@noraworld このあたりにいろいろありますよー。登録を受け付けていない’状態でも、rails c でユーザ作る手順もあります。https://github.com/tootsuite/documentation/blob/master/Running-Mastodon/Administration-guide.md#confirming-users-manually
mastodonのユーザ認証はRakeタスクから手動で可能なので、webあたりのコンテナを使ってタスクを確認するとよい感じだとおもいます
これ、悪意のあるソフトウェアというより単純に雑な実装してキーを全部覗いたうえでホットキーを認識してるってことか。どんだけ意識低いんだ…https://m.japan.cnet.com/story/35101048/