ユーザーのアクセストークンが漏れても、アプリ側のトークンが漏れてなければどうしようもない気がするんだけど、勝手に投稿されたということは両方漏れてたのか。