Специалисты по блокчейн-безопасности компании SlowMist обнаружили вредоносный JavaScript-код в виджете для общения со службой поддержки сервиса Udesk. Виджет встраивается на вебсайты, собирает учетные данные посетителей и заменяет адреса для внесения депозитов как минимум на трех криптоплатформах.
Код был спрятан в модифицированном файле udeskApi.2026-10-16.cached.js. Целевой адрес закодирован в шестнадцатеричном формате, чтобы нельзя было найти простым поиском по доменному имени. После декодирования скрипт загружал второй файл, deeps.js, с домена udeskqlobal[.]com, именно с буквой q, а не g, подчеркнули специалисты SlowMist.
После запуска вредоносный код считывал файлы cookie и данные из хранилища браузера, копировал данные, которые пользователи вводили в формы, а также перехватывал содержимое запросов, в URL-адресах которых встречались слова login (вход), signup (регистрация) и password (пароль). Все эти данные отправлялись на сервер в том же домене. По оценкам SlowMist, злоумышленники могли использовать полученные данные для подмены личности пользователей или захвата аккаунтов.
Второй модуль скрипта включался только на криптоплатформах MGBX, Biking Exchange и BitxEX. На страницах для депозитов скрипт каждые 200 миллисекунд проверял отображаемый адрес и заменял другим. Это затрагивало активы в сети Биткоина, совместимых с Виртуальной машиной Эфириума (EVM) блокчейнах, а также в сетях Tron, Solana, Litecoin и Dogecoin. Скрипт способен переписывать скопированный текст, поэтому пользователи, сравнивающие вставленный адрес с тем, что видели на странице, могли получить подменененный адрес.
SlowMist не уточнила, каким образом код попал в скрипт Udesk, сколько сайтов его загрузили и были ли отправлены средства на поддельные адреса. Специалисты SlowMist порекомендовали компаниям, которые все еще загружают эти скрипты, прекратить их распространение и сверить адреса для депозитов с доверенными бэкэндами и записями транзакций.
В прошлом году эксперты SlowMist выяснили, что злоумышленники изменили права доступа владельца к кошельку Solana, украв криптовалюту на сумму более $3 млн. Когда человек переходил по фишинговой ссылке на фальшивый сайт и подписывал транзакцию, команда assign незаметно переписывала это поле на адрес злоумышленника.
Будь в курсе! Подписывайся на Телеграм.
Подписывайтесь на страницы новостей криптовалют -
