広告配信スクリプト改ざんで暗号資産アドレスがすり替えられる——Adform事件が突きつける「第三者JS」の現実です

今日の深掘りポイント

• クリップボードとフォーム入力の「アドレスすり替え」は、ユーザーが最終確認を怠る一瞬を突く、高効率・低ノイズの資金窃取手口です。検知も遡及調査も難しいのが肝です。
• サブリソースインテグリティ（SRI）は静的資産にこそ有効ですが、頻繁に変わる広告系スクリプトには適用が難しく、CSPも「信頼されたドメイン自体が汚染された」場合の最後の盾にはなりにくいです。隔離（sandboxed iframe）と観測（差分モニタリング）に投資すべきです。
• 広告タグは国境を越える供給網の結節点です。広域かつ同時多発で資金が吸い上げられると、制裁関連アドレスへの送金混入リスクが生じ、金融・コンプライアンス面の二次被害が立ち上がります。
• 攻撃のTTPはWeb版「Clipper」系の進化形です。MITRE ATT&CKでは、Trusted Relationship（T1199）、JavaScript実行（T1059.007）、Clipboard Data（T1115）、Web Form Input Capture（T1056.003）、Obfuscated/Compressed（T1027）、Data Manipulation: Transmitted（T1565.003）が想定軸です。
• 即応は「どこで第三者JSがページ本体に触れているか」を棚卸しし、広告系は極力クロスオリジンのサンドボックスに押し込めることです。加えて、第三者JSの内容差分監視を運用の標準機能に昇格させるべきです。

はじめに

2026年7月27日、広告技術ベンダーAdformが配信するJavaScriptが改ざんされ、影響サイトの訪問者がコピーまたは入力したビットコイン、イーサリアム、トロンのウォレットアドレスが攻撃者のアドレスに置き換えられる事象が発生しました。Adformは不正コードを除去し、顧客へ通知したうえで、ユーザーにブラウザキャッシュのクリアと送金前のアドレス再確認を呼びかけています。Adformは2025年時点で約1,800の顧客と日次15億インプレッション規模とされ、供給網の「面の広さ」が今回の深刻さを物語ります。The Hacker Newsの報道に基づくファクトです。

本件は新奇性というより、第三者スクリプトの権限を前提に、資金移動の最終ステップをピンポイントに曲げる「静かで鋭い」攻撃です。即応性と実装可能性は高く、各社のWeb資産・広告運用・SOC監視の接点で、すぐに手を打てる余地が大きいと見ます。

深掘り詳細

事実関係（確認できていること）

• 2026年7月27日、Adform配信のJSが改ざんされ、ユーザーがコピーまたは入力したBTC/ETH/TRXアドレスを別アドレスに置換する不正挙動が生じたと報じられています。影響はユーザーが該当ページを開いている間に発現する性質です。
• Adformは不正コードの削除と顧客通知を実施し、ユーザーにはブラウザキャッシュのクリアと送金直前のアドレス確認を勧告しています。
• Adformは大規模な広告配信基盤を保有し、供給網経由で多数サイトに波及し得る構造です。以上はいずれもThe Hacker Newsの報道に基づく内容です。

編集部のインサイト（見落としがちな論点）

• クリップボード／入力フィールドの「すり替え」は、マルウェアが端末を恒常的に支配する必要がなく、ページ滞在中のみの短時間・低痕跡で利益化できる点が肝です。従来のエンドポイント型Clipperを、Webのサプライチェーン面から実現したとも言える進化形です。
• 広告タグはしばしばトップレベルDOMにアクセスするヘッダービディングや計測スクリプトとして動作し、クロスオリジンiframeに閉じ込められていない場合があります。今回の置換が成り立つのは、こうした「同一DOM上でのイベントフック」が可能な組み込み形態が存在するからと推測します（技術的詳細は未公表のため仮説です）。
• SRIは強力ですが、広告系のようにバージョンや内容が頻繁に変わる第三者JSには適用が難しい現実があります。CSPでドメインを許可しても、そのドメイン自体が汚染されれば無力化します。結局、隔離（サンドボックス化・クロスオリジン化）と観測（内容差分監視・CSPレポート・実行経路の可視化）を組み合わせる設計が「壊れにくい現実解」になります。
• 資金洗浄・制裁回避との接点は地政学的リスクとして軽視できません。攻撃者アドレスが特定クラスタと紐づけば、意図せず送金した利用者・事業者が二次的なコンプライアンス問題に巻き込まれる懸念があります（本件での関連性は未確認であり、編集部の一般的リスク論としての指摘です）。
• インシデント後の「可視化の質」も重要です。影響期間・不正アドレスのハッシュ・配信パスなどの開示があれば、サイト運営者・取引所・チェイナリシス系の追跡が迅速化します。透明性の高さは供給網への信頼回復の要になります。

脅威シナリオと影響

以下は報道の事実関係を踏まえた仮説シナリオと、対応するMITRE ATT&CKの観点です。

• シナリオA：寄付・投げ銭・個人ウォレット送金のすり替えによる即時窃取です。

  • Initial Access: Trusted Relationship（T1199）——信頼済み第三者ドメイン由来スクリプトが汚染され、正規サイトの文脈で実行されます。
  • Execution: Command and Scripting Interpreter: JavaScript（T1059.007）——ブラウザ内で不正JSが動作します。
  • Collection: Clipboard Data（T1115）、Input Capture: Web Forms（T1056.003）——コピーイベントやフォーム入力を監視します。
  • Defense Evasion: Obfuscated/Compressed Files and Information（T1027）——小型化・難読化されたコードですり抜けます。
  • Impact: Data Manipulation: Transmitted Data Manipulation（T1565.003）——送信・転記前のアドレスを改ざんします。

