用戶稱MEXC未撤銷API致34萬美元被提空
用戶發文稱，其MEXC賬戶在9月27日被提走322110枚USDT與9133999枚ONE，合計約34萬美元。其指9月25日攻擊者憑僞造材料換綁郵箱並重置安全項，短暫控制期間創建API密鑰。
平臺事後確認失竊、凍結賬戶並協助找回，當事人按要求更換密碼與谷歌驗證器，該API卻未被撤銷。24小時提幣限制解除約27分鐘後，資產經API提空，期間無新登錄記錄。
當事人質疑審覈、凍結處置與風控，要求保全日誌、書面答覆並返還資產，已交正式索賠並嘗試報警。幫助中心條文被其援引：凍戶後關聯API應失效；API提現無需谷歌或郵箱驗證。
控制窗口被寫成約7.5小時，安全項重置獲批約10分鐘。出金分多筆。另有用戶稱收到類似重置安全設置的郵件，社區建議立刻檢查API管理頁是否有陌生密鑰。
部分英文轉述提到僞造證件與人臉覈驗被繞過，平臺公開回復只稱初步排查完成、已給方案、專人跟進並改走註冊郵箱溝通，未在公開帖中逐項承認未撤API。
市場機制上，賣的是賬戶恢復服務，買的是提現權限是否被清零。資金從現貨餘額經殘留密鑰流向鏈上地址；受益方是仍握着提現API的一方，承壓方是完成客服清單後以爲通道已關的用戶。事件驅動來自權限殘留，而不是新的登錄會話。
來源：公開信息
ABAB AI 解讀
這起指控把交易所風控拆成兩套賬：登錄賬和出金賬。客服修了郵箱、密碼和驗證器，等於修登錄賬；攻擊者留下的API是出金賬。限制解除後的27分鐘說明冷卻只綁在人工身份上，不綁在令牌生命週期上。
資本路徑是託管平臺用API給量化客戶開後門式便利，同時用二次驗證給零售客戶安全感。兩條通道權限不等價，恢復流程若只走零售清單，量化通道就成爲接管後的提款機。索賠與報警把定價權從客服話術轉到日誌保全。
類比對象是雲主機改登錄密碼卻留下access key，以及券商重置密碼卻不廢止委託協議。行業階段是賬戶安全從“誰在登錄”轉向“還有哪些永不登錄也能出金的鑰匙”。
結構判斷屬於定價權轉移。機制是誰定義凍戶清單的覆蓋範圍，誰就給出金安全定價；清單不含API時，“已協助找回”只對登錄生效。
ABAB News · 認知定律
找回賬戶不等於收回出金通道。
冷卻期綁的是人，綁不住令牌。
沒有登錄記錄的提現，說明權限在接口裏。