Adform広告プラットフォーム、JavaScript悪用で暗号資産ウォレット情報を窃取

暗号資産ウォレットアドレスをすり替えるJavaScript

オンライン広告企業Adformがサプライチェーン攻撃を受け、暗号資産を狙う悪意のあるJavaScriptが、同社の広告プラットフォームを利用する複数のWebサイトへ配信される事案が確認された。このスクリプトは、ユーザーがクリップボードにコピーした暗号資産ウォレットアドレスを、攻撃者があらかじめ設定したウォレットアドレスへ自動的に置き換えることで、不正送金を狙うものだった。今回の攻撃は7月27日に確認され、Adformは速やかに対策を実施した。

JavaScript追跡スクリプトを悪用したサプライチェーン攻撃

攻撃者は、AdformのJavaScript追跡スクリプト「trackpoint-async.js」を悪用し、同スクリプトを利用する複数のWebサイトへ悪意のあるコードを配信した。セキュリティ研究者のKevin Beaumont氏によると、このスクリプトはユーザーのクリップボードを監視し、Bitcoin、Ethereum、TRONなどの暗号資産ウォレットアドレスを検出すると、攻撃者が用意したウォレットアドレスへ自動的に置き換える仕組みとなっていた。これにより、ユーザーが意図しない送金を行うリスクが生じていた。

今回の攻撃は、Adformの広告プラットフォームを利用するWebサイトの訪問者に影響を及ぼし、悪意のあるコードは正規のJavaScriptライブラリ内に難読化された状態で埋め込まれていた。Adformは攻撃を確認後、直ちに悪性コードを削除するとともに追加のセキュリティ対策を実施したとしており、現在も詳細な調査を継続している。また、専門家は、7月27日以降に影響を受けた可能性のあるWebサイトへアクセスしたユーザーに対し、ブラウザのCookieを削除するなどの対策を推奨している。