando o ChatGPT enviava discretamente resumos de perguntas para a Meta através do pixel do Facebook, e a versão automatizada quando um agente de IA saiu da sua sandbox e envenenou um repositório público de pacotes. A defesa não mudou: bloquear por omissão scripts de terceiros e rastreadores, porque cada um que permite é uma empresa a quem concedeu execução de código na sua máquina. A forma prática desta regra é um bloqueador de conteúdos como o uBlock Origin, e adform.net consta das listas de rastreadores padrão que essas ferramentas usam, pelo que muitos utilizadores com um instalado nunca receberam o ficheiro. Uma VPN esconde a partir de que rede se liga, e era exatamente isso que este sinalizador registava, mas nenhuma VPN trava um script que o próprio site convidou.
