MEXC稱已排查用戶API被盜提現事件
MEXC發文稱，對用戶約34萬美元資產被盜指控已完成初步排查並給出方案，成立專項小組跟進賬戶與後續處理，後續改走註冊郵箱一對一溝通。
用戶稱9月25日攻擊者用僞造材料約10分鐘通過安全項重置，換綁郵箱、解綁谷歌驗證，控制賬戶約7.5小時，期間改密、綁定驗證器並創建API。平臺複審後凍結賬戶、把郵箱改回，協助恢復登錄，但未撤銷該API。
用戶按要求改密並換綁驗證器後進入24小時提現限制。9月27日限制解除約27分鐘後，賬戶被提走322110枚USDT與9133999枚ONE，合計約34萬美元，分多筆完成，期間無新登錄記錄。用戶指幫助中心寫明凍戶後關聯API應失效，且API提現無需谷歌或郵箱驗證。
當事人已正式索賠並嘗試報警，要求保全日誌、書面說明凍結流程並返還資產，同時提醒他人檢查API管理頁。另有用戶稱收到類似“重置安全設置”郵件。部分報道提及僞造材料與人臉覈驗被繞過，平臺回覆未逐條確認技術路徑。
社區把缺口寫在恢復流程：密碼與二次驗證被重置，提現權限鑰匙留在攻擊者手裏，冷卻期一過自動出金。
市場機制上，賣的是客服恢復與凍戶，買的是完整權限回收。資金從用戶賬戶經殘留API流向鏈上；受益方是仍持有提現權限密鑰的一方，承壓方是以爲改密即切斷全部通道的用戶。事件驅動來自賬戶接管後的權限殘留，而不是熱錢包被攻破。
來源：公開信息
ABAB AI 解讀
凍戶若不同步作廢API，恢復流程就只修了登錄面，沒修出金面。API本爲量化接口，被設計成可繞過每次谷歌與郵件確認，於是冷卻期變成攻擊者的倒計時。僞造材料過審是第一道門，未列密鑰清單是第二道門。
資本路徑是中心化託管把提現權同時發給瀏覽器會話和API令牌。客服按登錄憑證清單作業，令牌若未進入同一張清單，資產在限制解除後仍可被程序提走。索賠走郵箱專人對線，把公共爭議收成個案工單。
類比對象是銀行補卡後舊U盾仍能轉賬，以及雲廠商輪換密碼卻留下永久訪問密鑰。行業階段是賬戶接管從盜號轉向留下一條不出現在登錄日誌裏的出金管線。
結構判斷屬於產業鏈重構中的權限層漏洞。機制是誰能在凍戶清單裏漏掉提現API，誰就給“已恢復”定價；冷卻期保護的是人工複覈，保護不了未被列入複覈的密鑰。
ABAB News · 認知定律
改密不等於收回提現鑰匙。
凍戶若漏掉API，冷卻期就是倒計時。
登錄日誌乾淨，出金仍可在接口上完成。