Udesk 脚本被黑：窃取凭证并每 0.2 秒窜改入金地址

据 Woofun AI 消息，区块链资安公司慢雾（）发出严正警告，广泛使用的客服系统 相关网页脚本遭到恶意程式码植入，该后门程式具备窃取用户登入资料的能力，并会在特定网站环境下将入金地址悄然替换为攻击者控制的地址。

10 月 27 日，慢雾在 X 平台上发布了详细的技术警讯与分析报告。研究团队在例行威胁情报调查中拦截到两个可疑样本，其中关键样本档名标记为 udeskApi.2026-10-16.cached.js。经逆向工程分析发现，该档案前段保留了客服按钮与聊天视窗等正常功能代码，但在结尾处隐藏了一段独立运行的恶意程式。这段程式通过十六进位编码技术掩盖真实意图，解码后显示其会从仿冒网域 udeskqlobal.com 载入名为 deeps.js 的外部恶意脚本。慢雾特别强调，该仿冒网域使用"qlobal"而非标准的"global"拼写，业界在进行威胁搜寻时必须严格对照此拼法差异，以免误判。

值得注意的是，尽管客服聊天视窗通常运行在独立框架内，但从主页面载入的第三方脚本并未被有效隔离，从而获取了读取主页面数据的权限。

Woofun AI 整理显示，deeps.js 一旦执行，即开始全面扫描用户的浏览器环境。它会直接读取网页上的 cookie 以及浏览器本机储存资料，并连同当前页面网址打包发送至攻击者的伺服器。当用户提交表单，或页面发出包含 login、auth、password 等关键字眼的请求时，程式会同步复制帐号、密码及验证码等敏感资讯并外传。慢雾指出，由于这段资料收集逻辑在判断具体网站域名之前便已执行，因此其影响范围并非局限于特定目标，而是涵盖所有载入该受感染脚本的页面。若用户浏览器中存留有效的登入凭证，攻击者即可利用这些数据冒充合法使用者登入系统，甚至进一步接管整个帐号的控制权。

除了全域性的凭证窃取，该恶意程式还针对特定交易所实施精准的金流窜改攻击。攻击脚本设定了三组网域规则，分别针对 mgbx.com、bikingex 与 bitxex.io 进行比对。当用户访问这些网站且网址中包含 deposit、recharge、assets 等与资产相关的关键字时，恶意程式会启动高频监控机制，每 200 毫秒（即 0.2 秒）扫描一次页面内容。一旦侦测到符合格式的入金地址，程式会立即将其替换为攻击者预设的地址。

这种替换覆盖了比特币、 链、波场、、莱特币以及狗狗币等多种主流加密货币网络。更危险的是，程式同时劫持了剪贴簿功能，当用户点击复制按钮或手动复制地址时，剪贴簿内的内容同样会被置换。这意味著即使用户试图比对页面显示的地址与复制出的内容，两者可能均为已被窜改的恶意地址，导致资金直接流入骇客口袋。

针对此次供应链攻击事件，慢雾提出了一系列紧急防御建议。首先，仍在使用受影响脚本的业者应立即保存现有证据，并停止发布该脚本，换回经过验证的安全版本。同时，需彻底检查网站代管服务、CDN 配置以及标签管理设定，确保恶意代码未被渗透至基础设施层面。其次，建议从干净环境中撤销所有可能外泄的登入工作阶段，强制更换密码与金钥，并透过可信管道核对入金地址与相关交易纪录，以确认资金安全。为协助业界进行排查，慢雾在报告中公开了恶意网域、档案杂凑值以及六个攻击者钱包地址，供各大平台比对封锁。

加密货币投资具有高度风险，市场价格波动剧烈，投资者可能损失全部本金，请谨慎评估风险。此次 Udesk 供应链攻击再次暴露了第三方服务依赖带来的隐患，当基础设施层面出现漏洞时，下游应用将面临无差别威胁。随著 Web3 生态对中心化客户端依赖度依然较高，这类针对流行工具的供应链攻击或将成为常态化威胁，机构需建立更严格的第三方代码审计机制，以应对日益复杂的资安防御挑战。