MEXC заявила, что урегулировала спор с пользователем, который сообщил о потере примерно 340 000 долларов после того, как злоумышленник, предположительно, сохранил доступ к API после захвата аккаунта.
Краткое изложение
- MEXC заявляет, что достигла соглашения с пострадавшим пользователем и считает вопрос полностью урегулированным.
- Пользователь утверждает, что 322 110 USDT и 9,13 млн ONE были выведены после процедур восстановления аккаунта.
- Документация MEXC гласит, что замороженные аккаунты делают связанные с ними ключи API недействительными, что вызывает вопросы о заявленном API.
- Сообщаемые выводы средств начались через 27 минут после истечения 24-часовой блокировки безопасности 27 сентября.
- MEXC публично не раскрыла условия урегулирования и не подтвердила, получил ли пользователь возмещение.
Шуан Фэй, пострадавший пользователь, сообщил, что 322 110 USDT и 9 133 999 ONE были выведены со счёта в период с 04:12 до 04:25 по пекинскому времени 27 сентября.
Биржа публично не заявила, был ли пользователь возмещён, инициировал ли вывод средств ключ API или что произошло с allegedly украденными активами.
Взлом аккаунта MEXC начался со сброса безопасности
Сообщаемый инцидент начался рано утром 25 сентября, когда Шуан Фэй получил электронное письмо о том, что была подана заявка на изменение привязанной к аккаунту электронной почты и удаление Google Authenticator.
Согласно рассказу пользователя, запрос поступил в 03:10 по пекинскому времени и был одобрен через 10 минут. Шуан Фэй заявил, что заявка была несанкционированной, и утверждал, что представленные с ней идентификационная фотография и проверочное видео не были подлинными материалами, предоставленными владельцем аккаунта.
Согласно скриншотам, опубликованным в ветке, MEXC позже сообщила пользователю, что материалы изначально соответствовали её требованиям. Пользователь заявил, что во время последующей проверки биржа обнаружила риск, заморозила аккаунт и восстановила исходный адрес электронной почты.
Текущая документация MEXC по сбросу безопасности гласит, что при сбросе проверки безопасности пользователей могут попросить предоставить информацию об аккаунте, удостоверяющие личность документы и видео с удержанием их удостоверения личности.
После того как злоумышленник получил контроль над аккаунтом, по словам Шуан Фэя, пароль был сброшен и привязан новый Google Authenticator. Записи о входе, предоставленные пользователем, показали доступ с IP-адреса, связанного с Джакартой, Индонезия.
Согласно рассказу пользователя, в 05:05:42 был создан API. Шуан Фэй заявил, что MEXC раскрыла существование этого API только после того, как средства уже покинули счёт.
Восстановление аккаунта не затронуло заявленный API
Пользователь заявил, что MEXC заморозила аккаунт примерно в 10:55 25 сентября после того, как в ходе проверки была обнаружена подозрительная активность.
Шуан Фэй восстановил контроль на следующий день, удалив Google Authenticator злоумышленника, сменив пароль и привязав новый аутентификатор. Последнее изменение было завершено в 03:45:07 26 сентября.
Документация MEXC подтверждает, что вывод криптовалюты и фиатных средств блокируется на 24 часа после определённых изменений в системе безопасности, включая изменение привязанной электронной почты или Google Authenticator.
Отдельное руководство по аккаунту MEXC гласит, что заморозка аккаунта отключает функции торговли и входа и делает «все ключи API, связанные с вашим аккаунтом», недействительными.
Пользователь задаётся вопросом, как заявленный API мог впоследствии быть использован, если он стал недействительным во время заморозки аккаунта.
«Стал ли этот API недействительным в то время?» — спросил Шуан Фэй. Пользователь отдельно поинтересовался, стал ли он снова активным после восстановления аккаунта.
MEXC публично не ответила на эти технические вопросы.
$340K исчезли вскоре после истечения блокировки на вывод средств
В 04:12:45 27 сентября, примерно через 27 минут после окончания 24-часового ограничения пользователя на вывод средств, первая зарегистрированная исходящая транзакция переместила 1 USDT.
Согласно Шуан Фэю, в течение примерно 13 минут последовали ещё пять выводов. В результате переводов было выведено 322 110 USDT и 9 133 999 ONE, что пользователь оценил примерно в $340 000.
По утверждению пользователя, во время этих выводов в истории входов в аккаунт не появилось ни одного нового входа.
Сервис мониторинга безопасности CertiK впоследствии сообщил о версии пользователя относительно инцидента, включая утверждение, что созданный злоумышленником API оставался доступным и был связан с выводами. CertiK не установил независимо метод атаки в своём кратком уведомлении.
Lookonchain также сообщил об этих заявлениях и отметил, что аккаунт не проявлял новой активности входа в период вывода средств.
Согласно более раннему публичному ответу, о котором сообщал BlockBeats, MEXC завершила первоначальное расследование и предложила то, что назвала соответствующими решениями. Позже биржа заявила, что с пользователем было достигнуто соглашение.
Правила API MEXC допускали вывод средств без белого списка по умолчанию
Политика MEXC в отношении вывода средств через API даёт дополнительный контекст для вопросов пользователя. В объявлении 2023 года биржа заявила, что белые списки для вывода средств не будут включены по умолчанию для выводов через API, что позволяет выводить средства на любой адрес, если белый список не активирован.
Биржа рекомендовала пользователям API включать белые списки для вывода средств и не раскрывать API-ключи.
Текущая документация по выводу средств указывает, что обычные выводы могут требовать подтверждения по электронной почте, мобильному телефону или через Google Authenticator, тогда как отдельные настройки безопасности могут разрешать выводы при определённых условиях без повторной двухфакторной аутентификации.
Шуан Фэй сказал, что созданный злоумышленником API не был виден в истории операций безопасности, доступной пользователю, и утверждал, что уведомление не было получено, поскольку электронная почта аккаунта уже была изменена к моменту создания API.
Пользователь попросил MEXC раскрыть IP-адрес, использованный для создания API, его разрешения, стал ли он недействительным, пока аккаунт был заморожен, и какой канал инициировал шесть выводов.
Этот эпизод последовал за более ранней проверкой механизмов контроля аккаунтов MEXC. В 2025 году биржа вернула средства после отдельного спора о замороженных средствах MEXC на $3,15 млн с участием трейдера The White Whale.
С тех пор MEXC продвигала несколько мер по защите пользователей, включая запланированное расширение Guardian Fund на $500 млн, объявленное в мае 2026 года.
Что касается текущего случая, публичный ответ MEXC остаётся ограниченным. Служба поддержки заявила, что спор урегулирован и что дальнейшие детали не будут раскрыты из-за конфиденциальности пользователя.
