用户称MEXC未撤销API致34万美元被提空
用户发文称，其MEXC账户在9月27日被提走322110枚USDT与9133999枚ONE，合计约34万美元。其指9月25日攻击者凭伪造材料换绑邮箱并重置安全项，短暂控制期间创建API密钥。
平台事后确认失窃、冻结账户并协助找回，当事人按要求更换密码与谷歌验证器，该API却未被撤销。24小时提币限制解除约27分钟后，资产经API提空，期间无新登录记录。
当事人质疑审核、冻结处置与风控，要求保全日志、书面答复并返还资产，已交正式索赔并尝试报警。帮助中心条文被其援引：冻户后关联API应失效；API提现无需谷歌或邮箱验证。
控制窗口被写成约7.5小时，安全项重置获批约10分钟。出金分多笔。另有用户称收到类似重置安全设置的邮件，社区建议立刻检查API管理页是否有陌生密钥。
部分英文转述提到伪造证件与人脸核验被绕过，平台公开回复只称初步排查完成、已给方案、专人跟进并改走注册邮箱沟通，未在公开帖中逐项承认未撤API。
市场机制上，卖的是账户恢复服务，买的是提现权限是否被清零。资金从现货余额经残留密钥流向链上地址；受益方是仍握着提现API的一方，承压方是完成客服清单后以为通道已关的用户。事件驱动来自权限残留，而不是新的登录会话。
来源：公开信息
ABAB AI 解读
这起指控把交易所风控拆成两套账：登录账和出金账。客服修了邮箱、密码和验证器，等于修登录账；攻击者留下的API是出金账。限制解除后的27分钟说明冷却只绑在人工身份上，不绑在令牌生命周期上。
资本路径是托管平台用API给量化客户开后门式便利，同时用二次验证给零售客户安全感。两条通道权限不等价，恢复流程若只走零售清单，量化通道就成为接管后的提款机。索赔与报警把定价权从客服话术转到日志保全。
类比对象是云主机改登录密码却留下access key，以及券商重置密码却不废止委托协议。行业阶段是账户安全从“谁在登录”转向“还有哪些永不登录也能出金的钥匙”。
结构判断属于定价权转移。机制是谁定义冻户清单的覆盖范围，谁就给出金安全定价；清单不含API时，“已协助找回”只对登录生效。
ABAB News · 认知定律
找回账户不等于收回出金通道。
冷却期绑的是人，绑不住令牌。
没有登录记录的提现，说明权限在接口里。