全球網路安全聯盟（GCSA） · 安全團隊

10 月 22 日，GCSA 安全 Agent 在日常巡檢中發現，加密媒體 BlockBeats（區塊律動）的搜尋頁加載了來自 www.applonews[.]com 的可疑腳本。當時新聞搜尋結果正常顯示，頁面沒有要求連接錢包或確認交易。

一、無需點擊陌生鏈接：BlockBeats 搜尋頁如何加載可疑腳本？

【圖1】測試時保存的頁面截圖。搜尋結果正常顯示，未出現錢包連接或交易簽名提示。

我們使用 Chrome 模擬 iPhone 瀏覽器，兩次訪問 m.theblockbeats.info 的「比特幣」搜尋結果頁，均記錄到頁面先加載 in-static.js，隨後請求 start-view.html。網路記錄顯示，該腳本由 BlockBeats 搜尋頁發起加載，服務器返回了完整代碼。

in-static.js 會在網頁中插入一個隱藏頁面，加載 start-view.html。整個過程不需要讀者點擊任何按鈕。隨後，代碼會讀取瀏覽器報告的 iOS 版本，加載對應的後續文件。

後續代碼保留了「DS」標記，還註明會在漏洞利用停止響應或崩潰後重試。入口配置把 imToken、MetaMask、TronLink 等錢包列為目標。我們結合這些代碼和公開研究，將其判斷為 DarkSword 投放入口。最終攻擊程序尚未完整取得，腳本的引入來源也未查明。這次加載發生在媒體正式域名內，讀者無須另點陌生鏈接，就可能接觸這些代碼。

攻擊腳本：www.applonews[.]com/in-static.js  

【圖2】請求地址為 www.applonews[.]com/in-static.js，紅框標出對應請求。HTTP 200 表示服務器成功返回了腳本；Referer（來源頁面）記錄了 BlockBeats 地址。

【圖3】 發起來源（Initiator）顯示，in-static.js 由 BlockBeats 的「比特幣」搜尋頁加載。

【圖4】響應代碼（Response）顯示，in-static.js 會在網頁中創建隱藏頁面。

二、DarkSword 如何威脅 iPhone 錢包？

Google 威脅情報團隊在 2026 年 3 月 18 日披露，DarkSword 由六個漏洞組成，已知針對 iOS 18.4 至 18.7。它從瀏覽器入手，逐步取得更高的系統權限，使惡意程序能夠讀取原本無法通過網頁訪問的數據。即使沒有連接錢包或確認交易，存在相應漏洞的手機也可能在瀏覽網頁時受到攻擊。【1】 本次腳本按「iOS 18.4 及以上」選擇後續文件，範圍比公開確認的可攻擊版本更寬。較新的系統即使被導向該文件，也可能已經修 復漏洞。看到請求記錄，只能確認嘗試加載，不能據此認定手機已被攻陷。 

iVerify 在公開樣本中發現，入侵後的惡意程序會搜尋 MetaMask、imToken、Trust Wallet 等錢包的數據 文件，並竊取手機保存的密碼。【2】 如果從中取得可用的私鑰或助記詞，攻擊者就能在自己的設備上簽名，把 錢包里的 USDT 等資產轉走，無須再得到持有人的確認。【3】 錢包文件能否被解密，還取決於錢包的保護方式。應用被列入目標清單，也不意味著該錢包的每個用戶都已受害。 

不排除已有相關盜幣事件發生。

三、iPhone 用戶就應該如何應對：儘快更新系統

訪問過該頁面的 iPhone 用戶，應先到「設置—通用—軟體更新」安裝系統更新。【4】暫時無法更新，或需要 更嚴格保護的用戶，可以在「隱私與安全性」中開啟「鎖定模式」。它會停用部分可能被用於攻擊的網頁技 術，也會影響一些網站的正常功能。【5】 這些措施有助於減少後續攻擊，但如果數據已經被竊取，更新系統也 無法收回攻擊者手中的副本。 

如果出現自己沒有發起的轉賬，或確認手機已被入侵、私鑰或助記詞已經泄露，應停止在這台手機上操作錢 包。改用另一台系統已更新、沒有已知入侵跡象的設備，檢查交易並創建使用全新助記詞的錢包，再轉移剩 余資產。【6】把舊助記詞導入另一部手機，恢復的仍是同一錢包；如果助記詞已經泄露，單純換手機無法解決 問題。修改錢包解鎖密碼，也不能讓已經泄露的私鑰失效。 

需要進一步核查的用戶，可以保留訪問時間、當時的系統版本和異常交易記錄。向錢包官方支持或安全團隊 求助時，提供排查所需的記錄，不要向任何「檢測」網頁或私信聯繫人發送助記詞、私鑰。 

資料來源:

1. Google Threat Intelligence Group：DarkSword 攻擊鏈分析，2026-03-18。

2. iVerify：DarkSword 及錢包數據外傳分析。

3. MetaMask：助記詞與錢包控制權說明。

4. Apple：更新 iPhone 或 iPad。

5. Apple：關於鎖定模式。

6. Kraken：錢包失陷後的處置。

取證說明：已保存原始頁面、腳本、網路日誌（HAR）、入口配置及文件的 SHA-256 校驗值。正文中的可疑域名以 [.] 斷開，截圖保留原始 URL；紅框為排版標註，完整原圖另存。本文依據 2026-10-22 的樣本，不代表站點當前狀態。

（10月23日，GCSA安全團隊通過官方渠道聯繫到 BlockBeats 網站，將GCSA 安全 Agent 在日常巡檢中發現的網站隱患告之對方，並表示願意提供幫助，之後也收到 BlockBeats 官方郵件的正式回覆：我們已經解決，感謝貴公司提醒）

版權聲明：本報告及相關技術分析由GCSA全球網路安全聯盟獨家發布。如需轉載請完整保留GCSA官方出處及原始鏈接，並不得對報告核心觀點進行惡意篡改。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。