قراصنة يستغلون Adform لتبديل محافظ العملات المشفرة
كشفت شركة Adform لتقنيات الإعلانات عن اختراق لسكربت JavaScript حيوي، مما سمح للقراصنة بتبديل عناوين محافظ Bitcoin وEthereum وTron للمستخدمين عبر مواقع العملاء.
مقدمة تحليلية
في 1 أغسطس 2026، كشف تقرير نشره موقع The Hacker News عن حادثة اختراق خطيرة طالت شركة Adform، عملاق تكنولوجيا الإعلانات. ففي 27 يوليو 2026، اكتشفت Adform تعديلاً خبيثاً على ملف JavaScript حيوي، وهو `trackpoint-async.js`، يُخدم من نطاق `s2.adform[.]net`، محولاً إياه إلى أداة تلاعب من جانب المتصفح. كان الهدف الواضح هو تبديل عناوين محافظ العملات المشفرة مثل Bitcoin وEthereum وTron على المواقع التي تستخدم هذا السكربت. هذا الاختراق الذي يمثل هجوماً على سلسلة التوريد، أتاح للمهاجمين استبدال أي عنوان محفظة يُنسخ بواسطة زوار المواقع المتأثرة بعنوان آخر يخصهم.
أزالت Adform الكود الضار، وأبلغت العملاء، وأخطرت السلطات، ووجهت نصائح للمستخدمين بتطهير ذاكرة التخزين المؤقت للمتصفح والتحقق من العناوين قبل إرسال الأموال. لكن المدة الحقيقية للاختراق تبقى محل خلاف بين تاريخ Adform المعلن في 27 يوليو وملاحظات الباحث الأمني كيفن بومونت التي تشير إلى نشاط على مدى 'الأسبوع الماضي'.
التحليل التقني
استغل المهاجمون المسار المشترك لملف `trackpoint-async.js`، الذي يُعد مورداً أساسياً لكثير من عملاء Adform، في هجوم على سلسلة التوريد. هذا التكتيك أتاح لهم الوصول إلى بيانات زوار مواقع إلكترونية متعددة دون الحاجة لاختراق كل موقع فردي. وفقاً لوثائق تنفيذ Adform، يمكن تشغيل كود التتبع هذا عبر صفحة واحدة، أو عدة أقسام، أو بشكل غير مشروط على موقع ويب بأكمله، مما يوسع من نطاق التعرض المحتمل. كشف الباحث الأمني المستقل كيفن بومونت عن هذا الاختراق في 27 يوليو 2026 عبر مدونته `doublepulsar.com`، بينما نشر ماكس ماس نسخة ملتقطة من السكربت على `gist.github.com/malexmave/8ef5eabc7b6866698f1ea8a811c75b57` في نفس اليوم. لم تُظهر تحليلات بومونت أي اكتشافات على VirusTotal للسكربت أو عناصره المرتبطة وقت الكشف، مما يشير إلى ضعف آليات الكشف التقليدية.
تضمن الكود الضار كتلتين رئيسيتين، أُلحقتا بالمكتبة الشرعية وتم إخفائهما باستخدام مفتاح XOR مكون من ستة بايتات:
آلية الاستبدال والمراقبة
- تراقب الكتلة الأولى أحداث النسخ وتحاول قراءة محتوى الحافظة كل أربع ثوانٍ. إذا اكتشفت أنماط عناوين Bitcoin أو Ethereum أو Tron، تقوم باستبدالها. هذه الكتلة تحاول أيضاً إرسال طلب HTTP إلى العنوان `84.32.102[.]230:7744` عند تحميل الصفحة، متضمنة اسم المضيف والمسار للصفحة التي يزورها المستخدم. وعلى الرغم من أن Adform صرحت بأنها لم تجد دليلاً على نقل عناوين IP أو معلومات الزوار، إلا أنها أقرت في إشعارها الرسمي بأن "التحليل الفني يشير إلى أن مثل هذا النقل كان ممكناً".
- تستهدف الكتلة الثانية عناصر DOM النصية، وتعيد كتابة القيم في حقول `input` و`textarea` والعناصر ذات خاصية `contenteditable`. كما تقوم باستعادة موضع المؤشر بعد عملية إعادة الكتابة لتبدو العملية سلسة. الأهم من ذلك، أنها تعترض أحداث `copy` و`cut` و`paste` و`input`، وتتضمن سلاسل استبدال مبرمجة لعناوين العملات المشفرة الثلاث المذكورة. لاحظ بومونت أن العناوين البديلة التي كانت تظهر كانت تتغير، مما يعقد عملية التتبع.
