Инцидент демонстрирует, что даже привычные элементы интерфейса сайта могут стать инструментом атаки, если используемый сторонний компонент оказывается скомпрометирован.
Как вредоносный код оказался в виджете поддержки
В ходе анализа эксперты обнаружили подозрительные фрагменты в файле <span>udeskApi.2026-10-16.cached.js</span>. Вредоносная логика была замаскирована внутри JavaScript-кода, а адрес следующего этапа загрузки был представлен в шестнадцатеричном виде. Это затрудняло обнаружение угрозы при обычном поиске по исходникам.После декодирования скрипт обращался к домену <span>udeskqlobal[.]com</span>, где размещался дополнительный файл <span>deeps.js</span>. В названии домена использовалась буква q вместо g, что могло помогать маскировать вредоносную инфраструктуру под знакомое обозначение.
Какие данные могли попасть к злоумышленникам
После запуска код получал доступ к различным пользовательским данным, доступным странице в браузере. В частности, он мог собирать:- cookie и сведения из браузерного хранилища;
- информацию, которую посетители вводили в веб-формы;
- содержимое запросов, связанных со входом в аккаунт, регистрацией и вводом пароля.
Согласно анализу SlowMist, сбор информации не ограничивался только криптовалютными площадками, на которых была предусмотрена функция подмены депозитных адресов. Это существенно расширяло потенциальный круг пострадавших сайтов, загружавших зараженный скрипт.
На каких криптобиржах обнаружили подмену адресов
Отдельный модуль вредоносной программы был ориентирован на три торговые платформы: MGBX, Biking Exchange и BitxEX.На страницах пополнения счета скрипт регулярно проверял отображаемые криптовалютные адреса и мог заменять их на заранее заданные значения. Проверка выполнялась примерно каждые 200 миллисекунд, что позволяло оперативно изменять информацию в интерфейсе.
По данным исследователей, подмена затрагивала адреса для следующих активов и сетей:
- Bitcoin (BTC);
- блокчейны, совместимые с Ethereum Virtual Machine (EVM);
- Tron (TRX);
- Solana (SOL);
- Litecoin (LTC);
- Dogecoin (DOGE).
Почему проверка скопированного адреса могла не помочь
Вредоносный код вмешивался не только в отображение адресов, но и в механизмы копирования текста. Поэтому попытка скопировать реквизиты и затем сравнить их с информацией на странице не обязательно позволяла обнаружить подмену.Если пользователь отправлял криптовалюту на измененный адрес, средства могли поступить непосредственно на кошелек злоумышленников. В зависимости от особенностей блокчейна и дальнейших действий получателя вернуть такой перевод обычно крайне сложно.
При этом SlowMist не сообщила, сколько сайтов использовали скомпрометированные файлы и были ли подтверждены реальные потери средств в результате этой атаки.
Как защитить криптовалютные активы
Эксперты рекомендуют компаниям, которые могли подключать затронутые скрипты, прекратить их распространение и провести проверку сторонних компонентов сайта. Также необходимо сверить депозитные адреса с доверенными серверными источниками и записями транзакций.Пользователям криптовалютных платформ стоит соблюдать дополнительные меры предосторожности:
- Проверять полный адрес получателя непосредственно перед переводом.
- Сопоставлять адрес и выбранную сеть с данными из независимого доверенного источника.
- Не считать отображение адреса на сайте и его копирование гарантией подлинности.
- Если есть подозрение на компрометацию аккаунта, сменить пароль с чистого устройства, завершить активные сессии и отозвать доступные для отзыва токены авторизации.
- При обнаружении подозрительной активности обратиться в официальную службу безопасности биржи.
Что известно об инциденте
На момент публикации исследования оставались открытыми вопросы о первоначальном проникновении вредоносного кода в файл Udesk, масштабах распространения зараженной версии и наличии подтвержденных случаев хищения криптовалюты.Главный вывод этой истории заключается в том, что безопасность криптовалютных операций зависит не только от защиты самой биржи. Скомпрометированный сторонний виджет или библиотека может создать угрозу для пользователей, даже если основной сайт продолжает работать в обычном режиме.
Поэтому контроль сторонних JavaScript-компонентов, проверка адресов для переводов и оперативное реагирование на подозрительную активность остаются важными элементами защиты цифровых активов.