MEXC账户遭黑客攻击：一名用户如何损失34万美元？

MEXC 宣布已解决一起涉及用户的纠纷。该用户报告称，在账户被接管后，攻击者保留了 API 访问权限，导致其损失约 34 万美元。MEXC 表示已与受影响用户达成协议，并认为此事已完全解决。

然而，用户指出，在账户恢复程序完成后，有 322,110 USDT 和 913 万 ONE 代币被提走。根据 MEXC 的文档规定，冻结账户会使关联的 API 密钥失效，这引发了外界对此次事件中 API 状态及资金流出机制的质疑。

据报道，第一笔提币操作发生在 9 月 27 日，距离 24 小时安全锁定解除仅过去 27 分钟。截至目前，MEXC 尚未公开披露和解条款，也未确认用户是否获得了赔偿。

受影响用户 Shuang Fei 表示，北京时间 9 月 27 日 04:12 至 04:25 期间，其账户内的 322,110 USDT 和 9,133,999 ONE 被提走。随后，MEXC 客服联系用户并表示“已成功达成协议”，将此事描述为“完全解决”，但出于隐私保护原因，未透露具体细节。

据用户 Shuang Fei 所述，这起 MEXC 账户入侵事件始于 9 月 25 日凌晨。当时他收到一封电子邮件，声称有人申请更改账户绑定的邮箱并移除 Google 身份验证器（Google Authenticator）。

用户表示，该请求于北京时间 03:10 到达，并在 10 分钟后获批。Shuang Fei 强调该申请未经授权，且提交的身份证照片和验证视频并非账户持有人提供的真实材料。据用户分享的截图显示，MEXC 最初认为材料符合要求，但在后续审核中检测到风险，随即冻结了账户并恢复了原始邮箱地址。

MEXC 当前的安全重置文档指出，用户在重置安全验证时可能需要提供账户信息、身份证明文件以及手持身份证的视频。一旦攻击者控制了账户，Shuang Fea 称密码被重置，新的 Google 身份验证器被绑定。用户提供的登录记录显示，登录 IP 地址位于印度尼西亚雅加达。

据用户账户记录，API 密钥于 05:05:42 创建。Shuang Fei 表示，MEXC 是在资金已经转出后才披露该 API 的存在。

用户称，MEXC 于 9 月 25 日约 10:55 冻结了账户。次日，Shuang Fei 通过移除攻击者的 Google 身份验证器、更改密码并绑定新的验证器重新获得了账户控制权，最终修改于 9 月 26 日 03:45:07 完成。

MEXC 的文档确认，在某些安全变更（如修改绑定邮箱或 Google 身份验证器）后，加密货币和法币提币将被阻止 24 小时。另一份指南指出，冻结账户会禁用交易和登录功能，并使“所有关联的 API 密钥”失效。

用户对此提出疑问：如果该 API 在账户冻结期间已失效，它是如何被再次使用的？Shuang Fei 问道：“这个 API 当时失效了吗？”他还质疑在账户恢复后，该 API 是否重新激活。MEXC 尚未公开回答这些技术问题。

9 月 27 日 04:12:45，即用户 24 小时提币限制结束后的约 27 分钟，第一笔报出的转出交易移动了 1 USDT。据 Shuang Fei 称，随后在约 13 分钟内又发生了五笔提币，最终转走了 322,110 USDT 和 9,133,999 ONE，用户估值约为 34 万美元。

用户声称，在这些提币过程中，账户登录历史中没有出现新的登录活动。安全监控机构 CertiK 随后报道了该事件，包括攻击者创建的 API 保持可用并与提币相关联的指控，但未独立证实攻击方法。Lookonchain 也报道了相关声明，并指出在提币期间账户没有新的登录活动。

MEXC 的 API 提币政策为用户的疑问提供了进一步背景。在 2023 年的一项公告中，交易所表示不会默认启用 API 提币白名单，除非激活白名单，否则允许向任何地址提币。交易所建议 API 用户启用提币白名单并避免泄露 API 密钥。

目前的提币文档指出，正常提币可能需要邮箱、手机或 Google 身份验证器验证，而单独的安全设置可以在特定条件下允许无需重复双重身份验证即可提币。

Shuang Fei 表示，攻击者创建的 API 并未在用户可见的安全操作历史记录中显示，且由于创建 API 时账户邮箱已被更改，因此未收到通知。用户要求 MEXC 披露用于创建 API 的 IP 地址、其权限、该 API 是否在账户冻结期间失效，以及哪一渠道发起了六笔提币。

此事件紧随对 MEXC 账户控制的早期审查之后。2025 年，在一场涉及交易者 The White Whale 的 315 万美元冻结资金纠纷中，MEXC 返还了资金。此后，MEXC 推广了几项用户保护措施，包括计划于 2026 年 5 月宣布的 5 亿美元守护者基金扩展计划。

对于当前案例，MEXC 的公开回应仍然有限。客服表示争议已解决，并因用户隐私原因不再披露更多细节。

亚洲财经