Un incident de type empoisonnement de script a conduit à une situation particulièrement risquée pour les personnes qui envoient des cryptomonnaies. Selon les informations publiées, des attaquants ont modifié un fichier JavaScript distribué par la plateforme publicitaire Adform, transformant ce script en un outil côté navigateur capable de remplacer des adresses de portefeuilles crypto sur des pages clientes.
La chronologie mise en avant place le problème autour du 27 juillet 2026. Les équipes d’Adform ont détecté l’altération, retiré le code malveillant, averti les clients concernés et signalé l’incident aux autorités. Toutefois, pour les internautes, le point crucial reste le même : si vous avez copié une adresse pendant une visite au cours de la période impactée, elle aurait pu être remplacée.
Qu’est-ce que le script Adform compromis ?
Le composant en question s’appelle trackpoint-async.js et il était servi depuis un domaine d’Adform. Le rôle initial de ce type de ressource est de permettre au suivi publicitaire de fonctionner sur des pages web, avec une exécution qui peut varier selon la configuration (sur une page, plusieurs sections ou de manière plus large sur un site).
Dans ce cas précis, l’attaque ne s’est pas limitée à une page isolée. L’idée des pirates a consisté à compromettre une ressource partagée. Comme cette ressource peut être intégrée à de nombreux sites par des clients d’Adform, l’accès à un seul maillon pouvait se traduire par une exposition sur des sites qui n’avaient pas été ciblés séparément. C’est typiquement ce que l’on associe à un compromis de chaîne d’approvisionnement côté script.
Comment le script Adform remplaçait les adresses crypto
Les analyses mentionnées décrivent un échantillon dans lequel deux blocs malveillants étaient ajoutés au code légitime. Les chaînes de remplacement utilisées par l’attaque seraient obfusquées au moyen d’une clé XOR de six octets, ce qui compliquait l’identification immédiate des paramètres.
Le fonctionnement observé s’appuyait sur une logique conditionnelle, active tant que la page concernée restait ouverte. Autrement dit, l’attaque ne cherchait pas à installer un logiciel durable ou à persister après la fermeture du navigateur : elle visait plutôt l’instant où l’utilisateur copie ou saisit une adresse.
Deux mécanismes principaux ont été rapportés :
- Remplacement lors du copier/coller : le script surveillait des événements et tentait de lire le presse-papiers toutes les quelques secondes pour remplacer des adresses correspondant à des motifs attendus.
- Remplacement lors de la saisie dans des formulaires : le code parcourait le contenu texte du document et réécrivait des valeurs dans des champs input, textarea et des zones contenteditable. Il interceptait aussi des écritures programmatiques via le “setter” de valeur, ce qui signifie que le remplacement ne dépendait pas uniquement de l’action manuelle “copier”.
Le script intercepterait également des événements liés au presse-papiers (copie, coupe, coller) et des événements d’entrée, ce qui renforce l’idée qu’un utilisateur pouvait se retrouver avec une adresse modifiée sans s’en rendre compte.
Bitcoin, Ethereum et Tron : quelles adresses étaient ciblées ?
Les blocs ajoutés intégraient des chaînes de remplacement destinées à reconnaître et modifier des adresses correspondant à des schémas pour Bitcoin, Ethereum et Tron. Les informations fournies indiquent que les adresses de remplacement pouvaient varier, ce qui suggère un comportement dynamique ou, au minimum, une diversité des valeurs insérées.
En pratique, si une personne déposait une adresse pendant que la page altérée restait ouverte, la valeur au moment du paiement pouvait être modifiée. C’est précisément ce type de décalage qui rend l’attaque dangereuse : l’utilisateur peut croire avoir copié l’adresse correcte, alors que le contenu final envoyé au portefeuille (ou au formulaire de paiement) ne correspond pas à celle prévue.
Cache du navigateur et vérification des adresses : recommandations d’Adform
Après avoir identifié l’incident, Adform a retiré le code malveillant et a informé les clients. Mais pour les visiteurs, la correction “côté serveur” ne suffit pas toujours : si le navigateur avait déjà mis en cache la ressource modifiée, le fichier altéré pourrait continuer d’être réutilisé.
