与「M2」相关的搜索结果

大家好，我是MEXC被盗事件的当事人，以下是被盗事件经过 MEXC 确认我的账户被盗、冻结了账户、帮我找回——却漏掉了攻击者留下的 API。24 小时提币限制解除 27 分钟后，34 万美元资产被提空。 1/ 先说结果 2026 年 9 月 27 日 04:12–04:25（北京时间，下同），我的 MEXC 账户被提走 322,110 USDT 和 9,133,999 ONE，合计约 34 万美元。 两天前，MEXC 已经确认我的账户被盗，冻结了账户，帮我找回。我按要求改了密码，换了谷歌验证。但攻击者控制账户期间创建的一个 API 一直没有被撤销，MEXC 也从没告诉过我它的存在。 2/ 攻击者是怎么拿到账户的 9 月 25 日 03:10，我收到 MEXC 邮件，说我的账户「正在申请重置安全项，操作为换绑邮箱，解绑谷歌」，「将于1个工作日内处理完毕」。10 分钟后，03:20，申请通过。 这个申请不是我提交的，用的证件照片和手持视频也不是我提交的。 MEXC 客服事后书面答复：「经过审核资料是符合要求的，所以通过了更改邮箱的申请，但是在复审时，由于发现了此次申请涉及风险，所以紧急冻结了账号，同时回调为您初始的邮箱。」 图：09-25 03:10、03:20 两封邮件；客服答复截图 3/ 攻击者控制账户的七个半小时 账户的「安全操作历史」和「登录历史」显示： · 03:22 重置登录密码；03:23 从印尼雅加达的 IP 187.40.232.161 登录 · 04:19 绑定攻击者自己的谷歌验证 · 05:03 再次修改密码；05:04 再次登录 · 05:05:42，账户里创建了一个 API（客服被盗后告知），距攻击者登录只有 83 秒 · 10:55，MEXC 复审发现风险，冻结账户，把邮箱改回我的 MEXC 当时只改回了邮箱。攻击者绑的谷歌验证、改的密码，是我第二天自己申请才改掉的。那个 API，没有人动过。 图：安全操作历史、登录历史（我自己的 IP 已打码） 4/ 我做了所有被要求做的事 客服当时告诉我：「由于更改安全项之后会有24小时的提币限制，所以在此期间您的资金是无法提出的」，「我们的相关安全设置会尽最大可能的保护用户的账号安全」。 9 月 26 日，我解绑了攻击者的谷歌验证（03:34 获批），重置了密码（03:41），绑定了新的谷歌验证（03:45）。我想把资产转走，被 24 小时提币限制挡住了。 5/ 24 小时一到 按 MEXC 的规则，修改谷歌验证后 24 小时内禁止提币。我最后一次修改是 9 月 26 日 03:45:07。 9 月 27 日 04:12:45，第一笔提币：1 USDT，是测试。随后 13 分钟里，又提了 4 笔 USDT、1 笔 ONE，全部提到同一个新地址。【当时我在睡觉】 登录历史里，这段时间没有任何新的登录。 提币限制锁住了我，没有锁住那把后门。 图：提币记录 6/ 为什么一个 API 就够了 MEXC 帮助中心写着：冻结账户后，「与账户关联的所有 API 密钥将失效」。 MEXC 2023 年的公告写着：通过 API 提币「默认不启用提币白名单，即可以提币到任何地址」。 也就是说，API 提币不需要谷歌验证码，也不需要邮箱验证码。我改密码、换谷歌验证，对它都没有作用。 MEXC 冻结过我的账户，那这个 API 当时失效了吗？如果失效了，为什么解冻后又能用？如果没失效，MEXC 的紧急冻结到底冻结了什么？ 我没有办法知道这个 API 存在：它被创建时，账户绑定的邮箱已经换成攻击者的，通知不会发给我；我能看到的「安全操作历史」里也没有这条记录。我是 9 月 27 日问了客服才知道的。 目前 MEXC 客服表示，无法查看这几笔提币是从 APP、WEB 还是 API 发起的，问题已转交相关部门（工单 M2026092712031）。 图：客服对话截图 7/ 我要求 MEXC 回答 ① 不是我提交的重置申请，为什么 10 分钟就通过了？提交的是什么材料？复审发现了什么风险？ ② 10:55 紧急处置时，为什么只改回邮箱，不同时撤销攻击者的谷歌验证、密码和 API？ ③ 这个 API 是从哪个 IP 创建的？有哪些权限？冻结时它失效了吗？解冻时是不是又恢复了？ ④ 6 笔提币分别通过什么渠道、用什么凭证发起？ ⑤ 一个刚被盗过的账户，禁提到期半小时内就被提空到一个新地址，风控为什么没有拦？ 8/ 我的诉求 请 MEXC：保全全部相关日志；书面回答上面的问题；返还被盗的 322,110 USDT 和 9,133,999 ONE。 我已经向 MEXC 提交正式索赔，并已尝试报警。 9/ 如果你也收到过 MEXC「申请重置安全项」的邮件 有 MEXC 用户给我发来截图：最近几天，他们也收到了「申请重置安全项」的通知，有的因为「证件正面照片与账户身份信息不一致」「手持证件视频人脸与本人不一致」被驳回。我无法核实这些情况和我的事件有没有关系。如果你也收到过，或者已经受损，欢迎联系我。 建议所有 MEXC 用户现在就去【API 管理】看一眼，有没有自己没建过的 API。 图：其他用户提供的邮件截图（已征得同意，邮箱已打码）　【发布前确认对方同意公开，并给邮箱打码】 #MEXC# #账户安全# #资产被盗#

Sam Harper has gone from a player whose state career was on the brink to being in the mix for an Australian debut. @DanielCherny examines the Victorian gloveman’s stunning turnaround. READ ▶️