页面上复制的充值地址，粘贴出来也可能是假的。这不是吓唬人的说法，是慢雾10月27日披露的一个真实手法，值得每个还在往交易所充值的人看一眼。
事情出在一个很多人都不会留意的角落，网站右下角那个客服聊天窗口。慢雾检查了两份样本，发现一份本该是客服功能的脚本里被塞进了一个额外的加载器，这个加载器会再去一个长得很像官方域名的地址下载第二份文件，那个域名把 global 里的 g 换成了 q，肉眼一扫很容易放过。脚本一旦跑起来，能读到浏览器里 JavaScript 可以接触到的 cookie，还有 localStorage 和 sessionStorage 里存的东西，也能盯着登录表单和登录请求，把输入的账号信息往外送。有 HttpOnly 保护的 cookie 不在它能读的范围里，这一点要说清楚，不是所有登录凭证都会被它拿到。
对散户来说更直接的一环在充值页面。慢雾说，在 MGBX、Biking Exchange 和 BitxEX 这三家交易网站的充值页上，这份恶意代码会每 200 毫秒扫一遍页面，把显示出来的充值地址换成攻击者自己的地址，覆盖的币种包括比特币、以太坊兼容链、波场、Solana、莱特币和狗狗币。它还动了复制功能，改了复制按钮，也拦截了复制动作。也就是说，页面上看到的地址和你粘贴出来的地址，可能从一开始就是同一个假地址。以前大家教的办法是复制完再跟页面对一遍，在这个手法面前，这一步可能刚好对上了假的。
先把边界说清楚，免得传着传着变了味。慢雾没有确认有多少用户真的中招，也没有确认有没有账号因此被登录，更没有给出一个被盗金额，脚本是怎么被塞进去的也没有定论，更不等于所有用了这套客服系统的网站都被攻破了。我写的是它检查到的样本能干什么，不是说你打开过的每个客服窗口都有问题。
落到自己钱包上，有三件事现在就能做。第一，充值地址不要只跟当前页面上那个比，先拿你以前成功到账过的地址，或者平台官方 App 里的历史记录核对一遍，前后字符全对上再转，因为页面和剪贴板可能同时被改过。第二，大额不要一笔全转，先转一笔小的，确认到账再转剩下的，就算地址出了问题，损失也先卡在小额这一笔里。第三，如果你最近在带客服弹窗的网站上登过号，心里不踏实，就换一个干净的浏览器改密码，踢掉其他设备的登录会话，再把二次验证打开，别在同一个可能已经被污染的页面里改密码。
说到底，这次的手法没有碰链，也没有破钱包，破的是你我每天都会点开的那个网页角落。充值这一步多花半分钟核对，比事后到处找客服管用得多。
你充值前会核对地址前后几位，还是直接复制粘贴就转了？
#钱包安全 #防骗提醒 #SlowMist #交易所安全
—— web3韭菜小凯
本帖仅为个人观点与公开信息整理，不构成投资建议，事件进展与受影响范围以慢雾及相关平台后续披露为准。
事情出在一个很多人都不会留意的角落，网站右下角那个客服聊天窗口。慢雾检查了两份样本，发现一份本该是客服功能的脚本里被塞进了一个额外的加载器，这个加载器会再去一个长得很像官方域名的地址下载第二份文件，那个域名把 global 里的 g 换成了 q，肉眼一扫很容易放过。脚本一旦跑起来，能读到浏览器里 JavaScript 可以接触到的 cookie，还有 localStorage 和 sessionStorage 里存的东西，也能盯着登录表单和登录请求，把输入的账号信息往外送。有 HttpOnly 保护的 cookie 不在它能读的范围里，这一点要说清楚，不是所有登录凭证都会被它拿到。
对散户来说更直接的一环在充值页面。慢雾说，在 MGBX、Biking Exchange 和 BitxEX 这三家交易网站的充值页上，这份恶意代码会每 200 毫秒扫一遍页面，把显示出来的充值地址换成攻击者自己的地址，覆盖的币种包括比特币、以太坊兼容链、波场、Solana、莱特币和狗狗币。它还动了复制功能，改了复制按钮，也拦截了复制动作。也就是说，页面上看到的地址和你粘贴出来的地址，可能从一开始就是同一个假地址。以前大家教的办法是复制完再跟页面对一遍，在这个手法面前，这一步可能刚好对上了假的。
先把边界说清楚，免得传着传着变了味。慢雾没有确认有多少用户真的中招，也没有确认有没有账号因此被登录，更没有给出一个被盗金额，脚本是怎么被塞进去的也没有定论，更不等于所有用了这套客服系统的网站都被攻破了。我写的是它检查到的样本能干什么，不是说你打开过的每个客服窗口都有问题。
落到自己钱包上，有三件事现在就能做。第一，充值地址不要只跟当前页面上那个比，先拿你以前成功到账过的地址，或者平台官方 App 里的历史记录核对一遍，前后字符全对上再转，因为页面和剪贴板可能同时被改过。第二，大额不要一笔全转，先转一笔小的，确认到账再转剩下的，就算地址出了问题，损失也先卡在小额这一笔里。第三，如果你最近在带客服弹窗的网站上登过号，心里不踏实，就换一个干净的浏览器改密码，踢掉其他设备的登录会话，再把二次验证打开，别在同一个可能已经被污染的页面里改密码。
说到底，这次的手法没有碰链，也没有破钱包，破的是你我每天都会点开的那个网页角落。充值这一步多花半分钟核对，比事后到处找客服管用得多。
你充值前会核对地址前后几位，还是直接复制粘贴就转了？
#钱包安全 #防骗提醒 #SlowMist #交易所安全
—— web3韭菜小凯
本帖仅为个人观点与公开信息整理，不构成投资建议，事件进展与受影响范围以慢雾及相关平台后续披露为准。
