Diciamocelo: la truffa cripto classica ha sempre avuto un problema di casting. Il link finto, l'exchange che non esiste, il tizio su Telegram con la foto di Elon Musk. Roba che, se ci caschi, un po' te la sei cercata. Ma la novità dell'estate 2026 è più subdola, perché non ti chiede di cliccare su niente. Ti frega mentre fai la cosa più innocua del mondo: copia e incolla.
La storia è questa. Adform, azienda di ad tech che quasi nessuno conosce ma che ha lo script piazzato dappertutto — parliamo di circa 1.800 clienti e miliardi di impression pubblicitarie al giorno in oltre 180 Paesi — si è ritrovata il suo file JavaScript trackpoint-async.js trasformato in un ladro di criptovalute. Non un sito sospetto: siti normali, che montavano quello script per farti vedere le pubblicità, sono diventati senza saperlo il veicolo dell'attacco.
A scovarlo è stato il ricercatore di sicurezza Kevin Beaumont, uno di quelli che passa il sabato sera a leggere codice offuscato così tu non devi. Il meccanismo è tanto semplice quanto cattivo.
Come funziona: il classico dello scambio invisibile
Gli indirizzi dei wallet cripto sono quelle stringhe lunghissime e illeggibili che nessun essere umano digita a mano. Le copi e le incolli, punto. E qui sta il trucco: lo script infetto sorvegliava la clipboard. Nel momento in cui copiavi un indirizzo Bitcoin, Ethereum o Tron, lui lo sostituiva al volo con quello dell'attaccante. Tu incolli, controlli con la coda dell'occhio che sia "una robaccia lunga e casuale", confermi, e i soldi partono. Solo che partono verso il portafoglio sbagliato.
La parte davvero perfida: non si limitava alla clipboard. Riscriveva gli indirizzi anche direttamente nelle pagine e nei campi dei moduli. E se ti accorgevi che qualcosa non tornava e ricopiavi di nuovo, lui te lo cambiava un'altra volta. Un po' come quella persona che ti corregge sempre, ma al contrario e per rubarti i risparmi.
La brutta notizia dei supply-chain attack
Questo è il genere di attacco che dovrebbe toglierti il sonno più di dieci newsletter allarmiste messe insieme. Si chiama supply-chain attack: non bucano te, non bucano nemmeno il sito che visiti. Bucano un fornitore a monte — in questo caso lo script pubblicitario — e da lì l'infezione si propaga a valle su migliaia di siti perfettamente legittimi, senza che nessuno di loro venga toccato direttamente. Tu fai tutto giusto e ti freghi lo stesso. È la versione digitale di comprare la verdura biologica al supermercato di fiducia e scoprire che il problema era nel camion.
Adform dice di aver individuato e rimosso il codice malevolo il 27 luglio 2026, di aver contenuto l'incidente, avvisato i clienti e allertato le autorità. Il punto dolente è quello di sempre: mancano i numeri veri. Quanti siti hanno servito il file, quante persone sono passate di lì, quanti wallet sono stati svuotati. Silenzio. Lo script viaggiava indisturbato da giorni prima che qualcuno se ne accorgesse.
Cosa fare, senza panico ma senza ingenuità
Se nell'ultima settimana hai fatto anche solo una transazione in cripto su un sito qualsiasi, il consiglio ufficiale è: svuota la cache del browser (il file avvelenato può restare in memoria anche dopo la pulizia lato Adform) e ricontrolla ogni indirizzo verso cui hai mandato fondi dal 27 luglio in poi. E soprattutto interiorizza la regola d'oro che questo caso ci ricorda a suon di portafogli svuotati: prima di premere "invia", verifica sempre le prime e le ultime cifre dell'indirizzo. Non è paranoia, è manutenzione ordinaria in un'epoca in cui pure il copia-incolla può tradirti.
Morale della favola in salsa 2026: le cripto ce le hanno vendute come "sii la tua banca". Peccato che nessuno ci abbia avvisati che significava anche essere il tuo reparto sicurezza informatica. E che l'errore da un milione di dollari può nascondersi tra un Ctrl+C e un Ctrl+V.
Fonti:
Commenti (0)
Moderazione umana, firma anonima accettata. Per favore, niente insulti né maiuscole compulsive.
Ancora nessun commento.