Người dùng MEXC: Tài khoản bị đánh cắp sau khi API không bị hủy, khoảng 340.000 đô la Mỹ đã bị chuyển đi

Một người dùng MEXC đã đăng trên X rằng tài khoản của họ đã bị kiểm soát sau khi bị người khác đặt lại các mục bảo mật. MEXC đã xác nhận tài khoản bị đánh cắp, đóng băng tài khoản và hỗ trợ khôi phục, nhưng chưa hủy bỏ API mà kẻ tấn công để lại. Từ 04:12 đến 04:25 ngày 27 tháng 9 năm 2026 (giờ Bắc Kinh), tài khoản đã bị chuyển ra 322,110 USDT và 9,133,999 ONE, tổng cộng khoảng 340,000 đô la Mỹ, cách khoảng 27 phút sau khi hạn chế chuyển ra trong 24 giờ được gỡ bỏ.

Người dùng cho biết, vào lúc 03:10 ngày 25 tháng 9 đã nhận được email đặt lại mục bảo mật không phải do chính mình gửi, khoảng 10 phút sau thì yêu cầu được chấp thuận. Sau đó, tài khoản đã được đăng nhập từ IP tại Jakarta, Indonesia, liên kết với xác thực Google, và vào lúc 05:05 đã tạo API, cách đăng nhập khoảng 83 giây. Vào lúc 10:55 cùng ngày, MEXC đã phát hiện rủi ro sau khi xem xét lại và đã đóng băng tài khoản, đồng thời khôi phục lại email ban đầu. Bộ phận chăm sóc khách hàng đã trả lời bằng văn bản rằng, tài liệu kiểm tra đáp ứng yêu cầu nên đã chấp thuận việc thay đổi liên kết, nhưng sau khi xem xét lại phát hiện rủi ro đã khẩn cấp đóng băng và quay lại email ban đầu. Người dùng đã thay đổi mật khẩu và xác thực Google vào ngày 26 tháng 9, nhưng cho biết API đó chưa bị hủy bỏ, và trong lịch sử hoạt động bảo mật cũng không thấy ghi chép liên quan.

Người dùng cũng cho biết, khi tài sản bị chuyển ra, lịch sử đăng nhập không có ghi chép đăng nhập mới. Họ đã gửi yêu cầu bồi thường chính thức tới MEXC và cố gắng báo cảnh sát, số đơn là M2026092712031, yêu cầu nền tảng bảo toàn nhật ký, cung cấp giải thích bằng văn bản về việc kiểm tra và tình trạng API, và hoàn trả tài sản đã nêu. Bộ phận chăm sóc khách hàng của MEXC cho biết, hiện chưa thể xác nhận các giao dịch chuyển ra này được thực hiện qua APP, WEB hay API, vấn đề đã được chuyển cho các bộ phận liên quan.