美國司法部長Todd Blanche：X阻止大規模改密攻擊

美國司法部長Todd Blanche發文稱，本週有“老練的網絡犯罪分子”對數十萬X用戶發起密碼恢復攻擊，平臺已打斷攻擊以防賬戶被奪，司法部正與X追查幕後人員，並稱屏幕背後沒有避風港。

攻擊形態是衝着“忘記密碼”流程：用戶未操作卻收到來自官方域名的重置郵件和六位數驗證碼，有人三分鐘內連收八封，有人早上同一時段連收十餘封。工程師Mridul Singhai對內解釋，攻擊者似乎認定X Money已向合格用戶鋪開後，拿下賬戶更有油水；公司當時稱尚未發現系統被攻破的證據，並就郵件轟炸致歉。公開用戶名即可反覆觸發重置表單，不等於密碼庫失竊。

X Money於7月對X Premium用戶開放，含銀行卡約3%返現、即時支付與免費取現等支付功能，使社交賬號更接近資金入口。總法律顧問James Burnham稱法務與安全團隊將追責。平臺側建議打開雙重驗證，並啓用僅用戶名不能單獨重置的保護項。司法部長未公佈手法細節、是否已有個別賬戶失守，以及攻擊者所在地。

歷史對照是2020年7月：攻擊者社會工程打進內部管理工具，替換確認郵箱並強行重置約130個賬號，搬走約11.8萬美元比特幣。此次公開口徑強調的是表單被批量觸發，而非內部後臺再次失守。白宮7月另設人工智能開發者與關鍵基礎設施的漏洞共享協調組，與本案無直接證據鏈，只說明同期執法把網絡詐騙與賬戶劫持列爲優先項。

誰在買誰在賣：事件驅動的是支付功能上線後的賬戶套利，不是廣告流量。攻擊者買的是能過重置門的會話，賣的是接管後的代幣喊單或錢包轉出；受益的是已開雙重驗證和重置保護的用戶，承壓的是把支付層疊在公開用戶名恢復流程上的平臺。司法部介入把一起產品安全事件寫成跨境追緝敘事，定價權從工程日誌轉到公訴機關。

路透社向X求證時未立即獲書面回覆。官方只確認攻擊被打斷、賬戶未被規模“捕獲”，未給出被針對用戶的精確名單或攔截成功率。

來源：公開信息