Puntos clave de la noticia:
- Un usuario de MEXC perdió $340,000 en 13 minutos a través de una API key creada por un hacker durante una brecha que nunca fue revocada.
- La cuenta ya había sido comprometida y recuperada, pero la clave API del atacante permaneció activa y permitió retirar fondos sin necesitar superar la autenticación de dos factores.
- MEXC informó haber alcanzado un acuerdo con el usuario y considera el caso cerrado, pero no se revelaron los términos del arreglo.
Un usuario del exchange MEXC que opera en X como @shuangfei8 publicó un relato detallado sobre cómo perdió $340,000 en criptomonedas sin que su contraseña hubiera sido comprometida ni una sesión activa detectada.
Según su testimonio, la cuenta ya había sufrido un hackeo previamente, el 24 de septiembre, que MEXC detectó, congeló y revirtió parcialmente: le devolvieron el email original y lo ayudaron a recuperar el control. Lo que el exchange no revocó fue una clave API que el atacante creó a las 21:05:42 de ese mismo día, apenas 83 segundos después de su segundo inicio de sesión en la cuenta vulnerada.
大家好，我是MEXC被盗事件的当事人，以下是被盗事件经过
MEXC 确认我的账户被盗、冻结了账户、帮我找回——却漏掉了攻击者留下的 API。24 小时提币限制解除 27 分钟后，34 万美元资产被提空。
1/ 先说结果
2026 年 9 月 27 日 04:12–04:25（北京时间，下同），我的 MEXC 账户被提走 322,110 USDT 和… pic.twitter.com/e9xL5cAZs8— shuang fei (@shuangfei8) September 28, 2026
El usuario restableció su contraseña, desvinculó el autenticador del atacante y registró uno nuevo. Ese proceso activó un período de retención de retiros de 24 horas según las reglas de MEXC. Veintisiete minutos después de que ese plazo venció, se ejecutaron seis transacciones en 13 minutos: 322,110 USDT y 9,133,999 ONE enviados a dos direcciones externas. El usuario dice que estaba dormido y que su historial no registra ningún inicio de sesión durante ese período.
MEXC Llega a un Acuerdo con el Usuario Estafado
Las API keys operan de forma independiente a la autenticación de dos factores. Un retiro realizado a través de una no requiere código adicional ni confirmación por correo, lo que significa que cambiar la contraseña y el autenticador no cierra esa vía de acceso. Un comunicado de MEXC indica que, por defecto, los retiros vía API no tienen lista blanca habilitada y pueden dirigirse a cualquier dirección.
El usuario señala que no pudo detectar la clave por su cuenta: cuando fue creada, el email vinculado era el del atacante, por lo que ninguna notificación le llegó, y el historial de seguridad visible para él no registra su creación.
MEXC informó horas después de la denuncia pública que alcanzó un acuerdo con el usuario. «El asunto ha quedado completamente resuelto», declaró el exchange en X, sin divulgar los términos del arreglo.
La plataforma no respondió públicamente si la clave API fue el canal utilizado para los retiros, ni explicó por qué su intervención de emergencia restauró el correo sin eliminar los demás cambios introducidos por el atacante.
En enero de 2026, el equipo de investigación de Socket había documentado una extensión de Chrome que creaba claves API en cuentas de MEXC de forma silenciosa, ofrecia permisos de retiro y enviaba las credenciales a un bot de Telegram controlado por el atacante.
