SlowMist警示Udesk客服脚本篡改三家交易所充值地址

Udesk客服脚本暗藏恶意代码

区块链安全公司SlowMist于10月27日星期二披露,一个嵌入第三方网站的客服聊天组件携带隐藏代码,会窃取访客登录数据,并在至少三家加密货币交易所页面上改写充值地址。SlowMist团队在例行威胁情报工作中发现了这一被篡改的脚本,其MistEye监测服务已向受影响客户推送了告警。问题文件名为udestApi相关缓存脚本的udeskApi.2026-10-16.cached.js,是Udesk提供给网站用于部署客服按钮和聊天窗口的脚本。SlowMist当天在X平台发布安全预警,并同步放出了完整的技术分析报告。

SlowMist指出,这段数据收集代码在站点规则校验之前就会在每一个加载该脚本的页面上运行,因此任何嵌入了该组件的网站都可能泄露用户凭证。聊天窗口的iframe也起不到防护作用,因为注入宿主页面的脚本仍可读取其中的数据。地址替换模块的触发范围则更窄:它仅针对三条域名规则激活,分别对应MGBX、Biking Exchange和BitxEX三家平台。在这三家平台的充值、充币和资产页面,脚本每200毫秒扫描一次,把页面显示的充值地址替换为六个攻击者控制的钱包地址之一,覆盖比特币、以太坊虚拟机链、Tron、Solana、莱特币和狗狗币。脚本还通过三条独立路径改写复制的文本,也就是说,用户把地址粘贴到别处进行比对时,看到的可能仍是同一份被篡改的内容。SlowMist暂未说明这段代码是如何进入Udesk脚本的、有多少网站加载了它,以及是否真有资金流入替换地址。

十六进制手法藏匿攻击者域名

恶意加载器位于文件末尾,紧随客服按钮和聊天窗口的正常代码之后。其命令与控制地址以十六进制编码书写,直接对域名做明文检索很难发现。解码后,该加载器会从udeskqlobal.com拉取名为deeps.js的第二段脚本。SlowMist特别强调了拼写细节:该域名以字母q开头,而非global中的g,防守方排查日志时应保留这个精确字符串。deeps.js一旦执行,就会读取cookie和浏览器存储,并把它们连同页面URL一并转发到同一域名下的服务器。随后它挂钩表单提交以及地址中包含login、auth、password等字样的请求,在用户发送时截获账号名、密码和验证码。SlowMist写道,此类失窃数据足以让攻击者冒充用户或直接接管其账户。在处置建议上,仍在加载相关脚本的企业应先保全证据、停止分发该文件、回退到经过验证的版本,并检查主机、CDN和标签管理器的配置。之后,需在一套干净环境中撤销可能泄露的会话、轮换密码与密钥,再对照可信后端和交易记录核验充值去向。SlowMist提醒,仅删除脚本标签并不能解除已经安装的钩子和定时器,受影响页面应直接关闭。报告同时公布了恶意域名、文件哈希和六个钱包地址,便于运营方与自身日志逐一比对。

这一事件的本质是共享基础设施遭遇供应链攻击,而非某一家交易所被单独入侵,这也正是影响范围难以界定之处:数据收集发生在站点校验之前,凡加载了该组件的页面都在风险范围内。最接近的先例是2023年12月被篡改的Ledger Connect Kit库,当时包括SushiSwap和Zapper在内的多个前端用户约50万美元资产被清空。本案又多了一层更隐蔽的手法:剪贴板改写直接瓦解了许多用户赖以自保的复制比对习惯。SlowMist公布文件哈希和六个地址,给了运营方排查日志的抓手;筛选第三方依赖的团队,则可以从区块链安全审计中覆盖的基础项做起。