Recebi um e-mail que parece ter sido enviado do meu próprio endereço, dizendo "you have been hacked" — isso é possível?

Sim, é possível — mas na grande maioria dos casos isso não significa que sua conta de e-mail foi realmente invadida. É um golpe extremamente comum, conhecido como "sextortion" ou golpe de extorsão por e-mail, e funciona assim:

O protocolo de e-mail (SMTP) permite, tecnicamente, forjar o campo "De:" de uma mensagem — é chamado de spoofing. O golpista simplesmente configura o remetente da mensagem para mostrar o seu próprio endereço, sem precisar ter acessado sua conta de verdade. O objetivo é gerar pânico: "se ele mandou do meu próprio e-mail, ele deve ter acesso total" — e a mensagem geralmente afirma ter gravado vídeos comprometedores, ter acesso a todos os seus arquivos, e pede pagamento em criptomoeda para não divulgar nada.

Sinais típicos desse golpe: exigência de pagamento em Bitcoin, prazo curto ("48 horas ou eu divulgo"), texto genérico sem nenhum detalhe pessoal real e específico sobre você, e frequentemente cita uma senha antiga sua (obtida de algum vazamento de dados público, não de uma invasão nova).

O que fazer:

1. Não pague nada — é extorsão baseada em blefe, não em acesso real, na esmagadora maioria dos casos.
2. Verificar se a senha citada (se houver) já apareceu em algum vazamento conhecido, e trocá-la se ainda estiver em uso em qualquer lugar.
3. Ativar autenticação em dois fatores no e-mail, se ainda não tiver.
4. Não clicar em nenhum link ou anexo da mensagem.
5. Marcar como spam/phishing e seguir em frente.

Se a mensagem trouxer detalhes pessoais reais e específicos (não genéricos), aí sim vale investigar mais a fundo — mas o padrão descrito aqui é, disparado, o mais comum.