• シナリオB：取引所・決済事業者の入金フロー妨害とコンプライアンス波及です。

  • 同上のTTPに加え、ビジネスメール詐欺（BEC）に似た「決済宛先の微細改ざん」として利用者混乱を誘発します。結果として、誤送金補償や制裁スクリーニングの追加負荷が生じます。

• シナリオC：同一侵害面の再利用（Magecart系への転用）です。

  • 同じ供給網改ざん経路で、クレカスキミングや資格情報収集へとペイロードを差し替える派生が成立します。これは検知・封じ込めの観点で「今回だけの特殊事案ではない」という意味を持ちます。

検知・封じ込めのチャンスは、以下の時点に存在します。

• 第三者JSの内容が「ウォレットアドレス正規表現やoncopyフック」を新規に含む瞬間の差分検知です。
• CSPのreport-toで、想定外のスクリプト読込やインライン実行が生じた事後シグナルの収集です。
• サイトの送金UIで「ペースト後のアドレス変化」を検知するUXガードレール（ペースト後にハッシュを固定表示し、フィールド外からの再書換時に警告）です。

セキュリティ担当者のアクション

優先度高（0–72時間）

• 影響調査の起点を明確化します。自社ドメイン群でAdformを含む第三者広告・計測JSのインベントリを最新化し、読み込み元・埋め込み形態（トップレベル直挿し／クロスオリジンiframe内）を棚卸しします。ログ上はRefererとscript-srcのドメイン、レスポンスハッシュで素早く絞り込みます。
• サイト運用側では、当該第三者JSのキャッシュパージとバージョン固定を実施し、疑わしい期間のアセットを強制無効化します。CDNのキャッシュキーにビルドハッシュを導入して、意図しない内容置換を抑制します。
• 暗号資産関連の入金・寄付導線がある場合は、UI上で「ペースト直後のアドレスを分割表示（先頭/末尾）し、確認チェックを必須化」「ワンクリックコピー専用ボタンでアドレスを安全に供給」「QRコード優先化」など、人間工学的な再確認フローを即時に追加します。
• SOCでは、影響期間にAdform関連ドメインへのアクセスが多い社内クライアント群を抽出し、ハイリスクな送金行為の有無（社内ウォレット利用や管理対象ブラウザの拡張機能経由の送金）を確認します。端末側の恒常的汚染は本件の主筋ではないものの、併発を除外するためにスキャンを実施します。
• 顧客コミュニケーションを迅速に行い、「送金前の宛先再確認」「キャッシュクリア」「疑わしい取引の申告窓口」を明示します。

設計の見直し（短中期）

• 第三者JSの隔離強化を行います。広告・計測は原則クロスオリジンのsandboxed iframeに収容し、親DOMへのアクセスを断ちます。allow属性は最小化し、top-navigationや同一オリジン化を安易に許容しない方針に改めます。
• SRIは「本当に静的」なライブラリに限定し、バージョン固定＋ハッシュを運用標準に格上げします。動的資産は、ベンダーがバージョン付き安定URLを提供する場合に限ってSRI適用を検討し、そうでなければ自社ホスト＋署名検証などの代替を検討します。
• CSPはstrict-dynamic＋nonce運用を基本とし、自己拡張型のスクリプト連鎖を抑制します。もっとも、今回のように信頼ドメイン自体が汚染された場合の万能薬ではないため、「読込先の縮小」と「サンドボックス化」を併用します。
• Permissions-Policyでclipboard-read/clipboard-writeを明示的に無効化する方針を採り、少なくとも非要件ページでは機能を閉じます。なお、ユーザー主導のコピーイベント書換は仕様上抑止が難しいため、完全防御にはなりませんが、攻撃面の縮小には寄与します。
• 第三者JSの内容差分モニタリングを運用に組み込みます。具体的には、許可済み外部JSを定期取得してハッシュ・AST差分を取り、以下のようなヒューリスティクスで検知します（概念例です）。
  • oncopy/onpasteイベントの新規フック追加です。
  • ウォレットアドレスの正規表現（BTCのbc1/1/3、ETHの0x…、TRXのT…など）を検出する文字列パターンです。
  • navigator.clipboard系APIの新規利用です。
• 取引・入金系フローにはUXガードレールを常設します。アドレスのビットごとのハッシュを視覚的に再確認させる、過去に利用したアドレスの許可リストを提示する、ペースト後に別イベントで値が変化した場合の警告を入れるといった工夫が有効です。
• ベンダー管理を再設計します。第三者タグの導入はタグマネージャの承認フローを必須化し、契約上は「コード署名・変更通知・インシデント時の技術的指標（IOC）開示」をSLAに織り込みます。

スレットインテリジェンス／監査

• 供給元から不正アドレスや影響期間が開示された場合は、オンチェーン追跡のウオッチリストに登録し、ミキシングサービスや既知クラスタへのフローを監視します。制裁スクリーニングに抵触する恐れがあるため、誤送金の検知・エスカレーション手順を整備します。
• 自社サイトで発生し得た誤送金の有無を照合するため、該当期間のサポート問い合わせ、返金要請、異常な入金失敗率の統計を突き合わせることを推奨します。

最後に——今回のスコアリングが示唆するのは、目新しさより「即応性と現実解」の必要性の高さです。第三者JSの権限は、私たちが思う以上にユーザーの最終行為へ深く届いています。隔離と観測を地道に積み上げ、万一のときに「どこが、いつ、何を変えたか」を言語化できる組織だけが、広域サプライチェーンの時代を安全に渡り切れるはずです。

参考情報

• The Hacker News: Hackers Poison Adform Script to Swap Crypto Wallet Addresses on Client Websites（2026-08-01） https://thehackernews.com/2026/08/hackers-poison-adform-script-to-swap.html