今回本当に怖いのは、アカウントが乗っ取られたことではなく、本人ですら「パスワードを変更したら本当に効くのか」確信が持てていない点だ。

フィッシングメールのリンクを開いてそのままXにログインし、その一瞬で認証（許可）が出てしまった。つまり、パスワード防衛線はそもそも出番がなかった。

数分以内にメールまで変更されている。相手がただ弱いパスワードを当てただけではなく、完全なセッション権限を直接手に入れていることを示している。こういうときパスワードを変えるのは“次回”への対策であって、すでに権限を取られた“今回”は防げない。

なぜ乗っ取られた側の最初の反応が「まずは誤解を解いてコインも予約販売も出さない」となるのか、相手を一言罵ることではないのか？罵っても意味がないからだ。リンクを押してしまった“その手”は止められない。

大アカウントが乗っ取られた後の本当の収穫タイムは、フォロワーが「この投稿、本人が出したの？」とまだ気づく前の数分間。ブロードキャスト（周知）の段階は、パスワード変更よりも常に急を要する。

本人もまた、ハッカーがまだアカウントに入り込めるのかどうか、アカウントが完全にクリーンになっているのかは誰にも分からないと言っている。この間に本人名義で出したリンクは、どれも信頼度に“？”がつく。$ETH