SlowMist, Udesk müşteri hizmetleri sohbet betiğine entegre edilen gizli bir yükleyicinin, kullanıcıların giriş bilgilerini çaldığını ve MGBX, Biking Exchange ile BitxEX platformlarında kripto yatırma adreslerini sahte cüzdanlarla değiştirdiğini bildirdi.
Blokzincir güvenlik ve tehdit istihbaratı şirketi SlowMist, popüler müşteri hizmetleri sohbet bileşeni Udesk’in JavaScript betiklerine entegre edilen gizli bir zararlı yazılımın, kullanıcıların oturum açma verilerini topladığını ve en az üç kripto para ticaret platformunda para yatırma adreslerini değiştirdiğini duyurdu. Salı günü yayımlanan detaylı raporda, MistEye izleme servisleri tarafından tespit edilen bu tedarik zinciri müdahalesinin, hem veri gizliliğini hem de doğrudan varlık güvenliğini hedef aldığı vurgulandı.
Zararlı Kodun Çalışma Mekanizması ve Veri Toplama Yöntemi
SlowMist’in incelemelerine göre, saldırının merkezinde udeskApi.2026-10-16.cached.js adını taşıyan ve normalde web sitelerine gömülen widget dosyasına sonradan iliştirilmiş tahrif edilmiş bir dosya bulunuyor. Bu dosya içerisinde onaltılık formatta gizlenmiş kısa bir yükleyici yer alıyor; bu sayede standart metin tabanlı alan adı aramalarından kaçınılabiliyor.
Kod çözüldüğünde, yükleyicinin udeskqlobal[.]com adresinden deeps.js isimli ikinci bir betik çektiği görülüyor. Çalıştırıldığında söz konusu payload; tarayıcı çerezlerini, yerel depolama alanını ve form alanlarına girilen tüm metinleri kopyalıyor. Özellikle URL adresinde login, signup veya password gibi ifadeler geçen web isteklerinin içeriği doğrudan toplanarak aynı alan adındaki uzak bir sunucuya iletiliyor. SlowMist, bir sohbet penceresinin iframe içinde çalışmasının dahi ana sayfaya yüklenen betiklerin izolasyonu için yeterli koruma sağlamadığını ve bu veri toplama mekanizmasının hedeflenen üç borsa ile sınırlı kalmayarak genel bir risk yarattığını belirtti.
Hangi Borsalar Hedef Alındı ve Adres Değiştirme Nasıl Gerçekleşiyor?
Raporun ortaya koyduğu teknik detaylara göre, adres değiştirme modülü yalnızca belirli platformlarda aktif hale geliyor. MGBX, Biking Exchange ve BitxEX adlı üç ticaret sitesinin para yatırma sayfalarında, betik her 200 milisaniyede bir kontrol gerçekleştiriyor. Bu kontrol sırasında ekranda görüntülenen yasal para yatırma adresleri, Bitcoin, EVM tabanlı zincirler, Tron, Solana, Litecoin ve Dogecoin ağlarını kapsayan altı farklı sahte cüzdan adresiyle değiştiriliyor.
Saldırı mekanizmasının gelişmiş yönlerinden biri de panoya kopyalanan metinlerin müdahalesinde görülüyor. Betik, kopyalanan metinleri üç farklı rota üzerinden yeniden yazarak, kullanıcıların yapıştırdıkları adresi sayfa ile karşılaştırdıklarında dahi manipüle edilmiş değeri görmelerini sağlıyor.
Doğrulanan Veriler ve Belirsizlik Noktaları
SlowMist tarafından teyit edilen bulgular, zararlı kodun varlığını, hedef aldığı alan adlarını ve çalışma mantığını net bir şekilde ortaya koyuyor. Bununla birlikte, olaya dair bazı kritik sorular henüz yanıt bulmuş değil:
- Kodun Udesk'in resmi betik altyapısına tam olarak nasıl entegre edildiği, - Bu manipülasyondan kaç web sitesinin ve kullanıcının etkilendiği, - Sahte cüzdan adreslerine halihazırda ne kadarlık bir fon aktarıldığı konusundaki veriler henüz netlik kazanmadı.
Güvenlik Tavsiyeleri ve Alınması Gereken Önlemler
Güvenlik firması, hâlihazırda etkilenen betikleri yüklemeye devam eden işletmelerin acilen bu kodları kaldırması gerektiğini belirtiyor. Uzmanlar, sadece betik etiketini silmenin önceden yüklenmiş kancaları ve zamanlayıcıları iptal etmediği konusunda uyarıyor. Bu nedenle, web sitesi yöneticilerinin etkilenen sayfaları kapatması, güvenli bir ortamdan tüm kimlik bilgilerini, erişim token'larını ve şifreleri değiştirmesi, ayrıca para yatırma işlemlerini doğrudan güvenli arka uçlar ve işlem kayıtlarıyla doğrulaması öneriliyor.
Benzer tedarik zinciri saldırıları geçmişte de ekosistemi sarsmıştı. Aralık 2023'te Ledger’ın Connect Kit kütüphanesinin tahrif edilmesi sonucu SushiSwap ve Zapper gibi dApp ön yüzlerinden yaklaşık 500.000 dolar değerinde fon çekilmişti.