صُمم الكود ليعمل فقط طوال مدة بقاء الصفحة المتأثرة مفتوحة، دون تثبيت برامج أو تحقيق استمرارية. وأكدت Adform أن استبدال العناوين لم يقتصر على النسخ من الحافظة فحسب، بل شمل أيضاً العناوين المدخلة مباشرة في حقول النماذج، مما يوسع من نطاق التعرض.
السياق وتأثير السوق
يكشف هذا الهجوم عن ضعف نظامي في قطاع تكنولوجيا الإعلانات الذي يعتمد بشكل كبير على مكونات الطرف الثالث. فبالنظر إلى تقرير Adform السنوي لعام 2025، كانت الشركة تخدم ما يقرب من 1,800 عميل، وتُمكّن عرض 1.5 مليار إعلان يومياً، وتجري معاملات إعلانية في أكثر من 180 دولة. هذه الأرقام، وإن كانت تصف المنصة ككل وليست خاصة بالحادثة، إلا أنها تؤكد على نطاق الانتشار المحتمل لأي خلل أمني في بنيتها التحتية. قبل هذا الحادث، كان الاعتماد على شركات مثل Adform يعني ثقة ضمنية في سلامة السكربتات المضافة إلى مواقع الويب. اليوم، يفرض هذا الاختراق معياراً جديداً من الشك، حيث يتعين على الشركات التي تدمج خدمات إعلانية خارجية إعادة تقييم بروتوكولات الأمن الخاصة بها والتدقيق في كل مورد من طرف ثالث.
يُعد هذا الاختراق ضربة قوية لثقة المستخدمين في سلاسل توريد الإعلانات الرقمية، حيث يُمكن لهجوم واحد على مورد مشترك أن يضر بعشرات الآلاف من المواقع والملايين من المستخدمين. هذا الوضع يضع ضغوطاً متزايدة على المنافسين المباشرين لـ Adform في مجال تقنيات الإعلانات، مثل Google Ad Manager وThe Trade Desk، لدفعهم نحو تعزيز شفافيتهم الأمنية وممارساتهم. الخاسرون هنا ليسوا فقط عملاء Adform الذين تعرضوا للخطر، بل أيضاً المستخدمون النهائيون الذين قد يكونون قد فقدوا أموالهم بسبب الطبيعة غير القابلة للاسترداد لمعاملات العملات المشفرة. إن غياب أرقام محددة حول عدد الصفحات التي تلقت المورد المعدل، أو عدد الزوار المعرضين، أو حجم الأموال المحولة، يترك تقييم التأثير المالي والسوقي الحقيقي للحادثة معلقاً.
رؤية Glitch4Techs
تُعد حادثة Adform فشلاً واضحاً في حماية سلسلة التوريد الرقمية، وهي تعكس تقصيراً منهجياً في قطاع يعتمد أساساً على الثقة. إن إعلان Adform عن تاريخ تأثر وحيد في 27 يوليو 2026 يتناقض مباشرة مع ملاحظات الباحث الأمني كيفن بومونت، الذي رصد نشاطاً خبيثاً عبر Adform على مدى 'الأسبوع الماضي'. هذا التضارب في الجدول الزمني لا يعكس عدم الفهم فحسب، بل يثير تساؤلات جدية حول مدى الشفافية والقدرة على تحديد النطاق الكامل للاختراق. الأدهى من ذلك، هو عدم نشر Adform لمؤشرات اختراق (IoCs) صريحة في إشعارها العام، وهو إخفاق غير مقبول.
هذا العجز عن توفير بيانات حاسمة يمنع العملاء المتضررين والمجتمع الأمني الأوسع من إجراء تحقيقات مستقلة أو اتخاذ إجراءات دفاعية فعالة. مجرد إزالة الكود ليس حلاً كافياً؛ فالفشل في توفير جدول زمني موحد ومؤشرات اختراق واضحة يؤكد أن Adform لم تدرك بعد حجم المشكلة التشغيلية والأمنية التي تواجهها.
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
