慢霧：Udesk 客服腳本遭植入惡意程式，竊登入資料、竄改入金地址
區塊鏈資安公司慢霧（SlowMist）警告，客服系統 Udesk 相關的網頁腳本遭植入惡意程式碼，會竊取用戶的登入資料，並在特定網站把入金地址換成攻擊者的地址。慢霧 10 月 27 日在 X 上發布警訊，並公開完整的技術分析。
很多網站會嵌入 Udesk 的腳本，在頁面角落放客服按鈕與聊天視窗。慢霧在例行威脅情報調查中發現這類腳本被動了手腳，取得兩個樣本分析後，確認惡意程式同時做兩件事：收集能用來冒充登入的資料，以及竄改入金地址與剪貼簿內容。慢霧沒有說明惡意程式碼是怎麼進到腳本裡的，也沒有公布受害平台或損失金額。
藏在客服腳本結尾，從仿冒網域載入惡意程式
慢霧分析的樣本檔名為 udeskApi.2026-10-16.cached.js，前段是客服按鈕、聊天視窗等正常功能，結尾多了一段獨立的程式。這段程式把網址寫成十六進位編碼，解碼後才看得出它會從 udeskqlobal.com 載入另一支名為 deeps.js 的腳本。慢霧特別提醒，這個網域是 q 開頭的「qlobal」，不是 global，搜尋時要照原拼法。
廣告 - 內文未完請往下捲動
慢霧也指出，客服聊天視窗雖然放在獨立的框架裡，從主頁面載入的第三方腳本並不會因此被隔離，能讀到主頁面的資料。
所有嵌入網站都會被收集登入資料
deeps.js 一執行，就會讀取網頁上的 cookie 與瀏覽器本機儲存的資料，連同頁面網址送到攻擊者的伺服器。之後使用者送出表單，或頁面發出網址含 login、auth、password 等字眼的請求時，帳號、密碼、驗證碼等內容也會被複製一份送出。
慢霧強調，這段收集程式在判斷網站之前就已經執行，所以不只特定網站，凡是載入這支腳本的頁面都可能外洩資料。如果裡面有仍然有效的登入憑證，攻擊者可以冒充使用者登入、甚至接管帳號。
鎖定三個網站，入金地址每 0.2 秒掃描替換
竄改地址的功能則只針對三組網域規則啟動，分別比對 mgbx.com、bikingex 與 bitxex.io。網址含有 deposit、recharge、assets 等字眼時，程式每 200 毫秒掃描一次頁面，看到符合格式的入金地址就換成攻擊者預設的地址，涵蓋比特幣、EVM 鏈、波場、Solana、萊特幣與狗狗幣六種。
程式也同時改寫複製功能：按下複製按鈕、或用其他方式複製時，剪貼簿裡的地址也可能被換掉。慢霧提醒，使用者就算比對頁面上的地址與複製出來的內容，看到的也可能是同一個被竄改的值。
慢霧建議停用受影響腳本、撤銷登入憑證
慢霧建議，仍在載入受影響腳本的業者先保存證據再停止發布，換回經過驗證的版本，並檢查網站代管、CDN 與標籤管理設定；接著從乾淨環境撤銷可能外洩的登入工作階段、更換密碼與金鑰，並透過可信管道核對入金地址與相關交易紀錄。慢霧也在報告中公開了惡意網域、檔案雜湊值與六個攻擊者錢包地址，供業者比對。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
