社交平台X近日上线“XChat”加密聊天功能，宣称消息“仅收发双方可见，平台无法读取”。然而，多位密码学专家指出，该功能设计存在严重安全隐患，与行业标杆Signal相比差距明显。
据分析，XChat要求用户设置4位PIN码用于加密私钥，但私钥实际存储在X的服务器上，而非用户设备本地。这意味着，如果未采用硬件安全模块（HSM）严格保护，平台完全有能力通过暴力破解PIN码来解密所有用户消息。尽管X工程师声称系统已启用HSM，但目前尚未提供任何技术证明。
更值得关注的是，X官方承认其架构设计理论上允许“内部恶意人员或公司自身”发动中间人攻击（MITM），这一点直接违反了端到端加密（E2EE）的基本原则。
此外，XChat并未开源，也缺乏前向保密机制（Forward Secrecy）。一旦用户私钥泄露，历史聊天记录将全部暴露，这与Signal等成熟加密通讯软件形成鲜明对比。
专家呼吁，若X无法提供完整的安全审计和技术细节，“加密聊天”这一卖点或许只是营销噱头，难以真正保障用户隐私。
