Aanvallers zijn erin geslaagd om de populaire meetdienst StatCounter te hacken en hebben hier vervolgens gebruik van gemaakt bij een aanval op cryptobeurs Gate.io. StatCounter meet het aantal bezoekers dat een website krijgt en heeft naar eigen zeggen meer dan 2 miljoen aangesloten websites. Deze websites moeten de StatCounter-JavaScriptcode aan hun website toevoegen zodat bezoekers kunnen worden gemeten.

Door StatCounter te hacken konden aanvallers hun JavaScriptcode op alle websites plaatsen die van de meetdienst gebruikmaken. De kwaadaardige code die werd toegevoegd zocht specifiek naar een url die verwees naar het overmaken van bitcoins. De specifieke url werd alleen bij Gate.io aangetroffen, een redelijk populaire cryptobeurs, met name in China.

De JavaScriptcode die de aanvallers hadden toegevoegd verving het bitcoinadres waar Gate.io-gebruikers bitcoins naar wilden overmaken. De aanval werd ontdekt door anti-virusbedrijf ESET. De virusbestrijder stelt dat slachtoffers de aanpassing waarschijnlijk niet meteen opmerkten, aangezien de aanpassing pas plaatsvond nadat ze op verzonden hadden geklikt. Het is op dit moment onbekend hoeveel bitcoins de aanvallers hebben gestolen.

Volgens onderzoeker Matthieu Faou laat de aanval zien dat zelfs websites die up-to-date en goed beschermd zijn risico lopen als er een zwakke schakel aanwezig is. In dit geval was het een externe derde partij die op een groot aantal websites actief is. "Dit is weer een reminder dat externe JavaScriptcode onder beheer van een derde partij staat en op elk moment en zonder aankondiging kan worden aangepast", aldus Faou. Zowel StatCounter als Gate.io zijn door ESET ingelicht, maar beide bedrijven hebben op het moment van schrijven nog geen melding van het incident gemaakt.