در یک رویداد تکان‌دهنده، کاربر صرافی MEXC ادعا کرد که ۳۴۰ هزار دلار از دارایی‌اش به سرقت رفته است. بنا به گفته این کاربر، مهاجم موفق شده بود یک کلید API مخفی روی حسابش ایجاد کند و حتی پس از بازیابی کامل حساب، این API همچنان فعال و قابل استفاده باقی مانده بود!
صرافی MEXC بلافاصله وارد عمل شد و پس از بررسی‌های دقیق اعلام کرد که این اختقال حل‌وفصل شده است. طبق توضیحات صرافی، مشکل اصلی ناشی از فعال ماندن کلید API ایجاد شده توسط هکر بود که حتی پس از فرآیند بازیابی حساب نیز غیرفعال نشده بود.
این حادثه نشان می‌دهد که امنیت حساب‌های کریپتویی فقط به رمز عبور قوی خلاصه نمی‌شود. هرگز کلیدهای API خود را فراموش نکنید و هرگونه فعالیت مشکوک را سریعاً گزارش کنید.
نظر کارشناسی: این حادثه نشان‌دهنده ضعف جدی در فرآیند بازیابی حساب صرافی‌هاست؛ وقتی API ایجاد شده توسط مهاجم حتی پس از ریست حساب فعال بماند، اعتماد کاربران به شدت آسیب می‌بیند. پیشنهاد می‌کنیم MEXC (و سایر صرافی‌ها) تمام کلیدهای API را پس از هر رویداد امنیتی به طور خودکار باطل کنند. کاربران حرفه‌ای هم باید حداقل یک‌بار در ماه لیست APIهای فعال خود را چک کنند.