Le X d’Elon Musk déploie une fonctionnalité de sécurité qui verrouillera automatiquement tout compte qui mentionne la crypto-monnaie pour la première fois — obligeant à effectuer une vérification supplémentaire avant que la publication ne reprenne — une réponse directe à une vague de campagnes de piratage de comptes exploitant la confiance sociale pour promouvoir des jetons frauduleux.

Résumé

• Le directeur produit de X, Nikita Bier, a confirmé la fonctionnalité de verrouillage automatique, en indiquant qu’elle cible l’incitation financière à l’origine des attaques par hameçonnage crypto sur la plateforme
• La mesure fait suite à une hausse des incidents de piratage de comptes, y compris le compromis, le 1er avril, du compte du fondateur de Predictably, Benjamin White, qui a été utilisé pour pousser du contenu frauduleux et extorquer 4 000 $ au véritable propriétaire
• Bier estime que la fonctionnalité devrait éliminer 99 % de l’incitation derrière les opérations d’hameçonnage actuelles et a pointé du doigt Google pour n’avoir pas bloqué les emails d’hameçonnage au niveau de Gmail

Le verrouillage automatique se déclenche lors du premier message jamais publié par un compte lié à la crypto-monnaie. Une fois déclenché, le compte est verrouillé et l’utilisateur doit terminer la vérification avant de retrouver l’accès. Bier l’a décrit comme visant le vecteur d’attaque central : les pirates obtiennent l’accès au compte via des emails d’hameçonnage, verrouillent le propriétaire d’origine, puis utilisent la confiance établie des abonnés du compte pour promouvoir des jetons frauduleux, des faux cadeaux et des memecoins.

La fonctionnalité

« Cela devrait tuer 99 % de l’incitation », a écrit Bier en réponse au récit d’un utilisateur expliquant comment il a perdu le contrôle de son profil à cause d’une attaque par hameçonnage déguisée en avis de violation de droits d’auteur. L’attaquant avait utilisé une page de connexion factice parfaitement fidèle pour récupérer les identifiants de l’utilisateur et les codes de l’authentification à deux facteurs avant de les verrouiller et de commencer la promotion frauduleuse.

Ce que cela vise

Le piratage de comptes liés à la crypto sur X est un problème documenté et persistant depuis les jours de la plateforme en tant que Twitter. Le verrouillage automatique s’appuie sur les efforts antérieurs de la plateforme pour éliminer les campagnes de spam par mention et les comportements coordonnés de comptes utilisés pour les promotions crypto. Les utilisateurs de longue date qui n’ont jamais publié au sujet de la crypto-monnaie devront effectuer une vérification lors de leur première publication de ce type, tandis que les comptes légitimes, a indiqué Bier, pourront retrouver l’accès rapidement via le processus.

Bier a également critiqué publiquement Google pour avoir laissé des emails d’hameçonnage atteindre les utilisateurs via Gmail. « Google ne fait rien pour arrêter l’hameçonnage », a-t-il écrit — présentant le verrouillage automatique comme une solution de contournement au niveau de la plateforme face à une vulnérabilité en amont que X ne peut pas contrôler directement.

La Commission fédérale du commerce américaine (FTC) a documenté comment les arnaques crypto sur les réseaux sociaux ont explosé pour devenir un problème de plusieurs milliards de dollars, les victimes étant souvent incapables de récupérer leurs fonds en raison de l’irrversibilité des transferts on-chain. Cette réalité structurelle explique pourquoi des comptes piratés disposant déjà de la confiance des abonnés sont si précieux pour les attaquants — et c’est précisément ce que vise le verrouillage automatique en rompant le lien entre l’accès au compte et la monétisation immédiate via la promotion crypto.

Limites

Les critiques ont signalé que la mesure n’intervient qu’après qu’un compte a déjà été compromis via le phishing. Si les fournisseurs de messagerie ne filtrent pas mieux en amont les emails d’hameçonnage, la chaîne d’attaque reste intacte. La fonctionnalité pourrait aussi créer des frictions pour de véritables premières publications crypto de comptes établis, bien que Bier ait indiqué que le processus de vérification sera bref pour les utilisateurs authentiques.

Alors que les pertes plus larges dues aux piratages crypto et au phishing se sont améliorées ces derniers mois — avec un total mensuel le plus bas enregistré en février 2026 depuis mars 2025 — l’exploit de 285 millions de dollars du protocole Drift cette semaine est un rappel cinglant que le risque lié aux gros titres demeure élevé. La nouvelle fonctionnalité de X répond à un seul vecteur d’attaque spécifique et de fort volume au sein d’un écosystème beaucoup plus vaste de fraudes liées à la crypto.