A ameaça invisível da publicidade um programa de terceiros pode desviar endereços de cripto no seu navegador

Em 27 de julho de 2026, a empresa de tecnologia publicitária Adform detectou que um arquivo JavaScript que serve clientes e editores tinha sido alterado para funcionar como uma ferramenta maliciosa no navegador: substituíva endereços de carteiras de criptomoedas (Bitcoin, Ethereum, Tron) enquanto o usuário interagia com uma página. O incidente expõe, mais uma vez, a fragilidade da cadeia de fornecimento de scripts de terceiros e o risco real que supõem os recursos compartilhados que são executados sem controle direto sobre sites alheios.

Segundo a análise disponível, o recurso comprometido é trackpoint-async.js fornecido desde s2.adform[.]net; os atacantes anexaram dois blocos maliciosos que, por um lado, monitorizavam eventos de cópia e a área de transferência a cada poucos segundos e, por outro, percorreram nodos de texto e campos de formulário para sobrepor valores e manter a posição do cursor após a edição. Além disso, o primeiro bloco tentou fazer uma chamada HTTP a 84.32.102[.]230:7744 com informações sobre a página (host e path), sugerindo a possibilidade de exfiltração ou ordens remotas, embora Adform não tenha confirmado que essas remessas tenham chegado ao seu destino.

O modo de operação descrito é particularmente perigoso para transações cripto: um visitante que copia uma direção para pagar ou doar poderia estar pegando uma direção controlada pelos atacantes sem o notar, e fontes independentes como o pesquisador Kevin Beaumont apontaram que a alteração poderia persistir mesmo após cortar e voltar a colar a mesma direção. O alcance real — quantos sites usaram a versão comprometida, quantos visitantes estiveram expostos e se chegaram a roubar fundos — permanece sem quantificar publicamente porque a cronologia ainda não está resolvida.

Este caso ilustra um princípio que já deveria ser familiar: comprometer um recurso compartilhado na cadeia de fornecimento permite afetar a multidão de sites sem entrar em cada um deles. A implantação por defeito de scripts publicitários em páginas inteiras ou em seções críticas amplifica o impacto. Para empresas que gerem pagamentos ou redireccionem endereços cripto, qualquer dependência de código de terceiros deve ser considerada uma superfície de ataque que requer mitigação proativa.

Para usuários e operadores da web as ações imediatas não são complexas, mas sim imprescindíveis: Adform recomendou limpar a cache do navegador porque o arquivo alterado poderia permanecer armazenado e continuar sendo executado depois que a empresa removesse o código. Mais importante ainda para qualquer um que vá enviar cripto: Verificar manualmente o endereço no campo de destino antes de confirmar a transação e, melhor ainda, realizar primeiro uma transferência de teste pequena. As carteiras de hardware e a confirmação offline do destinatário reduzem drasticamente o risco de perda irreversível.

No plano técnico e operacional, os proprietários de sites devem rever onde e como carregam scripts de terceiros. Embora nem sempre seja viável aplicar o Subresource Integrity (SRI) a redes publicitárias dinâmicas, convém avaliar alternativas: hospedar localmente os programas críticos quando possível, estabelecer controlos de integridade para recursos fixos, limitar o alcance de scripts de terceiros por meio de iframes isolados ou políticas rigorosas de Content Security Policy (CSP), e exigir a fornecedores de publicidade de incidentes e rastreabilidade de implantaçãos. Os acordos contratuais com fornecedores devem incluir cláusulas de segurança, notificação e auditoria.

Para equipamentos de segurança e operações, a detecção precoce passa por monitorar mudanças em recursos externos e por instrumentar detecção de comportamento no cliente: alertas por chamadas para endereços IP ou portos suspeitos (por exemplo 84.32.102[.]230:7744), análise de integridade dos scripts servidos em produção, e verificações automatizadas de padrões que reesscrevem formulários ou interceptam eventos de cópia/pegado. Também é recomendável que os equipamentos de produto introduzem protecções no UX de pagamento: avisos ao colar endereços, saltos de confirmação e, para montantes elevados, verificações fora de banda.

A indústria precisa, além disso, de uma resposta colectiva mais madura face à dependência de fornecedores publicitários: auditorias de segurança periódicas, transparência sobre implantaçãos de produção e mecanismos de ruptura rápida (kill-switch) quando se detectam anomalias. Os editores que executam programas globais devem manter inventários precisos de onde esses recursos são injetados e ter a capacidade de os bloquear a nível de aplicação até que a sua integridade seja verificada.

Para aqueles que querem aprofundar a ameaça e verificar indicadores técnicos, podem consultar a informação pública do Adform e serviços de reputação e análise de amostras: Adform e Vírus total. Pesquisadores independentes divulgaram amostras e debates sobre a técnica aplicada; seguir pesquisadores como Kevin Beaumont em https://twitter.com/GossiTheDog Você pode oferecer atualizações e contexto técnico em tempo real.

Em suma, este incidente lembra que a segurança de um site é tão robusta quanto seu ponto mais fraco: os programas de terceiros que se carregam com privilégios na página são vetores poderosos e devem ser tratados com as mesmas garantias de integridade, inspeção e contingência que o próprio código da organização. Para os usuários de criptomoedas a regra prática que segue salvando fundos é simples: verificar duas vezes o endereço, fazer um teste e preferir confirmações fora da app quando o montante é significativo.