美国司法部长Todd Blanche：X阻止大规模改密攻击

美国司法部长Todd Blanche发文称，本周有“老练的网络犯罪分子”对数十万X用户发起密码恢复攻击，平台已打断攻击以防账户被夺，司法部正与X追查幕后人员，并称屏幕背后没有避风港。

攻击形态是冲着“忘记密码”流程：用户未操作却收到来自官方域名的重置邮件和六位数验证码，有人三分钟内连收八封，有人早上同一时段连收十余封。工程师Mridul Singhai对内解释，攻击者似乎认定X Money已向合格用户铺开后，拿下账户更有油水；公司当时称尚未发现系统被攻破的证据，并就邮件轰炸致歉。公开用户名即可反复触发重置表单，不等于密码库失窃。

X Money于7月对X Premium用户开放，含银行卡约3%返现、即时支付与免费取现等支付功能，使社交账号更接近资金入口。总法律顾问James Burnham称法务与安全团队将追责。平台侧建议打开双重验证，并启用仅用户名不能单独重置的保护项。司法部长未公布手法细节、是否已有个别账户失守，以及攻击者所在地。

历史对照是2020年7月：攻击者社会工程打进内部管理工具，替换确认邮箱并强行重置约130个账号，搬走约11.8万美元比特币。此次公开口径强调的是表单被批量触发，而非内部后台再次失守。白宫7月另设人工智能开发者与关键基础设施的漏洞共享协调组，与本案无直接证据链，只说明同期执法把网络诈骗与账户劫持列为优先项。

谁在买谁在卖：事件驱动的是支付功能上线后的账户套利，不是广告流量。攻击者买的是能过重置门的会话，卖的是接管后的代币喊单或钱包转出；受益的是已开双重验证和重置保护的用户，承压的是把支付层叠在公开用户名恢复流程上的平台。司法部介入把一起产品安全事件写成跨境追缉叙事，定价权从工程日志转到公诉机关。

路透社向X求证时未立即获书面回复。官方只确认攻击被打断、账户未被规模“捕获”，未给出被针对用户的精确名单或拦截成功率。

来源：公开信息