SlowMist: шкідливий скрипт Udesk підміняв криптоадреси
Експерти SlowMist виявили атаку на скрипти Udesk: шкідливий код крав дані входу та підміняв адреси для поповнення рахунків на криптоплатформах
Експерти з кібербезпеки SlowMist виявили атаку через ін’єкцію шкідливого JavaScript-коду в скрипти системи обслуговування клієнтів Udesk. Код крав облікові дані користувачів і підміняв адреси для поповнення рахунків на криптовалютних платформах. Про це дослідники повідомили 27.10.2026.
Як працював шкідливий скрипт
За результатами аналізу двох файлів, зловмисники непомітно вбудували в систему прихований код. Він завантажував скрипт deeps.js із фейкового домену, який відрізнявся від оригіналу лише однією літерою: q замість g.
Програма діяла в кілька етапів. Спочатку вона зчитувала cookies, localStorage і sessionStorage браузера, намагаючись отримати активні токени авторизації. Завдяки їм зловмисники могли входити в акаунти користувачів без пароля. Паралельно скрипт перехоплював дані, які відвідувачі вводили у форми: імена, паролі, коди підтвердження та інформацію із запитів на вхід чи реєстрацію.
Викрадені дані надсилалися на сервер зловмисників. Якщо браузер блокував таку передачу, код маскував її під завантаження звичайного зображення.
Аналітики SlowMist відзначили дві важливі деталі. По-перше, розміщення чату в iframe не захистило сайти, адже скрипт мав доступ до всієї основної сторінки. По-друге, збір облікових даних відбувався на всіх ресурсах, де був встановлений уражений віджет Udesk, а не лише на окремих цільових майданчиках.
Підміна криптоадрес: ризики для користувачів
Окремий модуль шкідливого коду заміняв адреси депозитів і перехоплював операції копіювання. У коді були правила для трьох криптоплатформ. Скрипт перевіряв URL сторінки та елементи інтерфейсу, після чого кожні 200 мілісекунд шукав адреси депозитів і замінював їх на адреси зловмисників.
Підміна стосувалася шести типів активів: BTC, EVM-сумісних мереж, TRON, Solana, LTC та DOGE. Скрипт визначав адреси за шаблонами символів, не перевіряючи обрану мережу чи інші параметри транзакції. Це створювало ризик, що користувач перекаже кошти безпосередньо на гаманець зловмисників.
Крім того, скрипт втручався в буфер обміну трьома способами: перехоплював виклики Clipboard API, замінював кнопки копіювання та змінював вміст події копіювання. Тому підроблена адреса могла потрапити в буфер навіть тоді, коли користувач копіював інший текст.
Що рекомендують SlowMist
Дослідники закликали компанії, які використовують уражені скрипти, припинити їх розповсюдження та перевірити системи на ознаки компрометації. Також радять відкликати скомпрометовані облікові дані та звіряти адреси депозитів із надійними серверними даними й записами транзакцій.
Для звичайного користувача головне правило просте: перед переказом криптовалюти варто перевіряти адресу не лише в буфері обміну, а й в інтерфейсі оригінальної платформи. Нагадаємо, раніше виробник апаратних криптогаманців Keystone повідомив про витік даних клієнтів. Такі випадки показують, що безпека криптоактивів залежить і від сторонніх сервісів, підключених до сайтів бірж та платформ.
Що таке підміна криптоадреси?
Це атака, за якої шкідливий код замінює адресу гаманця для переказу коштів на адресу зловмисника. Користувач може непомітно відправити криптовалюту не на той рахунок.
Яку платформу атакували через Udesk?
Дослідники SlowMist не назвали конкретну платформу. За їхніми даними, скрипт містив правила для трьох криптоплатформ, а сам збір даних відбувався на всіх ресурсах із уражених віджетом Udesk.
Як захистити криптогаманець від підміни адреси?
Перевіряйте адресу отримувача вручну, звіряючи її з офіційним інтерфейсом платформи. Не покладайтеся лише на функцію копіювання та змінюйте паролі, якщо вводили їх на підозрілих сторінках.
Чи стосується атака лише користувачів Udesk?
Ні, загроза стосується відвідувачів сайтів, де був встановлений уражений віджет Udesk. Компаніям, які використовують цей сервіс, дослідники радять перевірити свої системи на ознаки компрометації.
