SlowMist、Udeskチャットスクリプトの入金アドレスすり替えを3つの仮想通貨取引所で検知

Udeskチャットスクリプトに隠された悪性コード

外部サイトに埋め込まれたカスタマーサポート用チャットウィジェットに、訪問者のログイン情報を収集し、仮想通貨の入金アドレスを書き換える隠しコードが仕込まれていたことが分かった。少なくとも3つの仮想通貨取引所が対象で、ブロックチェーンセキュリティ企業のSlowMistが2026年10月27日(火)に公表した。同社の脅威インテリジェンス部門が日常的な監視作業の中で改ざんスクリプトを発見し、監視サービスMistEyeを通じて影響を受ける顧客に警告を配信した。問題のファイルはudeskApi.2026-10-16.cached.jsで、Udeskがサイトにサポートボタンとチャット窓を設置するために提供している公式スクリプトだ。SlowMistはXに注意喚起を投稿し、同日に詳細な技術レポートも公開した。

@SlowMist_Team · Xの投稿

Xに注意喚起を投稿.

Xで見る

データ収集処理は、サイトごとの判定ルールより手前、スクリプトを読み込んだ全ページで実行される設計だった。このため、ウィジェットを埋め込んだあらゆるサイトで認証情報が漏れ得る。SlowMistは、チャット窓がiframeで実装されていても意味がなかったと指摘する。ホスト側のページに読み込まれたスクリプトはiframe内のデータをそのまま読み取れるからだ。一方、アドレスすり替え機能の対象は絞られており、MGBX、Biking Exchange、BitxEXの3ドメインに一致した場合のみ起動する。これらの取引所の入金・チャージ・資産ページでは、スクリプトが200ミリ秒ごとに表示内容を走査し、表示中の入金アドレスを攻撃者が管理する6つのウォレットアドレスの一つに差し替える。対象チェーンはビットコイン、イーサリアム仮想マシン系、Tron、Solana、ライトコイン、ドージコインに及ぶ。さらに3経路でコピー操作も書き換えたため、アドレスを別の場所に貼り付けて照合するという習慣的な確認方法すら、両端で同じ改ざん済みの値を見せられる可能性がある。SlowMistは、コードがUdeskスクリプトにどう侵入したのか、何サイトがスクリプトを読み込んでいたのか、実際に送金が代替アドレスに届いたのかについては言及していない。

16進法表記で攻撃ドメインを隠蔽

悪性ローダーはファイルの末尾、ウィジェット本来のサポートボタンとチャット窓のコードの後に配置されていた。コマンドアンドコントロール(C2)のアドレスは16進法で記述されており、平文のままドメイン名を検索しても見つからない仕掛けだ。デコードすると、ローダーはudeSqlobal.comからdeeps.jsという第二のスクリプトを取得する。SlowMistが綴りを強調した点は重要だ。ドメインは「global」のgではなく「q」で始まる。ログを精査する防御担当者はこの文字列を正確に扱う必要がある。deeps.jsの実行直後、スクリプトはCookieとブラウザストレージを読み取り、ページURLとともに同一ドメイン上のサーバーへ転送する。続いてフォーム送信と、アドレスにlogin、auth、passwordなどの語を含むリクエストへフックを仕掛け、ユーザーが送信した瞬間にアカウント名、パスワード、認証コードを複製する。SlowMistは、この種の盗難データが攻撃者によるユーザー成りすましやアカウント乗っ取りに直結し得ると記している。対策としては、まだ該当スクリプトを読み込んでいる事業者は、証拠保全を最優先し、ファイル配信を停止した上で検証済みバージョンへ差し戻し、ホスティング、CDN、タグマネージャーの設定を見直すよう指示された。その後、漏えいの可能性があるセッションを無効化し、クリーンな環境からパスワードと鍵を更新した上で、入金先を信頼できるバックエンドと取引記録と照合する。SlowMistは、スクリプトタグを削除しても既に設置済みのフックとタイマーは無効にならないとして、影響のあるページを閉鎖するよう注意を促した。レポートには悪性ドメイン、ファイルハッシュ、6つのウォレットアドレスも掲載されており、事業者は自社ログとの照合に使える。

今回の事案は特定の取引所の侵入ではなく、共有インフラを標的としたサプライチェーン攻撃だ。データ収集がサイト判定より前に走るため、影響範囲を事前に切り取ることが難しく、ウィジェットを掲載した全ページが潜在対象になる。近い前例は2023年12月のLedger Connect Kitライブラリ改ざん事件で、この時はSushiSwapやZapperなど複数のフロントエンドのユーザーから約50万ドルが流出した。今回のケースは、クリップボード書き換えが照合による防御を無力化する点で一歩厄介だ。それでも、SlowMistがファイルハッシュと6つのアドレスを公開したことで、事業者は自社ログを具体的に突き合わせられる。サードパーティ依存を点検する開発チームは、ブロックチェーンセキュリティ監査の基本項目から着手できる。