關於律動BlockBeats網頁頁面被植入異常腳本的安全公告

本週，多家安全公司向律動 BlockBeats 報告與 DarkSword 有關的安全漏洞，經排查後發現，在 10 月 22 日，律動 BlockBeats 的移動網頁端 H5 頁面的一篇名為「全球市場避險情緒……」的內容頁面被攻擊團隊複製，並植入了一段來自第三方域名的異常腳本，當用戶在此搜尋該條快訊時，搜尋頁面會同時出現原快訊和被植入腳本的惡意快訊，我們已在確認後的第一時間復現並完成清除與修復工作。

同時，由於 DarkSword 有關的安全漏洞實際有效的利用窗口集中在 iOS 18.6–18.7.2 以及 iOS 26.0–26.1 兩個版本區間。我們也提醒所有 iOS 用戶及時升級最新的 iOS 27 系統。

本週全球 PHP 漏洞事件發生後，律動 BlockBeats 已經排查了超過數十個相關漏洞，技術人員仍在繼續排查。

需強調的是，律動 BlockBeats 從未支持過任何「錢包登陸」或「連接錢包」功能，任何需要「錢包登陸」或「連接錢包」的律動 BlockBeats App 均為第三方虛假 App。律動 BlockBeats 將進一步加強第三方腳本的接入審核和變更管理，持續監測頁面加載的外部資源，並完善異常情況的告警與處置流程。

在這裡，也感謝包括慢霧 SlowMist，GCSA 等安全公司第一時間提供的協助，我們在這裡對所有在一線維護行業安全的人表示感謝。