X 调查 X Money 上线后出现的密码重置潮

X 产品工程师 Mridul Singhai 于 9 月 1 日表示，公司正在调查一波发送给用户的未经请求的密码重置邮件和验证码，目前尚未发现任何账户遭入侵的证据。Singhai 认为，这可能是攻击者在测试账户，因为 X Money 现已广泛开放；该支付服务于 7 月 27 日向美国 Premium 和 Premium+ 订阅者开放。密码重置邮件来自 X 自有系统，该系统会在有人请求重置密码时自动发送邮件。据称，攻击者是在表单中批量输入公开用户名，而不是利用被盗数据。

攻击者将公开用户名批量输入密码重置表单

Mridul Singhai 于 9 月 1 日发帖称，攻击者似乎认为，X Money 现已广泛开放，因此可以借此未经授权地访问账户。这些邮件来自 X 自有的密码重置系统，该系统会在有人请求重置账户时自动发送邮件。据 X 称，攻击者将公开用户名批量输入该表单，而不是利用被盗数据。这些消息在 9 月 1 日激增前已经持续数周发送，X 尚未说明有多少账户受到影响。

X Money 于 7 月 27 日向美国 Premium 订阅者开放

X 于 7 月 27 日向美国 Premium 和 Premium+ 订阅者开放 X Money。这是该服务继 6 月测试后首次面向更广泛消费者推出，并且仅限于部分年满 18 岁的用户。该服务是一款类似 Venmo 的支付应用，允许用户持有存款、发送点对点支付、支付账单和进行电汇；余额由 Cross River Bank 持有，并由 FDIC 提供最高 250,000 美元（350,000 澳元）的保险。该服务还提供 Visa 借记卡和消费返现；对于 Premium+ 订阅者，还提供最高 1000 万美元（1400 万澳元）的存款保障，分散在合作银行中。这会将用户的 X 账号名与银行余额关联起来，也是埃隆·马斯克将 X 打造成结合社交媒体和金融服务的“万能应用”计划的一部分。美国参议员 Elizabeth Warren 在 X Money 推出前就已向马斯克施压，要求其关注 X Money 的风险，并警告称，将支付和加密货币整合进该应用可能威胁金融稳定和国家安全。

建议用户启用双因素身份验证

用户之间以及通过 X 的 Grok 助手传播的建议包括启用双因素身份验证、开启 X 的“Password reset protect”设置，以及不要点击邮件中的链接。除 Singhai 于 9 月 1 日提到的调查外，X 尚未宣布其他安全措施。

常见问题

X 于 9 月 1 日调查了什么？
X 产品工程师 Mridul Singhai 于 9 月 1 日表示，公司正在调查一波发送给用户的未经请求的密码重置邮件和验证码，目前尚未发现任何账户遭入侵的证据。

攻击者为什么要针对 X 账户？
Singhai 认为，这可能是攻击者在测试账户，因为 X Money 现已广泛开放；该支付服务于 7 月 27 日向美国 Premium 和 Premium+ 订阅者开放。

X Money 如何运作？
X Money 允许用户持有存款、发送点对点支付、支付账单和进行电汇；余额由 Cross River Bank 持有，并由 FDIC 提供最高 250,000 美元的保险。该服务还提供 Visa 借记卡和消费返现。