本质上是在别的网站上泄露的账户信息，然后在xbox上被撞库了，但也有少量因为代购被js卖了。
解释一下撞库，比如张三有一个abc的邮箱，注册了xbox，又同时用这个邮箱注册了c某dn网站，恰好这个网站用明文保存的密码。有一天这个网站的账户信息泄露了，黑客就用泄露的用户名和密码（或者其他常用密码及弱密码）去尝试登录张三的xbox。万一张三比较懒，xbox和那个网站用的是同一个密码（或者符合其他常用密码及弱密码），那就被登录进去消费了。