ثلاث جمل لتوضيح حادثة اختراق مستخدمي MEXC بمبلغ 340 ألف U
------------------
سير الهجوم:
في 25 سبتمبر، نجح المهاجم في التقدم بطلب إعادة تعيين بريد حساب MEXC وفك ربط تحقق Google عبر استخدام مستندات مزوّرة وفيديو.
بعد الموافقة خلال 10 دقائق، سيطر على الحساب وأنشأ مفاتيح API مخفية.
ورغم أن MEXC جمدت الحساب عند 10:55 وأعادت البريد إلى حالته الأصلية، إلا أنها لم تلغِ مفاتيح الـAPI، ولم تُبطل كلمة مرور المهاجم، ولم تُلغِ تحقق Google.
------------------
عملية السحب:
وفقًا للمتطلبات، قام المستخدم بتعديل كلمة المرور في 26 سبتمبر، وفك ربط Google القديم وربط Google الجديد، ما أدى إلى تفعيل حد السحب لمدة 24 ساعة.
بعد زوال القيود في 27 سبتمبر، استغل المهاجم الـAPI (دون الحاجة إلى 2FA أو تسجيل دخول) وسحب 322,110 USDT و9,133,999 ONE خلال 13 دقيقة.
إجمالي الضرر يقارب 340 ألف دولار تقريبًا، دون وجود سجلات دخول جديدة.
-------------------
مطالب المستخدم:
المطالبة بأن تحافظ MEXC على السجلات، وتقديم إجابة مكتوبة بخصوص مراجعة إعادة التعيين، وصلاحيات الـAPI، ومشكلات بخصوص أن التجميد أصبح غير فعّال، مع تعويض كامل للخسائر.
كما تدعو في الوقت نفسه المستخدمين الآخرين إلى التحقق من إدارة الـAPI ومشاركة حالات مماثلة لرسائل البريد الخاصة بإعادة التعيين.
------------------
سير الهجوم:
في 25 سبتمبر، نجح المهاجم في التقدم بطلب إعادة تعيين بريد حساب MEXC وفك ربط تحقق Google عبر استخدام مستندات مزوّرة وفيديو.
بعد الموافقة خلال 10 دقائق، سيطر على الحساب وأنشأ مفاتيح API مخفية.
ورغم أن MEXC جمدت الحساب عند 10:55 وأعادت البريد إلى حالته الأصلية، إلا أنها لم تلغِ مفاتيح الـAPI، ولم تُبطل كلمة مرور المهاجم، ولم تُلغِ تحقق Google.
------------------
عملية السحب:
وفقًا للمتطلبات، قام المستخدم بتعديل كلمة المرور في 26 سبتمبر، وفك ربط Google القديم وربط Google الجديد، ما أدى إلى تفعيل حد السحب لمدة 24 ساعة.
بعد زوال القيود في 27 سبتمبر، استغل المهاجم الـAPI (دون الحاجة إلى 2FA أو تسجيل دخول) وسحب 322,110 USDT و9,133,999 ONE خلال 13 دقيقة.
إجمالي الضرر يقارب 340 ألف دولار تقريبًا، دون وجود سجلات دخول جديدة.
-------------------
مطالب المستخدم:
المطالبة بأن تحافظ MEXC على السجلات، وتقديم إجابة مكتوبة بخصوص مراجعة إعادة التعيين، وصلاحيات الـAPI، ومشكلات بخصوص أن التجميد أصبح غير فعّال، مع تعويض كامل للخسائر.
كما تدعو في الوقت نفسه المستخدمين الآخرين إلى التحقق من إدارة الـAPI ومشاركة حالات مماثلة لرسائل البريد الخاصة بإعادة التعيين.
