這是一起典型的供應鏈攻擊（Supply Chain Attack）。簡單來說，攻擊者並不是直接攻破某個目標網站，而是攻破了許多網站共同使用的第三方服務供應商。在這次事件中，受害者是廣告技術公司 Adform。
當一個網站為了投放廣告或追蹤而引入 Adform 的 JavaScript 檔案時，如果該檔案被篡改，攻擊者就能在所有載入此腳本的客戶網站上執行任意程式碼。這意味著攻擊者不需要逐一入侵數千個網站，只要控制一個中心化的資源，就能大規模地影響所有下游用戶。
攻擊的核心目標是加密貨幣轉帳。攻擊者篡改了 Adform 伺服器上的 trackpoint-async.js 檔案，將其變成了一個瀏覽器端的劫持工具。其目的是在使用者準備轉帳時，偷偷將正確的加密貨幣錢包地址替換成攻擊者的地址。
這類攻擊對 Junior 工程師來說最值得關注的是其實現手段，它不僅僅是簡單的文字替換，而是採取了多層次的攔截機制。
首先是剪貼簿監控。惡意程式碼會每隔四秒檢查一次使用者的剪貼簿。如果偵測到符合比特幣（Bitcoin）、乙太坊（Ethereum）或波場（Tron）格式的地址，它會立即將其替換為攻擊者的地址。這意味著即便使用者是從外部文件複製地址並貼上，依然會被劫持。
其次是 DOM 節點與輸入攔截。攻擊者遍歷了網頁的所有文字節點，並監控 input、textarea 以及 contenteditable（可編輯內容）元素。無論使用者是手動輸入地址，還是透過程式化方式寫入，惡意腳本都會在值被設定的瞬間進行攔截並替換，甚至在替換後還會恢復游標位置，讓使用者完全察覺不到異常。
此外，該腳本還使用了 XOR 混淆（Obfuscation）技術來隱藏攻擊者的錢包地址，避免被簡單的關鍵字掃描工具偵測到。
除了金錢盜取，該腳本還嘗試在頁面載入時向外部伺服器發送請求，上傳目前訪問頁面的主機名稱（Hostname）與路徑（Path）。雖然 Adform 表示沒有證據顯示大量個資外流，但從技術面來看，這種行為足以讓攻擊者掌握哪些網站使用了受污染的腳本，以及使用者的瀏覽行為。
這次事件揭示了第三方腳本引入的巨大風險。對於前端開發者而言，將對外的 JS 資源完全信任是危險的。
實務上的防禦建議包括使用子資源完整性（Subresource Integrity, SRI）。SRI 允許開發者在 HTML 標籤中加入該檔案的雜湊值（Hash），瀏覽器在載入腳本後會比對雜湊值，如果檔案被篡改（即便只有一個字節），瀏覽器將拒絕執行該腳本。
此外，對於處理金融交易的頁面，應盡量減少依賴不可信的第三方追蹤腳本，或將其隔離在受限的環境中執行。
此次事件的影響範圍仍有爭議。Adform 官方宣稱受影響日期為 2026 年 7 月 27 日，但獨立研究員 Kevin Beaumont 則觀察到惡意活動持續了一週之久。由於 Adform 每天處理高達 15 億次廣告顯示，潛在的受影響人數極其龐大。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。