エロン・マスクのXは、暗号通貨に言及したことがあるアカウントを初めて含む場合、あらゆるアカウントを自動的にロックするセキュリティ機能を展開している。これにより投稿再開の前に追加の認証が必要になる。これは、ソーシャル上の信頼を悪用して詐欺トークンを宣伝するアカウント乗っ取りキャンペーンの波への直接の対応だ。

サマリー

• Xのプロダクト責任者ニキータ・ビエル（Nikita Bier）が、自動ロック機能を確認し、プラットフォーム上での暗号フィッシング攻撃の背後にある金融的な動機を狙っていると述べた
• この措置は、アカウント乗っ取り事件の急増に続くもので、予測可能性（Predictfully）創業者ベンジャミン・ホワイト（Benjamin White）の2024年4月1日の口座侵害も含まれる。この事件では、詐欺コンテンツを押し出し、実際の持ち主から4,000ドルを恐喝するために使われた
• ビエルは、この機能が現在のフィッシング作戦の背後にある動機を99%排除できるはずだと見積もり、GmailレベルでフィッシングメールをブロックできていないとしてGoogleを指摘した

自動ロックは、アカウントの初めての暗号通貨関連投稿で発動する。発動後、そのアカウントはロックされ、ユーザーはアクセスを取り戻す前に認証を完了する必要がある。ビエルは、狙いを中核となる攻撃経路だと説明した。つまり、ハッカーはフィッシングメールを通じてアカウントにアクセスし、元の持ち主を締め出し、アカウントが確立しているフォロワーへの信頼を利用して、不正なトークン、偽のプレゼント企画、ミームコインを宣伝する。

機能

「これで動機の99%は死ぬはずだ」とビエルは、著作権侵害の通知になりすましたフィッシング攻撃でプロフィールを乗っ取られ、どうコントロールを失ったかをユーザーが説明したことに返信して書いた。攻撃者は、ピクセル単一レベルで見分けがつかない偽のログインページを使って、ユーザーの認証情報と二要素認証コードを収集し、その後締め出して詐欺の宣伝を開始した。

対象となるもの

Xにおける暗号に紐づくアカウント乗っ取りは、Twitterだった頃から、記録され続けてきた根強い問題だ。自動ロックは、言及スパムの撲滅や、暗号プロモーションに用いられる連携したアカウント行動をなくすための、これまでのプラットフォームの取り組みに基づいている。暗号について投稿したことのない長期ユーザーは、その最初の暗号関連投稿で認証を求められる。一方、正当なアカウントは、ビエルが示したところでは、そのプロセスを通じて迅速にアクセスを取り戻せる。

ビエルはまた、Gmailを通じてユーザーにフィッシングメールが届くのを許しているとして、Googleを公に批判した。「Googleはフィッシングを止めるためにクソみたいなことすらしてない」と彼は書き、自動ロックを、Xが直接制御できない上流の脆弱性に対する、プラットフォームレベルの回避策として位置づけた。

米国連邦取引委員会（Federal Trade Commission）は、ソーシャルメディア上の暗号詐欺が多額のマルチビリオン・ドル規模の問題に膨れ上がっていることを記録している。被害者は、オンチェーン送金が不可逆であるため、資金を取り戻せないことが多い。この構造的な現実が、確立したフォロワーへの信頼を持つ乗っ取られたアカウントが攻撃者にとって価値が高い理由であり、自動ロックは、暗号プロモーションによる即時の収益化とアカウントアクセスの結び付きを切断することで、それを直接狙っている。

制限

批評家たちは、この措置がフィッシングによってアカウントがすでに侵害された後にしか介入しない点を指摘している。メール提供者が上流でフィッシングメールのフィルタリングをもっと強化しない限り、攻撃の連鎖はそのまま残る。さらに、この機能は、確立したアカウントによる正当な初回の暗号投稿に対して摩擦を生む可能性もある。ただしビエルは、本物のユーザーに対する認証プロセスは短時間になるはずだと示した。

より広範な暗号ハックやフィッシングによる損失がここ数か月で改善していることは示されている。たとえば2026年2月は2025年3月以来の月次合計として最も低い数字を記録している。それでも、今週の285百万ドル規模のDrift Protocolのエクスプロイトは、ヘッドライン上のリスクが高いままであることを鋭く思い出させる。Xの新機能は、はるかに大きな暗号関連不正のエコシステムの中で、特定の高頻度な攻撃ベクトルに対処するものだ。