SlowMist, Udesk 채팅 스크립트가 3개 거래소 입금 주소를 교체한 사실 경고

Udesk 채팅 스크립트에 숨은 악성 코드

제3의 웹사이트에 삽입되는 고객 지원 채팅 위젯 안에 방문자의 로그인 정보를 수집하고 암호화폐 입금 주소를 바꿔치기하는 숨은 코드가 심어져 있었다. 블록체인 보안업체 SlowMist는 10월 27일 화요일, 최소 세 곳의 암호화폐 거래소를 겨냥한 이 변조 스크립트를 확인했다고 밝혔다. SlowMist의 팀은 평소 위협 인텔리전스 업무 중 이 스크립트를 발견했고, 자사의 MistEye 모니터링 서비스를 통해 피해 가능성이 있는 고객에게 경보를 전달했다. 문제의 파일은 udeskApi.2026-10-16.cached.js로, 웹사이트가 지원 버튼과 채팅창을 페이지에 넣을 수 있도록 Udesk가 배포하는 스크립트다. SlowMist는 같은 날 X에 올린 경고문에서 문제를 알렸고, 전체 기술 분석 보고서도 함께 공개했다.

@SlowMist_Team · X 게시물

X에 올린 경고문.

X에서 보기

정보 수집 루틴은 사이트별 규칙 검사보다 앞서, 스크립트를 불러오는 모든 페이지에서 실행됐다. 이 때문에 위젯을 삽입한 어떤 사이트든 로그인 자격증명이 새어 나갈 수 있었다. SlowMist는 채팅창이 아이프레임으로 감싸져 있어도 방어가 되지 않는다고 지적했다. 호스트 페이지에 로드된 스크립트는 그 데이터를 그대로 읽을 수 있기 때문이다. 주소 교체 모듈의 범위는 더 좁았다. MGBX, Biking Exchange, BitxEX 세 도메인 규칙과 일치할 때만 작동했다. 해당 거래소의 입금·충전·자산 페이지에서 스크립트는 200밀리초마다 화면을 훑었고, 표시된 입금 주소를 공격자가 통제하는 여섯 개의 지갑 주소 중 하나로 바꿔치기했다. 이 지갑은 비트코인, 이더리움 가상머신 기반 체인, 트론, 솔라나, 라이트코인, 도지코인에 걸쳐 있었다. 또한 스크립트는 세 가지 경로로 복사된 텍스트까지 다시 썼다. 사용자가 주소를 다른 곳에 붙여 넣어 비교하려 해도 양쪽에서 같은 변조된 값을 보게 만든다는 뜻이다. SlowMist는 이 코드가 Udesk 스크립트에 어떻게 유입됐는지, 몇 개 사이트가 이를 로드했는지, 실제로 자금이 대체 주소로 흘러갔는지는 밝히지 않았다.

16진수 기법으로 숨긴 공격자 도메인

악성 로더는 파일 맨 끝, 위젯의 지원 버튼과 채팅창 코드 뒤에 붙어 있었다. 명령제어 주소는 16진수로 기록되어 있어 도메인 문자열을 평문으로 검색하면 찾지 못할 수 있다. 디코딩하면 로더는 udeskqlobal.com에서 deeps.js라는 이름의 두 번째 스크립트를 내려받았다. SlowMist는 철자를 강조했다. 도메인이 'g'가 아니라 'q'로 시작하며, 로그를 검색하는 방어자는 이 정확한 문자열을 기억해야 한다는 것이다. deeps.js가 실행되는 즉시 쿠키와 브라우저 저장소를 읽어 같은 도메인의 서버로 페이지 주소와 함께 전송했다. 이어서 폼 제출과, 주소에 로그인, 인증, 비밀번호 같은 단어가 든 요청을 가로채 사용자가 보내는 계정 이름, 비밀번호, 인증번호를 그대로 복사했다. SlowMist는 이런 데이터를 탈취당하면 공격자가 사용자를 사칭하거나 계정을 통째로 넘볼 수 있다고 적었다. 대응 지침도 함께 나왔다. 아직 해당 스크립트를 로드 중인 사업자는 증거를 먼저 보존하고, 파일 배포를 중단하며, 검증된 버전으로 되돌리고, 호스팅과 콘텐츠전송네트워크, 태그 관리자 설정을 점검하라는 것이다. 그 뒤 잠재적으로 새어 나간 세션을 폐기하고, 깨끗한 환경에서 비밀번호와 키를 교체한 뒤, 입금 목적지를 신뢰할 수 있는 백엔드와 거래 기록과 대조하라는 순서다. SlowMist는 스크립트 태그만 삭제해서는 이미 설치된 훅과 타이머가 해제되지 않으므로 해당 페이지를 아예 닫아야 한다고 경고했다. 보고서는 악성 도메인, 파일 해시, 여섯 개 지갑 주소도 공개해 운영자가 자체 로그와 대조할 수 있게 했다.

이번 사건의 본질은 특정 거래소의 침해가 아니라 공유 인프라를 노린 공급망 공격이다. 정보 수집이 사이트 검사보다 앞서 실행됐기 때문에 위젯을 실은 모든 페이지가 피해 범위에 들어가며, 폭발 반경을 가늠하기 어렵다. 가장 가까운 선례는 2023년 12월 변조된 Ledger Connect Kit 라이브러리 사건이다. 이 라이브러리는 SushiSwap, Zapper 등 프런트엔드 사용자에게서 약 50만 달러를 빼돌렸다. 이번 사건에는 더 흉한 층이 얹혀 있다. 클립보드조차 다시 쓰기 때문에 많은 사용자가 방어 습관으로 여기는 복사 후 비교 절차까지 무력화된다. SlowMist가 파일 해시와 여섯 주소를 공개한 것은 운영자에게 로그를 대조할 수 있는 구체적 기준을 준 셈이며, 제3의 의존성을 점검하는 팀은 블록체인 보안 감사의 기본 항목부터 확인할 수 있다.