O X começou a investigar uma onda de emails de redefinição de senha e códigos de confirmação enviados a usuários que afirmam não ter solicitado qualquer alteração em suas contas. A equipe de engenharia da plataforma informou que, até o momento, não encontrou evidências de que os sistemas internos tenham sido comprometidos. Mesmo assim, o padrão chamou atenção porque alguns usuários receberam várias solicitações seguidas, levantando a possibilidade de uma campanha automatizada tentando identificar contas vulneráveis ou induzir usuários a cometer erros durante o processo de recuperação.
O momento também é relevante. O X está expandindo o X Money para mais assinantes Premium e Premium+ nos Estados Unidos, adicionando transferências, contas de depósito e cartão Visa à plataforma. Quanto mais funções financeiras ficam associadas a uma conta, maior pode ser o incentivo para tentativas de takeover. Isso não significa que a onda de redefinições esteja necessariamente ligada ao X Money, mas ajuda a explicar por que a empresa trata o episódio com atenção.
Receber um código inesperado não significa que a conta já foi invadida
O processo de recuperação do X pode ser iniciado por alguém que conheça um nome de usuário, email ou número de telefone associado a uma conta. Depois disso, a plataforma envia um código ou link ao contato registrado.
Isso significa que um desconhecido pode, em alguns casos, provocar o envio de uma mensagem sem possuir a senha nem ter acesso ao perfil. A simples chegada de um código, portanto, não prova exposição de credenciais.
O problema surge quando esse tipo de ação é combinado com engenharia social. Um atacante pode tentar se passar pelo suporte, enviar um link falso ou pedir o código de confirmação depois de induzir a plataforma a enviá-lo. Nesse cenário, o usuário acaba completando involuntariamente a etapa que o invasor não conseguia realizar sozinho.
É justamente por isso que X recomenda nunca compartilhar códigos e nunca confirmar uma alteração de senha que não tenha sido iniciada pelo próprio titular.
Proteção contra redefinição adiciona uma barreira extra
Uma das principais ferramentas recomendadas pela plataforma é Password reset protection. Quando ativada, a função exige informações adicionais antes que um link ou código de recuperação seja enviado.
Dependendo da configuração, o sistema pode pedir email, telefone ou ambos. Isso reduz a possibilidade de alguém iniciar repetidamente o processo usando apenas um nome público de usuário.
A ferramenta não substitui outras camadas de segurança, mas aumenta o esforço necessário para provocar resets. Para contas de maior valor, especialmente aquelas conectadas a serviços financeiros, essa barreira adicional pode ser importante.
X também recomenda autenticação em dois fatores. A plataforma oferece SMS, aplicativos autenticadores e chaves físicas de segurança, embora a disponibilidade possa variar conforme o tipo de conta e assinatura.
O principal risco pode estar no email, não no próprio X
A onda atual reforça a importância de distinguir mensagens legítimas de phishing. O X diz que emails oficiais terminam em @x.com ou @e.x.com, não possuem anexos e nunca pedem que usuários enviem suas senhas por email, mensagem direta ou resposta.
Em vez de clicar no link recebido, a recomendação é abrir diretamente o aplicativo ou digitar x.com no navegador. Isso evita que uma página falsa visualmente idêntica à plataforma capture email, senha ou código de autenticação.
Os códigos enviados por email permanecem válidos por 60 minutos. Uma redefinição completa também desconecta todas as sessões ativas. Esses detalhes tornam o processo especialmente sensível: se um invasor conseguir completar a recuperação, ele pode encerrar acessos legítimos e assumir o controle da conta.
Usuários que já tenham inserido informações em um site suspeito devem alterar a senha pela plataforma oficial, proteger o email associado e revisar quais aplicativos de terceiros possuem acesso à conta.
X Money muda o perfil de risco das contas
A expansão do X Money adiciona uma nova dimensão ao problema. Antes, uma conta comprometida poderia principalmente expor mensagens, seguidores, publicações e identidade digital. Com funções financeiras, a mesma conta pode passar a ter acesso a recursos relacionados a pagamentos e saldos.
O serviço permite que usuários elegíveis enviem dinheiro sem sair do X. Cross River Bank fornece a infraestrutura bancária por trás das operações, conectando a plataforma às redes utilizadas para transferências em dólares.
X Money também inclui uma conta de depósito, transferências instantâneas e um cartão de débito Visa. O produto anuncia rendimento anual de até 6% e cashback de até 3% em compras qualificadas com o X Card.
Esse conjunto de funcionalidades pode tornar contas habilitadas para o serviço mais atraentes para criminosos digitais. Mesmo que a onda atual de resets não tenha sido atribuída oficialmente a esse fator, a própria equipe do X sugeriu que atacantes podem enxergar mais valor nas contas conforme o acesso ao X Money cresce.
