夜雨聆风经对VXXX App最新版本APK进行逆向分析，确认该App并非单纯的本地读数工具，而是具备明确的云端数据外联能力。核心外联链路为“HXXX云平台 + 第三方云存储”上传通道：App首先访问HXXX云平台的上传任务接口，创建上传任务并提交文件GUID、哈希值、大小、格式、类型、名称、显示名称、创建时间、时区偏移、读数信息、位置信息、设备列表、传感器列表等元数据；随后，App使用HXXX云平台返回的签名上传地址，通过第三方云存储的signed URL或断点续传（resumable upload）机制，上传实际压缩检测数据文件。
这意味着，出境数据并不仅限于运行日志。实际上传文件关联设备或传感器采集到的检测数据，包括读数记录、时间、位置、参数、单位、设备信息或传感器标识等。静态逆向同时发现，相关组件中存在第三方云存储域名、签名URL上传、会话初始化、对象上传、断点续传及resumable upload请求头等关键证据。简言之，HXXX云平台负责创建上传任务并返回签名地址，第三方云存储承担后续实际文件上传。
更值得关注的是，报告显示HXXX云上传并非仅有纯手动入口。登录用户创建新数据文件时，文件会自动进入上传排队；断网期间保存的文件，也可能在网络恢复稳定后自动上传。因此，在使用HXXX云账号、云同步或相关上传功能时，检测数据具备进入境外云链路的现实条件。
除主业务上传链路外，VXXX App还集成多类第三方云SDK，涵盖统计分析、身份认证、崩溃分析、验证辅助及云存储等能力。这些通道可能涉及installation ID、App实例标识、认证令牌、统计事件、崩溃上下文和验证上下文等信息。它们虽与检测数据文件上传不属于同一业务流程，但构成了App运行层面的第三方外联面。
境内公开线索显示，IXXXX公司相关设备在生态环境、自然资源、水文地质、高校、海洋及渔业等场景存在采购或使用记录。报告共整理出十余条境内采购或使用线索，说明相关产品在中国境内具备可达用户面和专业部署场景。
美国政府公开数据表明，IXXXX公司与美国政府部门之间存在持续采购关系，采购内容集中于水文设备、水质监测、地下水监测、传感器、校准及维修维护等方向，其中亦包括与水文、生态环境和工程监测相关的政府部门采购记录。这并不代表中国用户数据会直接流向美国政府或军方，但在敏感水源、地下水、饮用水、生态保护区、科研项目及地质环境监测等场景下，VXXX及其配套HXXX云平台应被视为具有境外云平台和美国政府合作背景的技术链路。
建议相关单位将VXXX App纳入移动端数据出境合规审查：如仅需现场读数、校准和本地保存，应避免登录HXXX云平台，不启用云同步，不使用自动上传或云端报告功能；单位网络应对HXXX云平台、第三方云存储、统计分析、崩溃上报、认证辅助等外联目标设置访问控制；涉及敏感项目时，优先采用离线导出和本地留存方式。完整技术细节、接口地址、域名归属及采购背景等，请下载报告全文查看。
注：本报告所有数据均来自公开媒体报道、学术文献及政府公开文件，仅用于学术研究。
相关分析报告（6181字）、《VXXX水文水质监测App数据出境风险调研报告》已进行合规化处理并上传至星球。
