В чат-виджете поддержки Udesk нашли вредоносный код, подменявший адреса криптодепозитов

Специалисты компании SlowMist, которая занимается безопасностью блокчейнов, нашли вредоносный код в скрипте чат-виджета службы поддержки Udesk. Такой виджет встраивают на сайты, чтобы клиенты могли написать в поддержку. Заражённая версия делала две вещи: собирала данные посетителей и на страницах пополнения как минимум трёх криптоплатформ подменяла адрес для депозита на адрес злоумышленников.

Главное в этой истории — атака шла не через сам сайт биржи, а через сторонний сервис, которому сайт доверял. Пользователь заходил на настоящий домен, видел привычную страницу и всё равно мог отправить монеты не туда. SlowMist опубликовала разбор 27 октября.

Как работал скрипт

Вредоносный загрузчик был дописан в конец обычного кода виджета в файле udeskApi.2026-10-16.cached.js. Адрес, с которого он подтягивал основную часть, был закодирован в шестнадцатеричном виде, чтобы его не нашли простым поиском. Затем загружался второй файл, deeps.js, с домена udeskqlobal[.]com — в названии стоит буква «q» вместо «g», то есть домен маскировался под настоящий.

Дальше работали два модуля:

• Кража данных. Скрипт читал cookie и хранилище браузера, копировал то, что люди вводили в формы, и перехватывал запросы на страницах входа, регистрации и смены пароля. По оценке SlowMist, этого достаточно, чтобы выдать себя за пользователя или захватить его аккаунт. Сбор данных, по данным исследователей, не ограничивался тремя целевыми площадками.
• Подмена адресов. Этот модуль включался только на страницах депозита бирж MGBX, Biking Exchange и BitxEX. Каждые 200 миллисекунд он проверял показанный адрес и менял его на один из шести кошельков злоумышленников — для сетей Bitcoin, EVM-совместимых блокчейнов (Ethereum и др.), Tron, Solana, Litecoin и Dogecoin.

Самая неприятная деталь: скрипт подменял и скопированный текст, причём несколькими способами. Человек, который сверял вставленный адрес с адресом на странице, видел совпадение — потому что поддельными были оба.

Что известно и что нет

SlowMist не сообщила, как именно код попал в скрипт Udesk, сколько сайтов загрузили заражённую версию и успели ли пользователи отправить средства на подменённые адреса. Сумма ущерба на момент публикации неизвестна, комментариев Udesk в материалах об инциденте нет.

Компаниям, которые подключали этот виджет, исследователи советуют прекратить загрузку скрипта, сверить адреса депозитов с данными собственного бэкенда и историей транзакций и сменить скомпрометированные учётные данные. Важный нюанс: удаление тега скрипта со страницы не отключает уже запущенные в браузере таймеры и перехватчики, поэтому пострадавшим пользователям стоит закрыть такие вкладки и менять пароли и токены с «чистого» устройства.

Не первая атака через цепочку поставок

Взлом сторонних библиотек, которые подключают к себе криптосервисы, — известная схема. В декабре 2023 года через подменённую библиотеку Ledger Connect Kit у пользователей ряда DeFi-сервисов, включая SushiSwap и Zapper, увели около $500 тыс. Буквально на днях мы писали и о других инцидентах октября — утечках данных клиентов у Coinbase и Bithumb, которые тоже случились через подрядчиков и внутренние системы, а не через взлом кошельков. Общий вывод: даже на настоящем сайте адрес на экране — это ещё не гарантия.