O dinheiro continua dentro de trilhos bancários tradicionais
Apesar da associação frequente de Elon Musk e X com criptomoedas, X Money não funciona atualmente como um sistema cripto. O serviço movimenta dólares americanos e depende de infraestrutura bancária e cartões tradicionais.
Cross River mantém os depósitos e conecta o produto aos sistemas bancários utilizados nas transferências. Depósitos mantidos diretamente em instituições membros da FDIC podem se qualificar para cobertura padrão de até US$ 250 mil, de acordo com as regras aplicáveis.
Existe ainda um sistema de cash sweep que distribui fundos entre bancos participantes. Alguns clientes podem receber cobertura pass-through agregada de até US$ 10 milhões, embora o X Payments não seja, por si só, uma instituição bancária ou segurada diretamente pela FDIC.
Esse modelo aproxima X Money de uma interface financeira integrada à rede social, em vez de uma carteira de criptomoedas.
Passkeys e limites de transação adicionam controles financeiros
A autenticação do X Money utiliza passkeys, o que reduz a dependência exclusiva de senhas tradicionais. Usuários também podem configurar limites de transação e exigências adicionais de aprovação para determinadas operações.
Esses controles se tornam mais importantes à medida que a conta social passa a funcionar como porta de entrada para dinheiro. Uma tentativa de takeover pode exigir não apenas o acesso ao perfil, mas a superação de camadas específicas do serviço financeiro.
A Visa também fornece ferramentas de segurança e gerenciamento de risco para as compras feitas com o X Card.
Mesmo assim, a segurança continua começando na identidade principal do usuário. Se alguém comprometer email, telefone ou outros dados de recuperação, pode tentar atingir várias camadas da conta.
Stablecoins continuam apenas como possibilidade futura
X também vem estudando ampliar sua estrutura financeira para criadores. Em agosto, a empresa avaliava USDC e outros stablecoins como possíveis formas de pagamento dentro do programa de recompensas.
Nenhuma moeda, blockchain ou data de lançamento havia sido definida. Também não havia indicação de que os criadores seriam automaticamente pagos em stablecoins ou apenas receberiam essa opção como alternativa.
A discussão ocorre antes da substituição do Revenue Sharing pelo Original Content Rewards, prevista para 8 de setembro. O novo modelo exige determinados critérios de seguidores verificados e impressões para participação.
Apesar desses estudos, X Money não oferece suporte confirmado para XRP, USDC ou qualquer outro ativo digital. O produto atual continua baseado em dólares e redes financeiras convencionais.
A ausência de breach não encerra a investigação
O fato de X não ter encontrado evidência de invasão interna em sua revisão inicial é positivo, mas não elimina a necessidade de investigação. A origem das solicitações ainda não foi identificada publicamente, e a empresa não informou quantas contas foram atingidas.
Também não está claro se as mensagens vieram de um único ator, de uma botnet ou de múltiplos grupos testando contas.
O episódio mostra que nem todo incidente de segurança precisa começar com uma vulnerabilidade técnica na plataforma. Muitas campanhas funcionam abusando de recursos legítimos e tentando transformar o usuário no elo mais fraco da proteção.
Contas financeiras exigem mais atenção a credenciais reutilizadas
Outro risco relevante é a reutilização de senhas. Se um usuário utiliza a mesma credencial em vários serviços e um deles sofre vazamento, atacantes podem testar a combinação em outras plataformas.
X recomenda que uma nova senha seja diferente das usadas em qualquer outro serviço. Essa prática reduz o risco de credential stuffing, no qual listas de emails e senhas roubadas são testadas automaticamente em diversos sites.
Com a chegada de funções financeiras, reutilizar credenciais fica ainda mais arriscado porque o dano potencial de uma invasão pode ser maior.
Conclusão
X está investigando uma onda de emails e códigos de redefinição de senha que usuários afirmam não ter solicitado. A empresa diz que sua análise inicial não encontrou sinais de comprometimento dos sistemas internos e não divulgou, até agora, quem está por trás das solicitações ou quantas contas foram afetadas.
A principal recomendação é ativar Password reset protection, usar autenticação em dois fatores e evitar links de emails inesperados. Usuários devem acessar diretamente o aplicativo ou o domínio oficial sempre que precisarem revisar configurações de segurança.
Ponto-chave final
A expansão do X Money aumenta a importância da proteção das contas porque a plataforma começa a concentrar não apenas identidade e comunicação, mas também serviços financeiros. Mesmo sem evidência de breach, uma campanha de redefinição em massa pode ser usada como primeiro passo de phishing ou takeover. Quanto mais valor existir dentro de uma conta, mais importante se torna combinar segurança técnica com cautela diante de qualquer solicitação não iniciada pelo próprio usuário.
