ZachXBT interpelle Elon Musk au sujet des paramètres risqués de XChat

ZachXBT, expert en sécurité blockchain, a mis en évidence des failles de sécurité dans la nouvelle fonctionnalité X Chat. Actuellement déployée auprès d'un petit groupe d'utilisateurs à des fins de test, cette fonctionnalité nécessite, selon ZachXBT, des filtres supplémentaires pour protéger les utilisateurs contre les tentatives d'hameçonnage et les fichiers malveillants. 

ZachXBT, enquêteur spécialisé dans la blockchain, a découvert des bugs dans la nouvelle fonctionnalité XChat. La plateforme de médias sociaux teste actuellement ses capacités de chat, XChat remplaçant le système de messagerie privée actuel. XChat ne remplacera pas complètement les messages privés, mais modernisera et améliorera le système de messagerie existant.

ZachXBT a constaté que n'importe qui peut désormais ajouter des utilisateurs à une discussion de groupe, ce qui ouvre la voie à de nouvelles attaques de phishing. Il en a informé Elon Musk, qui a réagi immédiatement. 

Veuillez mettre à jour les messages privés et XChat en ajoutant un filtre permettant de choisir qui peut vous ajouter aux discussions de groupe.

Actuellement, n'importe quel utilisateur peut vous ajouter à un groupe, sauf si vous désactivez complètement vos messages. pic.twitter.com/Nbp21BhsrF

— ZachXBT (@zachxbt) 16 juin 2025

ZachXBT a découvert une autre menace potentielle : n'importe qui peut envoyer des fichiers via XChat. La réaction rapide de Musk a démontré que les influenceurs crypto sont parmi les acteurs majeurs sur X, cherchant à concilier confidentialité et protection contre les attaques et les escroqueries. Le chiffrement de bout en bout peut renforcer la sécurité des utilisateurs légitimes, tout en dissimulant les attaques. La disparition des messages compromet également les efforts de tracet de preuve de fraude. 

ZachXBT a également préconisé la mise en place de filtres pour bloquer les utilisateurs inconnus. Les fichiers ou liens corrompus constituent l'un des vecteurs d'attaque utilisés pour les vols de cryptomonnaies. Le démarchage par messages privés présente également un risque de liens malveillants vers des contrats intelligentstracdes aspirateurs de portefeuilles, de faux jetons ou d'autres attaques. Le chercheur spécialisé dans la blockchain n'a pas identifié d'attaques spécifiques via XChat, mais ces dernières pourraient présenter des similitudes avec les arnaques, les démarchages et les tentatives de piratage généralement pratiqués par messages privés.

La version initiale de XChat pourrait également être vulnérable aux spambots qui envoient des messages privés ou créent des discussions. Au lieu de la promotion visible sur les réseaux sociaux, les arnaques et le démarchage abusif pourraient se déplacer vers des discussions privées. 

Dès son lancement en 2025, la communauté crypto a constaté que XChat risquait de devenir une plateforme pour les arnaques liées aux cryptomonnaies. Certaines sollicitations et tentatives d'hameçonnage pourraient s'apparenter à celles pratiquées sur les serveurs Discord, avec de fausses ventes de jetons ou des transactions de gré à gré frauduleuses. 

XChat ambitionne de transformer X en une « application tout-en-un »

XChat est désormais disponible uniquement pour un groupe restreint d'utilisateurs premium depuis le 30 mai. Ce service de messagerie de groupe inclut les messages chiffrés, les messages éphémères, le partage de fichiers ainsi que les appels audio et vidéo sans inscription de numéro de téléphone. 

Tous les abonnés premium ont eu accès à XChat en juin, mais il n'y a pas de calendrier précis pour le déploiement de cette fonctionnalité auprès de tous les utilisateurs.

Le système de messagerie vise à renforcer la confidentialité, mais cette dernière pourrait devenir un atout pour les escrocs en ligne. Le phishing s'est accéléré en 2025, avec des pertes dépassant les 47 millions de dollars en mai, selon les données de Certik. En avril, les pertes dues au phishing s'élevaient à 337 millions de dollars. 

X est également une plateforme pour les vols de comptes, une forme d'attaque courante ces deux dernières années. Les comptes compromis publient souvent des jetons de mèmes ou destracintelligents malveillants. 

X a étendu son intégration avec les projets crypto, en nommant récemment Polymarket comme partenaire officiel pour les prédictions sur l'actualité. À ce jour, X n'a ​​intégré aucune cryptomonnaie spécifique, bien qu'il existe des solutions tierces pour envoyer des cryptomonnaies via les réseaux sociaux.