Script malicioso do Udesk rouba dados de login e altera endereços de depósito em exchanges

Visão geral

O código oculto injetado no arquivo do Udesk monitora formulários e cookies de visitantes, afetando inclusive páginas sem regras específicas de direcionamento, além de trocar endereços de depósito para seis carteiras controladas por invasores.

O que aconteceu

• Segundo a Unchained, a SlowMist divulgou que o script de atendimento ao cliente do Udesk foi adulterado para roubar dados de login de visitantes e substituir endereços de depósito em pelo menos três sites de trading.
• O arquivo comprometido (udeskApi.2026-10-16.cached.js) continha um loader oculto em hexadecimal que baixava um segundo script chamado deeps.js.
• A coleta de dados abrange cookies, armazenamento do navegador e campos digitados em formulários com termos como login, signup ou password, enviando as informações para um servidor dos invasores.
• Em plataformas específicas — MGBX, Biking Exchange e BitxEX —, o script checa as páginas de depósito a cada 200 milissegundos e troca os endereços exibidos por um de seis modelos de carteiras substitutas para Bitcoin, redes EVM, Tron, Solana, Litecoin e Dogecoin.

Números-chave

Intervalo de verificação

200 msFrequência com que o script checa as páginas de depósito para realizar a troca de endereços.

Carteiras substitutas

6Quantidade de carteiras utilizadas para desviar ativos de Bitcoin, EVM, Tron, Solana, Litecoin e Dogecoin.

Citações

“even when the hostname does not match any of the three site-specific rules, the script first enters the data collection path and installs hooks.”

— SlowMist

“The use of an iframe for the customer service chat window does not automatically isolate scripts loaded into the host page.”

— SlowMist

Por que importa

O incidente demonstra como vulnerabilidades em widgets de terceiros integrados a sites corporativos podem ser exploradas para desviar fundos de usuários em exchanges e comprometer dados confidenciais de navegação.