Du kopierst eine Bitcoin-Adresse, fügst sie ein, schickst das Geld ab — und es landet bei Kriminellen. Genau dieses Szenario haben Angreifer jetzt über einen Umweg möglich gemacht, den kaum jemand auf dem Zettel hat: ein ganz normales Werbe-Skript.
SCHOCK: Der Angriff kam über die Werbung
Das dänische Adtech-Unternehmen Adform liefert Werbe- und Tracking-Technik an unzählige Webseiten aus. Angreifer haben es geschafft, die Datei trackpoint-async.js auf dem Adform-Server s2.adform.net zu manipulieren. Am Ende der legitimen Bibliothek hing plötzlich verschleierter Schadcode — und der wurde automatisch an alle Webseiten ausgeliefert, die das Skript einbinden.
Entdeckt hat die Manipulation der bekannte Sicherheitsforscher Kevin Beaumont. Adform selbst gibt an, den Vorfall am 27. Juli 2026 erkannt und eingedämmt zu haben. Der Konzern hat den Schadcode entfernt, betroffene Kunden informiert und die Behörden eingeschaltet.
SO funktioniert der unsichtbare Adressen-Tausch
Der eingeschleuste Code ist ein sogenannter Clipper. Er überwachte im Browser die Zwischenablage und suchte nach Zeichenketten, die wie Wallet-Adressen von Bitcoin, Ethereum oder TRON aussehen. Fand er eine, tauschte er sie blitzschnell gegen eine Adresse der Angreifer aus.
Und es kommt noch dicker: Der Code konnte auch direkt auf der Webseite angezeigte Wallet-Adressen umschreiben. Zeigt dir eine Seite also eine Zahlungsadresse an, konnte schon die Anzeige selbst gefälscht sein. Kopieren, einfügen, doppelt prüfen — selbst das hätte in diesem Fall nicht immer geholfen, wenn du die Adresse nur mit der Anzeige auf derselben Seite vergleichst.
GEFAHR! Warum Supply-Chain-Angriffe so fies sind
Der Fall zeigt ein Muster, das wir erst kürzlich bei Schadsoftware im Browser gesehen haben: Angreifer hacken nicht dich, sondern einen Dienstleister, dem tausende Webseiten vertrauen. Ein einziger kompromittierter Baustein reicht, um Millionen Besucher zu erreichen — ganz ohne Phishing-Mail und ohne dass du etwas Falsches anklickst.
Wichtig zu wissen: Der Schadcode war nur aktiv, solange eine betroffene Webseite geöffnet war. Er hat sich nicht dauerhaft auf deinem Rechner eingenistet.
Das solltest du JETZT tun
1. Cookies löschen: Adform empfiehlt betroffenen Nutzern, die Browser-Cookies zu löschen.
2. Transaktionen prüfen: Hast du Ende Juli Krypto überwiesen? Vergleiche die Zieladresse deiner Transaktion mit der Adresse, an die du eigentlich senden wolltest.
3. Adress-Check zur Gewohnheit machen: Prüfe vor dem Absenden immer die ersten und letzten Zeichen der eingefügten Adresse — idealerweise gegen eine Quelle außerhalb der Webseite, etwa die App deines Empfängers.
4. Kleine Testüberweisung: Bei größeren Beträgen zuerst einen Mini-Betrag senden und die Ankunft bestätigen lassen.
FAZIT: Vertrauen ist gut, Kontrolle ist Pflicht
Adform hat nach eigenen Angaben schnell reagiert, trotzdem bleibt ein bitterer Beigeschmack: Werbenetzwerke laden Code in Millionen Browser — und werden damit zum attraktiven Einfallstor. Für dich als Nutzer gilt: Bei Krypto-Zahlungen entscheidet ein einziger unachtsamer Paste über dein Geld.