币圈界报道：

Coinbase披露供应商数据泄露：客户联系方式外泄，资产未受波及

2026年10月28日凌晨，Coinbase官方通报称，其合作的第三方分析服务商Amplitude遭遇安全漏洞，造成部分用户联系方式（包括电子邮箱和手机号）被非法获取。交易所强调，核心账户凭证如密码、私钥、交易历史及资金余额均未在自身系统中被访问或泄露，且无证据显示平台主系统存在入侵。

数据泄露源头指向分析服务提供商，非交易所本体

此次事件起因于第三方工具集成环节。Amplitude作为产品行为分析服务商，通过嵌入客户端SDK收集用户交互数据，为优化服务提供支持。当该服务采集了带有身份标识的信息（如邮件地址或电话号码），这些敏感数据便存储于供应商服务器上。此次泄露即源于此流程中的安全缺陷，而非对Coinbase平台本身的直接攻击。

泄露范围存疑：交易所称“少量”，安全机构指超7万账户

Coinbase表示受影响用户数量有限，但未公布具体数字。与此相对，区块链安全公司SlowMist援引一份数据集指出，涉及账户超过7万个，且确认包含联系信息，但未核实是否牵涉密码或余额。目前尚无独立验证，因此事件影响规模仍处于模糊区间。无论实际数字如何，用户唯一能确认是否受影响的方式，是接收来自官方渠道的通知。

风险本质：从“账户访问”转向“精准接触”

与传统密码泄露不同，此次问题不在于能否登录账户，而在于攻击者已掌握目标身份的精确路径。拥有真实邮箱和电话号码的黑客可发起高度定制化的社交工程攻击，例如冒充客服声称检测到异常登录，制造紧迫感诱导用户执行转账、输入助记词或提供一次性验证码等操作。

虚假支持电话的典型运作模式

此类骗局通常以“账户异常”为由主动致电或发信，利用已知信息构建可信背景。常见话术包括提及注册邮箱、虚构安全威胁，并施加时间压力要求立即行动。一旦用户点击链接或输入信息，即相当于将控制权交予攻击者。真正的客户服务绝不会主动联系用户施压，也不会索取助记词、私钥或一次性验证码。

识别骗局的关键信号

真正支持团队仅响应用户主动发起的请求，不会主动拨打电话或发送警告。任何要求提供助记词、私钥或验证码的行为均属高危，因为这些信息仅用于身份验证，一旦泄露即意味着完全失去控制。其他警示特征还包括域名拼写错误、链接目的地与文本不符、问候语泛化、强加保密义务以及缺乏事实依据的时间限制。

交易所责任未因供应商问题减轻

尽管事件发生在供应商端，但根据《通用数据保护条例》（GDPR），Coinbase作为数据控制方仍负有报告义务。其已在72小时内向监管机构通报，并通过电子邮件通知受影响用户，符合法规要求。用户可向所在国数据保护机构提出申诉，权利不受运营地国家限制。

第二因素选择决定防御强度

在联系信息外泄背景下，第二重验证方式的选择至关重要。短信验证码最易受SIM卡劫持或仿冒页面诱导，风险最高；身份验证器应用虽抗网络攻击，但无法防范钓鱼网站；通行密钥则具备抗钓鱼能力，因其与真实域名绑定，伪造域名下无效，是当前最优解。

自我托管：切断外部攻击路径

将资产转移至自我托管环境可彻底规避交易所供应商风险。硬件钱包将私钥保存于专用芯片中，即使设备接入网络也无需暴露密钥。然而，这也意味着密钥管理责任完全由用户承担——丢失助记词即永久丧失资产。因此，建议按用途分层管理：日常交易使用交易所，长期持有部分则交由个人保管。

通知渠道本身亦成信任挑战

Coinbase通过已泄露的邮箱发送通知，形成悖论：唯一合法告知途径正是可能已被监控的媒介。因此，收到相关邮件后切勿点击其中链接，应直接通过官网或应用程序核实信息。消息内容可参考，但行动必须自主判断，避免落入二次陷阱。

Amplitude未公开声明，事件真实性待证

Amplitude的官方状态页面仅列出10月24日至27日的技术中断与维护情况，未提及本次数据泄露。其此前发布的关于PHP漏洞的通告也未明确关联此事件。目前所有信息均来自Coinbase单方面声明，供应商尚未回应。事件真实性质与影响范围，需等待Amplitude正式公告才能澄清。