火曜日、多数の著名な暗号資産アカウントやCoinDeskのスタッフを含む数千人のXユーザーが、不正なパスワードリセットメールを受信したと報告された。しかし、現時点でX自体が侵害された証拠は確認されていない。
複数の暗号資産業界関係者を含むユーザーが認可されていないパスワードリセットメールの大量送信を報告しており、アカウント乗っ取りを狙う攻撃や情報漏えいの可能性が懸念されている。中には数時間で10通以上のメールを受け取ったケースもある。
Xは暗号資産界において重要な情報発信プラットフォームとして機能しており、トレーダーやプロジェクト関係者、経営者が主に発表やマーケットコメント、取引アイデア、新着情報の共有に利用している。
暗号資産投資家のNic Carterは火曜日、「多くのユーザーが」不正なリセット試行を受けていると述べ、Xのパスワードリセット保護機能の有効化を促した。別の利用者のcap.ethは、二要素認証を有効にしているにもかかわらず、「執拗に」リセットを試みられていると明かしている。
CoinDeskスタッフのうち少なくとも4名も同日に同様のメールを受領しており、中にはXに関連づけられたメールアドレスを公にしていない者も含まれていた。
ただし、この事象は攻撃者が必ずしもメールアドレスを入手していることを意味しない。Xのセキュリティ規約によれば、公開されているユーザーネームを用いてパスワードリセット要求が可能であり、Xは対応するアカウントのメールアドレスにリセットメールを送信する仕組みとなっている。パスワードリセット保護を有効化している場合は、要求者がメールか電話番号での確認を追加で行う。
現在のところ、Xのシステム侵害や大規模なアカウント乗っ取りの証拠はない。X社は今回のパスワードリセット試行について公的なコメントを出しておらず、組織的攻撃やセキュリティインシデントの特定もされていない。
以前にもXは大規模なアカウント情報流出を経験している。2021年にユーザーのメールアドレスや電話番号とTwitterアカウントを紐づけるAPIの脆弱性が悪用され、2億件以上のデータが2023年にダークウェブ上で出回った。しかし、今回の大量のパスワードリセットメール発生と過去の流出に関連がある証拠は今のところ確認されていない。