SlowMist 称 Udesk 聊天脚本中的隐藏代码会替换加密存款地址

SlowMist 于周二发布了分析报告，此前其团队在常规威胁情报工作中发现了该代码。该公司称，其 MistEye 监控服务已向客户推送警报。

通过免费的 Unchained Daily 新闻通讯，将 Unchained 的加密新闻发送到你的收件箱。

脚本如何运作

被篡改的文件 udeskApi.2026-10-16.cached.js 在该组件的正常代码之后隐藏了一个简短加载器。其目标以十六进制编写，因此搜索纯文本域名可能会漏掉它。解码后，它从 udeskqlobal[.]com 拉取第二个脚本 deeps.js。SlowMist 建议在搜索日志时保留该拼写（带 q）不变。

一旦运行，该有效载荷会读取 Cookie 和浏览器存储，复制用户输入表单的任何内容，并复制网址包含 login、signup 或 password 等词的请求内容。它将这些数据发送到同一域名下的服务器。SlowMist 表示，攻击者可利用其冒充用户或接管账户。

这种收集并不限于三个目标网站。SlowMist 在报告中写道：“即使主机名不匹配三条站点特定规则中的任何一条，脚本也会先进入数据收集路径并安装钩子。”聊天窗口的 iframe 也没有提供庇护：“客服聊天窗口使用 iframe 并不会自动隔离加载到宿主页面的脚本。”

六个替换钱包

第二个模块仅针对 MGBX、Biking Exchange 和 BitxEX 启用。在这些平台的充值页面上，该脚本每 200 毫秒检查一次，并将显示的地址替换为六个替代钱包之一，覆盖 Bitcoin、EVM 链、Tron、Solana、Litecoin 和 Dogecoin。该还通过三条独立路径重写复制文本，因此用户将粘贴的地址与页面进行比对时，“可能看到同一个被篡改的值”，该公司写道。

SlowMist 未说明该代码如何进入 Udesk 脚本、有多少网站加载了它，或是否有任何资金被发送至替代地址。

该公司告诉仍在加载这些脚本的企业“停止分发它们，处理已暴露的凭据，并对照可信后端和交易记录核验充值目的地”。它补充说，删除脚本标签“不会撤销已经安装的钩子和定时器”，并建议关闭受影响页面，并在干净环境中轮换密码和令牌。

第三方代码此前就曾波及加密用户。2023 年 12 月，Ledger 的 Connect Kit 库被篡改版本从 SushiSwap 和 Zapper 等 dApp 前端的用户处盗走了约 50 万美元。

相关收听：为什么从 Ledger 被盗取 1 亿美元经历了“数月的研发”

文章《SlowMist 称 Udesk 聊天脚本中的隐藏代码会替换加密充值地址》首次发布于 Unchained。