为什么绑了令牌也会被盗？

这两天连续被同一个人盗号，第一次是通过盗取我的邮箱，然后重置我的账号，移除了我的手机令牌。我发现后改了密码，更换了邮箱，重新绑定了手机。今天发现又被盗了！这次邮箱没被盗，手机令牌因为请求次数过多的缘故还没绑上。我特别好奇第二次是怎么盗得号啊，难道真的是知道了注册的邮箱就能无限申诉吗？
ps：我现在刚刚提交了pubg的支付宝交易记录，不知道能不能申诉成功