Dans sa communication, Adform indique donc qu’il est important de vider le cache du navigateur. L’objectif est clair : éviter d’exécuter une version encore stockée localement, même après le correctif.
Au-delà du nettoyage, la recommandation la plus utile concerne le comportement : vérifier chaque adresse avant d’envoyer des fonds. Autrement dit, ne pas se fier uniquement au copier/coller, mais comparer l’adresse avec une source fiable (par exemple une annonce officielle du destinataire ou un répertoire vérifié).
Quelle était la portée réelle de l’attaque ?
Une partie des éléments reste floue dans les informations publiques : combien de sites ont effectivement intégré la ressource au moment problématique, combien de visiteurs ont pu être exposés et, surtout, si des transferts ont été détournés.
Le périmètre n’a pas été publié de manière chiffrée. Il est question d’un écart entre la date “affectée” indiquée par Adform (le 27 juillet) et une observation plus longue rapportée par un chercheur indépendant. Cette divergence complique l’estimation du nombre d’expositions.
De plus, la notice d’incident ne liste pas d’indicateurs de compromission permettant d’identifier facilement le cas sur chaque environnement. Cela renforce l’intérêt d’agir côté utilisateur sur les bonnes pratiques (cache et vérification) plutôt que d’espérer un repérage automatique immédiat.
Transmission d’informations : ce que l’on sait (et ce qui reste incertain)
Les analyses mentionnent qu’un des blocs malveillants tentait une requête HTTP au chargement de la page vers une adresse externe, en incluant un couple d’informations liées à la page visitée (hostname et chemin). L’objectif exact et la fiabilité de l’envoi ne sont pas établis avec certitude d’après l’échantillon capturé.
Concernant la question de la confidentialité, Adform affirme n’avoir trouvé aucune preuve indiquant que le script transmettait l’adresse IP des visiteurs ou des détails sur les sites consultés. Dans le même temps, il est mentionné que l’analyse technique ne permet pas d’exclure totalement une possibilité de transmission dans certains scénarios. En clair : le risque potentiel est évoqué, mais la preuve reste incomplète.
Pourquoi une ressource partagée change tout
Ce dossier illustre un principe majeur de la sécurité web : lorsqu’un script est distribué via un fournisseur et réutilisé sur de nombreux sites, la compromission d’un seul fichier peut affecter une large audience sans qu’il soit nécessaire de cibler chaque site séparément.
Le fait que la ressource puisse être exécutée de différentes manières selon la configuration (une page unique, des sections multiples, ou une couverture plus étendue) rend aussi le comportement difficile à anticiper pour les administrateurs. Dans un contexte d’“intégration diffuse”, l’attaque devient une forme de propagation par dépendance.
Que faire si vous avez visité un site lié à cette période ?
Si vous pensez avoir été exposé via une visite sur le 27 juillet 2026 (ou potentiellement autour de cette date, selon les observations), vous pouvez adopter une approche prudente :
- Videz le cache de votre navigateur pour supprimer la version potentiellement altérée du script.
- Vérifiez l’adresse avant tout envoi de cryptomonnaies, idéalement en recoupant depuis une source indépendante.
- Contrôlez vos opérations récentes : si vous avez déjà envoyé des fonds, examinez attentivement les destinataires et les transactions associées.
Ces actions ne garantissent pas une récupération automatique si un transfert a déjà eu lieu, mais elles réduisent fortement le risque de répétition et limitent l’exposition future.
Conclusion : un rappel essentiel contre la fraude au copier/coller
Le script Adform compromis met en lumière une menace concrète et parfois sous-estimée : la modification invisible des données au moment critique, notamment lors du copier/coller ou de la saisie dans des formulaires. L’attaque décrite semble avoir été conçue pour durer le temps de l’interaction—le temps que la page altérée reste ouverte—sans chercher à installer une persistance longue.
En attendant plus d’éléments sur la portée exacte, le message opérationnel reste simple : vider le cache, vérifier les adresses et garder une vigilance particulière lorsque vous copiez des valeurs destinées à un paiement en cryptomonnaies.
Source: https://thehackernews.com/2026/08/hackers-poison-adform-script-to-swap.html
