Una etiqueta publicitaria estuvo 24 horas reescribiendo direcciones de criptomonedas: el caso Adform, explicado

Cuando en publicidad digital se habla de seguridad de marca, casi siempre se habla de lo mismo: junto a qué contenido aparece mi anuncio. Lo que ocurrió a finales de julio con Adform apunta al lado contrario, y es bastante más incómodo: el problema no estuvo en el anuncio, sino en la etiqueta que lo sirve.

El caso se contó en medios de ciberseguridad y pasó casi de largo por la prensa de marketing. Merece un repaso, porque el mecanismo se puede repetir con cualquier proveedor.

Qué pasó exactamente

Entre el final del 26 de julio de 2026 y la tarde del 27, durante aproximadamente 24 horas, un fichero JavaScript servido por Adform estuvo alterado. En concreto trackpoint-async.js, distribuido desde s2.adform.net.

La dimensión importa para entender el alcance: según el análisis de Kaspersky, Adform sirve alrededor de 1.500 millones de impresiones publicitarias al día en decenas de miles de sitios web. Cualquiera que visitara una página con esa etiqueta quedaba expuesto.

Cómo funcionaba, y por qué es más sutil de lo que parece

No intentaba instalar nada. El código añadido hacía algo más discreto:

• Vigilaba el portapapeles cada pocos segundos —los análisis publicados difieren entre tres y cuatro— buscando direcciones de monederos de Bitcoin, Ethereum y Tron.
• Si encontraba una, la sustituía por la de los atacantes. Los fondos enviados acababan en otro bolsillo.
• El portapapeles no era la única vía: la muestra capturada también reescribía direcciones escritas directamente en campos de formulario.
• Solo actuaba mientras la página afectada permaneciera abierta, y según la compañía el código no estaba pensado para instalar software ni para persistir en el equipo.

El investigador independiente Kevin Beaumont, que destapó el compromiso, describió lo difícil que era escapar: «aunque te des cuenta de que la dirección está mal y vuelvas a copiar el monedero, lo sigue reemplazando». Añadió además un detalle que explica por qué nadie lo vio venir: en ese momento, ni el fichero ni sus URL, dominios o direcciones IP daban detección alguna en VirusTotal.

Por qué esto es un problema de cadena de suministro

Aquí está lo que interesa a quien compra o vende publicidad. La documentación de la propia Adform explica que su código de seguimiento puede desplegarse en una página, en algunas secciones o en un sitio entero sin condiciones. Es lo habitual y es lo cómodo.

Esa comodidad es exactamente lo que se aprovechó: comprometer un único recurso compartido dio acceso a sitios que nadie tuvo que atacar uno por uno. Ninguna de esas webs fue vulnerada; simplemente cargaban, como siempre, un fichero de un tercero en el que confiaban.

Qué hizo Adform y qué sigue sin saberse

La compañía detectó el incidente el 27 de julio, retiró el código malicioso, avisó a los clientes afectados y lo puso en conocimiento de las autoridades. Recomendó además vaciar la caché del navegador, porque el fichero alterado podía quedar almacenado incluso después de la corrección, y comprobar cualquier dirección de monedero antes de enviar fondos.

Dicho lo cual, quedan dos huecos que conviene no maquillar:

• No se ha explicado públicamente la causa raíz. El comunicado detalla qué pasó y cuándo, pero no cómo entraron.
• La cronología pública no cuadra del todo. El aviso de la compañía señala el 27 de julio como fecha afectada, mientras que Beaumont afirmó haber observado actividad maliciosa durante la semana anterior.

Qué me llevaría de aquí

• Haga inventario de qué etiquetas de terceros corren en todo su sitio. No las que sirven anuncios: las que se cargan en todas las páginas «porque siempre ha sido así».
• Limite el alcance de lo que no necesita estar en todas partes. Un script de medición en la sección donde mide es menos superficie que el mismo script en el dominio completo.
• Tenga previsto cómo purgar caché si un proveedor le avisa. En este caso, corregir el fichero en origen no bastaba para los navegadores que ya lo tenían guardado.
• Y pregunte por la causa raíz cuando le notifiquen un incidente. Saber qué pasó no es lo mismo que saber por qué fue posible, y solo lo segundo dice si volverá a ocurrir.

Este artículo explica un incidente ocurrido entre el 26 y el 27 de julio de 2026, no una novedad de esta semana. La información procede del análisis publicado por Kaspersky el 11 de agosto de 2026, de la cobertura de The Hacker News del 1 de agosto de 2026 y de la divulgación inicial del investigador Kevin Beaumont, con la muestra del script publicada por Max Maass. Los detalles sobre la respuesta de la compañía proceden de su propio aviso, recogido en esas fuentes.

Para seguir: qué es Adform y qué abrió a los agentes de IA semanas antes la otra cara del brand safety una marca que se llevó la compra programática a casa.

Foto de portada: «Code Coding», de Negative Space, publicada en StockSnap bajo licencia CC0 1.0 (dominio público).