SlowMist警告：Udesk聊天组件被用于劫持三家交易所的加密货币存款_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

SlowMist警告：Udesk聊天组件被用于劫持三家交易所的加密货币存款

2026-10-28 00:41:40

区块链安全公司SlowMist警告：Udesk聊天组件被用于劫持三家交易所的加密资产存款

区块链安全公司SlowMist报告称，许多网站嵌入的第三方客服聊天小部件Udesk所连接的JavaScript代码，已被恶意利用以收集访客登录凭证，并篡改至少三个加密货币交易平台的充值地址。

安全漏洞针对加密货币交易所

SlowMist于周二表示，其分析师在日常威胁监控过程中发现了这段恶意代码。据该公司介绍，其MistEye监控系统检测到了该问题并向客户发出警报，引发了人们对受影响范围的担忧。

Udesk是一家第三方客服软件提供商，常被交易所和在线企业集成，以促进客户沟通。通过拦截这一广泛使用的小部件，攻击者得以跨越多个平台接触用户。

被篡改的文件名为“udeskApi.2026-10-16.cached.js”，在合法的小部件代码后附加了一个隐藏的短加载器脚本。该加载器的目标地址经过混淆处理，采用十六进制格式，使得使用标准搜索可读域名难以发现。

一旦解码，该加载器会从域名为“udeskqlobal[.]com”的网站中提取第二个恶意脚本——这是一个特意使用的拼写错误，旨在规避简单的域名检查。SlowMist建议，在审查网络日志以查找受损证据时，务必保持“q”的正确拼写。

微型词典： Udesk是一个基于云的客服平台，通过实时聊天、工单系统和集成能力为企业提供在线支持解决方案，使其成为电子商务和交易网站上流行的小部件。

攻击范围与方法

SlowMist澄清，这段恶意代码不仅局限于最初提到的三家加密货币交易所。报告指出，即使网站的地址与这些目标不符，脚本仍会开始收集数据并安装监控钩子（hooks）。此外，使用iframe嵌入客服小部件并不能保护主机网站，因为通过iframe加载的脚本仍然可以与用户会话交互并收集敏感数据。

对于MGBX、Biking Exchange和BitxEX这三家交易所，当用户访问充值页面时会触发第二个模块。注入的代码每200毫秒扫描一次这些页面，动态地将显示的钱包地址替换为攻击者控制的六个地址之一，这些地址兼容Bitcoin、EVM链、Tron、Solana、Litecoin和Dogecoin。为了进一步隐藏其存在，攻击还通过多种技术手段修改了任何复制的充值地址文本，即使用户将粘贴的文本与原始页面进行比较，也难以察觉这种替换。

受影响的交易所	攻击机制	涉及的资产
MGBX	每200毫秒更换充值地址，挂钩用户操作	BTC, EVM Chains, Tron, Solana, Litecoin, Dogecoin
Biking Exchange	更换充值地址，追踪复制粘贴活动	BTC, EVM Chains, Tron, Solana, Litecoin, Dogecoin
BitxEX	更换充值地址，重写剪贴板内容	BTC, EVM Chains, Tron, Solana, Litecoin, Dogecoin

影响不明及推荐行动

SlowMist未具体说明恶意代码是如何引入到Udesk脚本中的，也未说明有多少公司使用了该受损文件。该公司也未确认此次事件是否导致任何加密货币资金实际损失。

在其发布的建议中，SlowMist敦促仍在使用受损脚本的组织立即删除它们，确保任何泄露的凭证得到保护，并验证充值地址是否与可信记录及后端系统中列出的地址一致。该公司警告称，仅仅删除恶意脚本标签是不够的，因为之前激活的钩子和计时器将继续运行。相反，SlowMist建议关闭受影响的页面，并从安全的系统重置所有密码和访问令牌。

SlowMist的报告强调，移除嵌入式脚本并不会停用系统中已经存在的恶意钩子或计时器，因此企业在暴露后应进行彻底的清理和安全审查。