Вредоносный скрипт в виджете Udesk подменяет криптоадреса на трёх платформах

.Специалисты по блокчейн-безопасности из компании SlowMist выявили вредоносный JavaScript-код в виджете для общения со службой поддержки сервиса Udesk. Этот виджет размещается на веб-сайтах, собирает учётные данные посетителей и подменяет адреса для внесения депозитов как минимум на трёх криптоплатформах. Вредоносный код был скрыт в модифицированном файле udeskApi.2026-10-16.cached.js. Целевой адрес был закодирован в шестнадцатеричном формате — это затрудняет его обнаружение путём поиска по доменному имени. После декодирования скрипт загружал второй файл — deeps.js — с домена udeskqlobal[.]com (с буквой q вместо g), отметили в SlowMist. При запуске вредоносный код считывал файлы cookie и данные из хранилища браузера, копировал информацию, которую пользователи вводили в формы, а также перехватывал содержимое запросов, содержащих в URL-адресах слова login (вход), signup (регистрация) и password (пароль). Все собранные данные отправлялись на сервер в том же домене. По мнению экспертов SlowMist, злоумышленники могли применять полученные данные для подмены личности пользователей или захвата их аккаунтов. Второй модуль скрипта активировался исключительно на криптоплатформах MGBX, Biking Exchange и BitxEX. На страницах для депозитов скрипт с интервалом в 200 миллисекунд проверял отображаемый адрес и подменял его на другой. Это затрагивало активы в сети Биткоина, в блокчейнах, совместимых с Виртуальной машиной Эфириума (EVM), а также в сетях Tron, Solana, Litecoin и Dogecoin. Поскольку скрипт мог переписывать скопированный текст, пользователи, которые сравнивали вставленный адрес с тем, что видели на странице, могли получить подменённый адрес. SlowMist не сообщила, как именно вредоносный код попал в скрипт Udesk, сколько сайтов его загрузили и были ли средства отправлены на поддельные адреса. Эксперты компании советуют организациям, которые по‑прежнему используют эти скрипты, прекратить их распространение, а также сверить адреса для депозитов с доверенными бэкэндами и записями транзакций. Напомним, что в прошлом году специалисты SlowMist обнаружили, что злоумышленники изменили права доступа владельца к кошельку Solana и похитили криптовалюту на сумму свыше 3 миллионов долларов. Схема работала так: пользователь переходил по фишинговой ссылке на фальшивый сайт и подписывал транзакцию, а команда assign незаметно переписывала поле на адрес злоумышленника.