MEXC 表示已解決一起涉及一名用戶的糾紛，該用戶報告稱，在帳戶被接管後，攻擊者據稱保留了 API 存取權限，導致其損失約 34 萬美元。
摘要
- MEXC 表示已與受影響用戶達成協議，並認為此事已完全解決。
- 該用戶表示，在帳戶恢復程序後，有 322,110 USDT 和 913 萬 ONE 被提取。
- MEXC 文件指出，凍結帳戶會使相關 API 密鑰失效，這引發了對所報告 API 的疑問。
- 據報告的提款始於 9 月 27 日 24 小時安全鎖到期後 27 分鐘。
- MEXC 尚未公開披露和解條款，也未確認該用戶是否獲得賠償。
受影響用戶雙飛 表示，9 月 27 日北京時間 04:12 至 04:25 之間，有 322,110 USDT 和 9,133,999 ONE 從該帳戶被提取。
該交易所尚未公開說明該用戶是否獲得賠償、是否是 API 密鑰發起了提款，以及據報告被盜資產的下落。
MEXC 帳戶駭客事件始於一次安全重置
據報告，該事件始於 9 月 25 日早些時候，當時雙飛收到一封電子郵件，稱有人申請更改帳戶綁定的電子郵件並移除 Google Authenticator。
根據該用戶的敘述，該請求於北京時間 03:10 送達，並在 10 分鐘後獲得批准。雙飛表示，該申請未經授權，並聲稱隨附提交的身份證件照片和驗證視頻並非帳戶持有人提供的真實材料。
根據該討論串中分享的截圖，MEXC 後來告訴該用戶，這些材料最初符合其要求。該用戶稱，在隨後的審查中，交易所發現了風險，凍結了帳戶並恢復了原始電子郵件地址。
MEXC 當前的安全重置文件 指出，用戶在重置安全驗證時，可能會被要求提供帳戶信息、身份證件以及手持身份證件的視頻。
雙飛表示，一旦攻擊者控制了帳戶，密碼就被重置，並綁定了新的 Google Authenticator。該用戶分享的登錄記錄顯示，訪問來自與印度尼西亞雅加達相關的 IP 地址。
根據該用戶的敘述，在 05:05:42，一個 API 被創建。雙飛表示，MEXC 僅在資金已經離開帳戶後才披露該 API 的存在。
帳戶恢復並未處理所報告的 API
該用戶稱，MEXC 在 9 月 25 日約 10:55 審查發現可疑活動後凍結了該帳戶。
雙飛在次日通過移除攻擊者的 Google Authenticator、更改密碼並綁定新的驗證器，重新獲得了控制權。最後一項更改於 9 月 26 日 03:45:07 完成。
MEXC 文件 確認，在進行某些安全更改（包括修改綁定電子郵件或 Google Authenticator）後，加密貨幣和法幣提款會被阻止 24 小時。
另一份 MEXC 帳戶指南 指出，凍結帳戶會禁用交易和登錄功能，並使「與您帳戶相關的所有 API 密鑰」失效。
該用戶質疑，如果所報告的 API 在帳戶凍結期間已失效，為何後來還能被使用。
「這個 API 是在當時失效的嗎？」雙飛問道。該用戶分別質疑它在帳戶恢復後是否重新啟用。
MEXC 並未公開回答這些技術問題。
提款鎖定期屆滿後不久，34 萬美元被轉走
9 月 27 日 04:12:45，即該用戶 24 小時提款限制結束約 27 分鐘後，第一筆被報告的轉出交易移動了 1 USDT。
據雙飛稱，隨後約 13 分鐘內又發生了五筆提款。這些轉帳最終轉走了 322,110 USDT 和 9,133,999 ONE，該用戶估值約為 34 萬美元。
該用戶聲稱，在這些提款期間，帳戶的登入歷史中並未出現新的登入記錄。
安全監控服務 CertiK 隨後報導了該用戶對事件的描述，包括攻擊者建立的 API 仍然可用並與這些提款有關的指控。CertiK 在其簡短通知中並未獨立確認攻擊方法。
Lookonchain 同樣報導了這些說法，並指出該帳戶在提款期間並未顯示新的登入活動。
據 BlockBeats 先前報導的公開回應，MEXC 完成了初步調查，並提供了其所稱的相應解決方案。該交易所後來表示已與該用戶達成協議。
MEXC API 規則允許在無預設白名單的情況下提款
MEXC 的 API 提款政策為該用戶的疑問提供了進一步的背景。在 2023 年的一則公告中，該交易所表示，API 提款不會預設啟用提款白名單，除非啟用白名單，否則允許提款至任何地址。
該交易所建議 API 用戶啟用提款白名單，並避免洩露 API 金鑰。
目前的提款文件指出，正常提款可能需要電子郵件、手機或 Google Authenticator 驗證，而獨立的安全設定可允許在指定條件下無需重複雙重驗證即可提款。
雙飛表示，攻擊者建立的 API 在該用戶可查看的安全操作歷史中並不可見，並聲稱由於 API 建立時帳戶電子郵件已被更改，因此未收到通知。
該用戶要求 MEXC 披露用於建立該 API 的 IP 位址、其權限、它在帳戶被凍結期間是否失效，以及這六筆提款是透過哪個管道發起的。
此事件發生在 MEXC 帳戶控制先前受到審視之後。2025 年，在另一起涉及交易員 The White Whale 的 MEXC 315 萬美元凍結資金糾紛之後，該交易所返還了資金。
此後，MEXC 推動了多項用戶保護措施，包括於 2026 年 5 月宣布的計劃中的5 億美元 Guardian Fund 擴展。
就當前案件而言，MEXC 的公開回應仍然有限。客服表示該糾紛已解決，且由於用戶隱私，不會披露進一步細節。
