Взлом и утечка $340 000 с MEXC: как хакеры обошли защитные механизмы

Пользователь биржи MEXC потерял крупную сумму — $340 000 — спустя двое суток после взлома его аккаунта, который изначально был заморожен и восстановлен службой поддержки. Хакер успел создать API-ключ без ведома владельца, что позволило ему вывести средства спустя 27 минут после окончания 24-часового запрета на вывод.

Пострадавший, известный под ником shuang fei (@shuangfei8) в социальной сети X, подробно описал произошедшее, включая скриншоты переписок с поддержкой и журнал операций аккаунта. Вся история началась 25 сентября, когда в 03:10 пользователь получил уведомление о запросе на смену привязанного email и отключение Google Authenticator. К 03:20 эти изменения были одобрены, хотя пользователь утверждает, что не подавал таких запросов.

События развивались стремительно: уже в 03:22 злоумышленник сбросил пароль, через минуту вошел в аккаунт из Джакарты, а к 04:19 привязал свой Google Authenticator. В 05:05:42, спустя всего 83 секунды после входа, был создан API-ключ. Биржа заметила риск в 10:55, заморозила аккаунт и вернула владение почтой, но злоумышленник уже имел доступ около 7,5 часов.

Пользователь описывает, что сам отвязал Google Authenticator злоумышленника и сменил пароль на следующий день, однако API-ключ остался активным. Все попытки перевести активы столкнулись с 24-часовым запретом на вывод. Как только он истек 27 сентября в 03:45, начались выводы средств. За короткий промежуток времени хакер вывел 322 110 USDT и 9 133 999 ONE.

Владельца аккаунта о существовании API-ключа никто не уведомил, так как на тот момент почта принадлежала хакеру. Поддержка MEXC сначала не смогла подтвердить использование ключа для вывода, но позже отдел безопасности подтвердил этот факт. Пострадавший не понимает, почему платформа не отозвала ключ или хотя бы не уведомила его о создании.

Сейчас пользователь требует от биржи сохранить все логи, ответить на его вопросы и вернуть украденные средства. Он подал официальную претензию и советует всем клиентам MEXC проверить свои API-ключи. Биржа, в свою очередь, заявила, что проводит тщательное расследование и советует пользователю обратиться в правоохранительные органы. MEXC обещает полное сотрудничество со следствием и рассмотрение вопроса о компенсации после завершения расследования.