Специалисты по блокчейн-безопасности компании SlowMist обнаружили вредоносный JavaScript-код в виджете для общения со службой поддержки сервиса Udesk. Виджет встраивается на вебсайты, собирает учетные данные посетителей и заменяет адреса для внесения депозитов как минимум на трех криптоплатформах.
Код был спрятан в модифицированном файле udeskApi.2026-10-16.cached.js. Целевой адрес закодирован в шестнадцатеричном формате, чтобы нельзя было найти простым поиском по доменному имени. После декодирования скрипт загружал второй файл, deeps.js, с домена udeskqlobal[.]com, именно с буквой q, а не g, подчеркнули специалисты SlowMist.
После запуска вредоносный код считывал файлы cookie и данные из хранилища браузера, копировал данные, которые пользователи вводили в формы, а также перехватывал содержимое запросов, в URL-адресах которых встречались слова login, signup и password. Все эти данные отправлялись на сервер в том же домене. По оценкам SlowMist, злоумышленники могли использовать полученные данные для подмены личности пользователей или захвата аккаунтов.
Как работала подмена адресов
Второй модуль скрипта включался только на криптоплатформах MGBX, Biking Exchange и BitxEX. На страницах для депозитов скрипт каждые 200 миллисекунд проверял отображаемый адрес и заменял другим.
- Затронуты активы в сети Биткоина
- Активы в EVM-совместимых блокчейнах
- Сети Tron, Solana, Litecoin и Dogecoin
