Serangan Supply Chain di Adform Sisipkan Skrip Pencuri Cryptocurrency ke Ribuan Website

Perusahaan teknologi periklanan asal Eropa, Adform, mengonfirmasi mengalami serangan supply chain yang menyebabkan skrip pelacak (tracking script) miliknya disusupi kode berbahaya untuk mencuri aset cryptocurrency milik pengguna.

Skrip yang telah dimodifikasi tersebut mampu mengganti alamat dompet kripto yang disalin pengguna ke clipboard dengan alamat milik penyerang, sehingga dana yang dikirim korban berpotensi berpindah ke akun pelaku tanpa disadari.

Skrip Pelacak Adform Disusupi

Adform merupakan salah satu perusahaan adtech terbesar di Eropa yang menyediakan berbagai layanan periklanan digital, termasuk:

• Demand-Side Platform (DSP).
• Supply-Side Platform (SSP).
• Ad Server.
• Berbagai alat manajemen kampanye iklan.

Aktivitas berbahaya ini pertama kali ditemukan oleh peneliti keamanan siber Kevin Beaumont.

Menurut hasil analisisnya, sumber serangan berasal dari file JavaScript trackpoint-async.js yang diunduh dari domain s2.adform.net dan digunakan oleh seluruh situs web yang mengintegrasikan platform Adform.

Mengganti Alamat Dompet Kripto Secara Otomatis

Beaumont menjelaskan bahwa skrip yang telah disusupi terus memantau isi clipboard pengguna selama mereka membuka situs yang menggunakan layanan Adform.

Apabila skrip mendeteksi alamat dompet cryptocurrency seperti:

• Bitcoin (BTC)
• Ethereum (ETH)
• TRON (TRX)

alamat tersebut akan langsung diganti dengan alamat dompet milik penyerang.

Akibatnya, ketika korban menempelkan (paste) alamat dompet tersebut untuk melakukan transaksi, dana justru dikirim ke akun pelaku.

Tidak Hanya Clipboard

Selain memodifikasi clipboard, analisis lebih lanjut menunjukkan malware juga mampu mengubah alamat dompet cryptocurrency yang ditampilkan langsung pada halaman web.

Dengan cara ini, pengguna dapat melihat alamat pembayaran yang tampak normal, padahal sebenarnya telah diganti menjadi alamat milik penyerang sebelum transaksi dilakukan.

Teknik ini membuat peluang pencurian aset kripto menjadi semakin besar karena korban mungkin tidak menyadari adanya perubahan tersebut.

Berkomunikasi dengan Server Penyerang

Kevin Beaumont juga menemukan skrip lain yang dihosting melalui infrastruktur Adform melakukan komunikasi dengan server yang dikendalikan pelaku.

Skrip tersebut diketahui mengirimkan sejumlah informasi, antara lain:

• Alamat IP pengunjung.
• Website asal (referrer).
• Jalur URL yang sedang diakses.

Meski demikian, hasil pemindaian menggunakan layanan VirusTotal menunjukkan skrip berbahaya tersebut belum terdeteksi sebagai malware oleh mesin antivirus yang tersedia saat itu.

Adform Menghapus Kode Berbahaya

Tak lama setelah temuan tersebut dipublikasikan, Adform menghapus kode berbahaya dari pustaka JavaScript miliknya.

Perusahaan menyatakan telah mendeteksi aktivitas mencurigakan pada 27 Juli 2026 dan segera melakukan investigasi terhadap insiden tersebut.

Menurut Adform, kode yang disisipkan tidak dirancang untuk:

• Menginstal perangkat lunak pada komputer korban.
• Membuat mekanisme persistensi.
• Bertahan setelah halaman web ditutup.

Kode berbahaya hanya aktif selama pengguna membuka halaman yang memuat skrip yang telah terkompromi.

Pengguna Disarankan Menghapus Cookie Browser

Adform menyatakan layanannya kini telah kembali aman digunakan, meskipun investigasi masih terus berlangsung.

Perusahaan juga mengimbau pengguna yang mengunjungi situs web yang menggunakan teknologi Adform pada 27 Juli 2026 untuk menghapus seluruh cookie browser guna memastikan tidak ada komponen berbahaya yang masih tersimpan.

Selain itu, seluruh pelanggan yang terdampak telah menerima pemberitahuan beserta rekomendasi langkah mitigasi.

Berlangsung Hampir Sepekan

Kevin Beaumont memperkirakan aktivitas berbahaya tersebut berlangsung selama sekitar satu minggu sebelum akhirnya terdeteksi.

Sampel tertua yang berhasil ditemukan berasal dari arsip internet pada 26 Juli 2026, menunjukkan bahwa skrip yang telah dimodifikasi kemungkinan telah aktif setidaknya sejak tanggal tersebut.

Analisis independen juga mengonfirmasi adanya payload yang disisipkan dalam bentuk kode yang telah diobfusikasi di bagian akhir pustaka JavaScript resmi Adform.

Payload tersebut berisi fungsi yang secara khusus mencari pola alamat dompet cryptocurrency sebelum menggantinya dengan alamat milik penyerang.

Ancaman Supply Chain Semakin Mengkhawatirkan

Insiden ini kembali memperlihatkan besarnya risiko serangan supply chain terhadap layanan pihak ketiga yang digunakan oleh ribuan situs web.

Karena skrip Adform dimuat secara otomatis oleh banyak website, satu kompromi pada infrastruktur penyedia layanan dapat langsung memengaruhi seluruh situs yang menggunakannya tanpa sepengetahuan pemilik website.

Kasus ini juga menjadi pengingat penting bahwa pemantauan integritas skrip pihak ketiga merupakan salah satu langkah penting dalam menjaga keamanan pengunjung maupun transaksi digital.