Öncelikle geçmiş olsun.

API'lerde kod doğrulama olmaz, api'yi eklerken koyuyorlar o doğrulama işlemlerini ki doğrulama yapıldıktan sonraki aldığınız API'ye tekrar doğrulama koymanın bir mantığı yok. API'ler yazılımlar otomatik çalışsın insan müdahalesine gerek kalmasın diye var, API'ler bu tür işlemler için insan doğrulaması isteseydi en başta binance her gün gerçekleşen çekimleri gerçekleştiremezdi, onların sistemi de cüzdanlarla iç api'ler üzerinden haberleşiyor.
Onun haricinde api ekledikten sonra çekim yetkisi için 2. defa sms veya google auth doğrulaması yapmanız gerekiyor.

Şimdi senaryoda oturmayan bazı şeyler var, geçmişe baktığımızda önce pool.binance adresine girmiş oradan oturum açma denemesi yapmışsınız, two-factor yanlış olmuş sanırım tekrar login sayfasına gitmiş oradan tekrar giriş yapılmış two-factor girilmiş oturum açılmış. Sonrasında api eklenmiş, mailden doğrulama alınmış, onaylanmış ve çekim yetkisi verilmiş onun maili gelmiş. Bilgisayarınıza virüs girme senaryosu ile gidecek olursak, geçmiş listesinde göründüğü için chrome eklentisi ile yapılmış olabilir, yetkilendirme yükseltmesi olan bir eklenti ile arkaplanda otomatik girişleri yapabilir, yaptı diyelim aynı chrome process üzerinde olduğu için binance ve gmail oturumlarınıza erişebilir, onları kontrol edebilir, ancak auth var diyorsunuz, virüsün bunlara erişimi yok.

Doğrulamanın da bypass edildiği düşünülürse o zaman şöyle bir senaryo olması gerekiyor;
Chrome eklentisi değil, direkt olarak işletim sistemi üzerinde admin yetkisine sahip bir virus: chrome process üzerinde binance ve gmail erişimini sağlayabilir.
Google Auth doğrulamasını geçebilmesinin de tek yolu, auth yedek anahtarı bir metin dosyasında bilgisayarınızda yedeklenmiş olabilir. Pc'deki dosyaları tarayarak oradan erişmiş olabilir, veya telefonunuzda Google auth ile beraber pc'inizde Authy kullanıyorsunuzdur oradan erişebilir.

Bunun haricinde Aynı anda hem telefonunuzun hem bilgisayarınızın hacklendiği bir senaryo ancak manuel olarak birisi fiziki müdahale yaparak yapabilir. Başka bir senaryo bulmak çok zor.

Bu arada muhtemelen Google auth ile doğrulama açık olduğu için tüm işlemlerde sms doğrulama istemiyor, büyük ihtimalle eposta + auth kodu ile açılmıştır api oluşturması ve api çekim yetkilendirmesi.

Eğer listedeki işlemleri siz yapmadıysanız, yapan kişi emin olmak istemiş gibi, ön yazırlık gibi api eklenmiş, güvenlik sayfasına girilmiş, oltalama kod ayarlarına vs bakılmış. Yapılan işlemler otomatik bir virus'un yapacağı şeyler değil, böyle bir virus yazdığımızı düşünsek virüse emin olmak için bu sayfalara gezdirmeyiz. Elle yapılmış gibi geliyor bana, uzak masaüstü bağlantısı, anydesk vs program kurulu mu? belki daha önce çevrenizden birisi anydesk kurdu şifre ile otomatik giriş yaptı?

Yani senaryolara baktığımızda virus veya eklenti işi olduğunu sanmıyorum, yapılan işlemler, girilen sayfalar elle yapılmış. Eğer öyleyse google auth uygulamasına bakın, birisi export etmişse orada görebilirsiniz.