Diese Woche wurde X Money für alle Premium- und Premium+-Abonnenten in den USA freigeschaltet – mit dem Versprechen, Geldtransfers direkt über die Plattform von Elon Musk abzuwickeln. Doch am Dienstag endete die Freude abrupt. Tausende Konten, darunter prominente Vertreter der Krypto-Szene sowie Mitglieder des CoinDesk-Teams und Mitarbeiter unserer Redaktion, wurden mit einer Flut von unerwünschten E-Mails zur Passwortzurücksetzung bombardiert. Einige Nutzer berichteten von bis zu zehn solcher Nachrichten innerhalb weniger Stunden.

Die Kernpunkte dieses Artikels:

  • X Money startete für US-Premium-Abonnenten mit dem Versprechen direkter Geldtransfers, wurde jedoch schnell von Sicherheitsvorfällen überschattet.
  • Tausende E-Mails zur Passwortzurücksetzung wurden verschickt, was Besorgnis über mögliche unbefugte Zugriffsversuche auslöste.

Tausende ungewollte Reset-E-Mails: X Money im Visier

Mridul Singhai aus dem Produkt-Engineering-Team von X bestätigte den Vorfall am Dienstag. „Die Angreifer scheinen zu glauben, dass sie nun, da X Money breit verfügbar ist, unbefugten Zugriff auf Konten erlangen könnten“, schrieb er auf X. „Wir untersuchen die Angelegenheit aktiv und haben bislang keinerlei Beweise für eine Kompromittierung gefunden.“ Er entschuldigte sich zudem für die Vielzahl der irrtümlich an die betroffenen Nutzer versandten E-Mails.

Doch wie kam es zu diesem Chaos? X Money nutzt die Bankinfrastruktur der Cross River Bank und ermöglicht es Nutzern, direkt über einen speziellen Tab auf der Plattform Geld zu senden, ohne eine Drittanbieter-App zu benötigen. Laut Berichten von Crypto Briefing teilten zahlreiche Nutzer Screenshots, auf denen fünf, acht oder gar zehn Benachrichtigungen kurz hintereinander zu sehen waren, noch bevor sie die Situation erfassen konnten. Diese Lawine sorgte für weit mehr Panik als die offiziellen Erklärungen beruhigen konnten.

Sie fragen sich, wie so viele Konten auf einmal ins Visier geraten konnten? Der Mechanismus dahinter ist fast schon banal. X erlaubt es jedem, eine Passwortzurücksetzung anzufordern, sofern der öffentliche Nutzername bekannt ist – eine E-Mail-Adresse ist dafür nicht erforderlich. Der Erhalt der E-Mail ist also kein Beweis dafür, dass ein Angreifer Ihre Zugangsdaten in den Händen hält; es bedeutet lediglich, dass er Ihren Benutzernamen kennt.

Die Plattform bietet bereits seit einiger Zeit einen Schutzmechanismus namens « Password Reset Protect » an. Dieser fügt einen obligatorischen Schritt hinzu: Vor Abschluss der Anfrage muss die mit dem Konto verknüpfte E-Mail-Adresse oder Telefonnummer bestätigt werden. Eine Option, die schon vor dem Vorfall existierte, die jedoch nur wenige Nutzer aktiviert hatten.

Bislang keine Beweise für ein Hack, doch Vorsicht bleibt geboten

X hat bisher keine Anzeichen für eine Kompromittierung seiner Systeme festgestellt. Es gibt auch keine Hinweise darauf, dass hinter jeder dieser E-Mails ein Angreifer steckt; es könnte sich ebenso um einen einfachen Bug oder eine automatisierte Erkennungskampagne handeln, die Tausende von Benutzernamen nacheinander testet. Nichtsdestotrotz bleibt die Empfehlung für alle gleich: Die Zwei-Faktor-Authentifizierung aktivieren, « Password Reset Protect » einschalten und vor allem: auf keinen Fall auf Links in diesen E-Mails klicken, auch wenn sie scheinbar von X stammen. Diese fünf Minuten Vorsicht sind allemal besser als ein leergeräumtes Konto. Zumal solche Wellen manchmal als Ablenkungsmanöver dienen. Während alle auf die Reset-E-Mails starren, versuchen geduldigere Angreifer möglicherweise im Hintergrund diskretere Methoden wie Social Engineering oder den Missbrauch von Zugangsdaten, die bereits von anderen Diensten bekannt sind.

Dieser Vorfall kommt zu einem denkbar schlechten Zeitpunkt für die Glaubwürdigkeit von X Money, das gerade erst seine Phase des begrenzten Rollouts verlassen hat. X-Konten mit Krypto-Bezug sind ein beliebtes Ziel für solche Aktivitäten – sei es durch klassisches Phishing oder die Übernahme von Konten, um betrügerische Memecoins zu bewerben. Jeder neue Finanzbaustein, der der Plattform von Elon Musk hinzugefügt wird, vergrößert die Angriffsfläche, die von Kriminellen getestet werden kann – ob mit oder ohne Erfolg.

Gabriel Montaut

Geek, begeistert von SEO, Krypto und KI. Als SEO-Verantwortlicher für Journal Du Coin und freiberuflicher SEO-Berater setze ich mich für die Verbreitung und das Verständnis technologischer Innovationen ein und lege besonderen Wert darauf, Nachrichten für ein breites Publikum zugänglich zu machen.

Die wichtigsten News, in 2 Minuten zusammengefasst. Von Montag bis Freitag in Ihrem Posteingang.