X调查密码重置邮件潮，未发现数据泄露

区块链文库报道：

X 开始调查一波未经请求的密码重置邮件与确认码

尽管初步审查未发现平台系统遭到入侵的证据，但X已着手调查用户收到大量未经请求的密码重置邮件和确认码的问题。

摘要

X用户反映收到了并非自己请求的密码重置消息。该公司在初步调查中未发现任何入侵迹象。X建议用户启用双重身份验证和密码重置保护。这波邮件浪潮恰逢X Money向符合条件的美国订阅用户扩展之际。

X初步审查密码重置事件，未发现入侵

X产品工程团队成员Mridul Singhai周二表示，公司正在调查用户收到意外密码重置邮件和确认码的报告。据Singhai称，他在发表声明时，X尚未发现其内部系统遭到入侵。

“攻击者似乎认为，既然X Money已广泛可用，他们就能获得对账户的未授权访问。我们正在积极调查此事，目前尚未发现任何入侵证据。对于多次发送邮件我们深表歉意，感谢您的耐心……”

多位账户持有人表示，这些消息是在他们并未尝试更改登录信息的情况下收到的。部分用户还报告收到了多次重置请求，这引发了外界对是否有未知方试图控制其账户的疑问。

未经请求的重置消息本身并不表明账户密码已泄露或有人已获得访问权限。X允许用户通过输入账户用户名、电子邮箱或电话号码来启动恢复流程，之后平台会向注册的联系方式发送确认码。

即便如此，用户也不应分享重置码，或批准并非自己请求的密码更改。Singhai建议账户持有人启用双重身份验证，并避免打开通过意外邮件发来的链接。

他还表示，攻击者似乎认为X Money的广泛使用可能使X账户的控制权变得更有价值。该公司尚未披露谁可能是这些请求的幕后黑手、有多少账户收到了请求，或者这些活动是否来自自动化攻击。

X安全设置可限制重置请求

根据X发布的账户安全指南，用户可以在账户设置的“安全”部分开启“密码重置保护”。启用后，该功能要求提供额外的身份识别信息，X才会发送密码重置链接或确认码。

根据账户绑定的信息，用户可能需要提供电子邮箱、电话号码或两者兼有。要求提供这些详细信息可以增加未知方仅凭公开用户名就触发重复重置请求的难度。

双重身份验证在登录时增加了一道检查。X目前支持短信、身份验证应用和物理安全密钥，但可用的方法取决于账户类型和订阅状态。

根据平台的密码恢复说明，通过电子邮件发送的重置码有效期为60分钟。完成密码重置会使账户在所有活跃的X会话中退出登录，而从现有会话中更改密码则会保持该会话处于活动状态。

X特别建议那些反复收到并非自己请求的重置邮件的用户，同时启用“密码重置保护”和双重身份验证。其安全页面还提示用户，在输入账户凭据之前，应检查登录页面是否使用了x.com域名。

账户持有人无需点击邮件中的链接，而是可以直接打开X应用程序或在浏览器中直接输入平台地址来查看自己的设置。X表示，其官方邮件来自以@x.com或@e.x.com结尾的地址，不包含附件，且绝不会通过邮件、私信或回复要求收件人提供密码。

根据X的指南，任何在陌生网站上输入过凭据的用户，都应通过X更改密码、确保与账户关联的电子邮箱安全，并移除对不明第三方应用的访问权限。新密码也应与其他服务使用的凭据不同。

X Money在美国范围内扩展访问权限

这波重置邮件报告出现之际，X正将X Money向拥有美国账户的Premium和Premium+订阅用户开放。该服务允许符合条件的用户在社交平台内互相转账，并依赖Cross River Bank提供银行基础设施。

X Money的推出包括存款账户、即时转账和一张Visa借记卡。该服务还提供高达6%的年化收益率，符合条件的X Card消费可获得3%的现金返还。

Cross River持有客户存款，并将X Money连接到用于转账的银行网络。直接存放在联邦存款保险公司（FDIC）成员银行的存款，在符合该机构规定的情况下，可享受最高25万美元的标准FDIC保险。

X Money还使用现金归集计划，将资金分散到多家参与保险的银行。符合条件的客户可能获得总计高达1000万美元的聚合过桥式FDIC保险，但X Payments本身并非银行或FDIC参保机构。

该支付服务使用通行密钥进行身份验证，并为客户提供设置交易限额和额外审批权限的工具。Visa则为通过X Card进行的消费提供安全和风险管理措施。

今年6月，该支付服务开始使用Cross River的基础设施时，初始访问权限仅限于部分Premium+用户。此后，X在向全美扩展服务时，将Premium订阅用户也纳入了进来。

尽管Cross River此前曾与Ripple合作，但X和该银行均未宣布在X Money中支持XRP或其他加密货币。目前的服务通过传统银行和卡网络处理美元交易。

X也曾考虑使用稳定币支付创作者

X的财务计划不仅限于用户之间的转账。据一位知情人士透露，今年8月，该公司曾考虑将USDC支付及其他稳定币作为创作者奖励的可能选项。

截至当时报道时，尚未选定任何代币、区块链网络或发布日期。X也未透露创作者是否会自动收到稳定币，还是将其作为银行转账的替代选择。

这些讨论发生在该平台计划于9月8日以“原创内容奖励”取代其“收入分成计划”之前。根据X公布的资格规则，创作者需要在过去90天内拥有至少500名经过验证的关注者，以及来自已验证用户的50万次首页时间线展示。

X尚未确认数字资产是否会加入X Money。该平台的支付服务目前仍仅限于符合条件的美国订阅用户，且公司尚未提供免费账户或美国以外用户的使用时间表。