Udesk 脚本被植入恶意代码，窃取会话并替换充值地址

据 Woofun AI 消息， 客服系统脚本 udeskApi.2026-10-16.cached.js 被植入恶意加载器，该漏洞可导致用户会话被窃取及充值地址被篡改，威胁情报机构慢雾于 10 月 27 日披露此安全事件。

该恶意加载器通过十六进制编码隐藏目标地址，异步加载源自 udeskqlobal[.]com（域名以字母 q 开头）的远程脚本 deeps.js。一旦执行，脚本将读取页面可访问的 Cookie、localStorage 和 sessionStorage，并拦截表单及登录、认证类请求，将数据发送至 udeskqlobal[.]com/c.php，攻击者借此可能冒用会话或接管账户。

值得注意的是，该攻击还针对 [.]com、[.]与 [.]io 三类站点，每 200 毫秒扫描一次充值页面，将识别出的充值地址替换为预设的 、、、、 和 地址。

更关键的变量在于，攻击者通过包装剪贴板 API 及替换复制按钮，使用户复制的地址同样被篡改。Woofun AI 整理数据显示，相关 IOC 已纳入 威胁检测引擎，慢雾建议停止分发受影响脚本，在干净环境中撤销会话并轮换令牌和密码，通过可信后端核对充值地址与交易记录。

此次事件凸显了第三方客服脚本在 Web3 应用中的供应链安全风险，攻击者通过高频扫描与剪贴板劫持结合，大幅提升了资金盗取的成功率。这是继多起前端钓鱼攻击后，针对用户交互层的一次精准打击，行业需警惕此类隐蔽的中间人攻击模式。