币圈界报道：

交易所供应商遭袭：客户联系方式大规模外泄，资产安全仍受保障

2026年10月28日，Coinbase官方通报称，其合作的数据分析服务提供商Amplitude遭遇安全漏洞，造成部分用户联系方式（包括电子邮箱和手机号）被非法获取。尽管账户密码、私钥、交易记录及余额均未受损，且内部系统未发现异常访问痕迹，但该事件揭示了第三方供应链在数字安全中的潜在脆弱性。

数据外泄源头锁定为分析服务商，非交易所自身系统

此次事件的技术根源指向Amplitude——一家专注于用户行为分析的服务平台。该机构通过集成于客户端的应用程序开发工具包（SDK）收集使用数据，并在必要时关联用户真实身份信息。当电子邮件或电话号码被用于匹配客户档案时，这些敏感字段即被存储于外部服务器，成为本次泄露的起点。

泄露范围存疑：交易所称“少量”，安全机构指超七万账户

Coinbase方面表示受影响用户数量有限，但未提供具体数字。与此相对，区块链安全公司SlowMist披露一份包含逾7万个账户联系信息的数据集，虽未确认是否涉及密码或余额，却引发了公众对事件规模的广泛质疑。目前双方说法悬殊，尚无独立证据可证伪任一方，只能暂定为一个宽泛区间。

关键风险在于“可达性”而非“访问权”

与传统密码泄露不同，本次事件的核心威胁并非账户被登录，而是攻击者获得了精准目标的联络路径。拥有已知地址和号码的诈骗者可实施高度定制化的社会工程学攻击，例如冒充客服声称检测到异常登录，制造紧迫感诱导用户执行转账、输入助记词或提交一次性验证码等操作。

虚假支持电话的典型套路与识别特征

真正的客户服务不会主动拨打电话施压，也不会要求用户提供助记词、私钥或一次性验证码——这些信息仅用于身份验证，任何索取者均意在获取访问权限。此外，拼写错误的域名、不一致的链接显示、模糊的问候语、强制保密要求以及缺乏事实依据的时间压力，皆为典型欺诈信号。

官方渠道不可信？通知本身也面临伪造风险

Coinbase将通过电子邮件向受影响用户发送通知，这既是法律义务，也成为攻击者仿冒的温床。由于邮件地址本身已被泄露，同一渠道既可能传递真实信息，也可能承载恶意内容。因此，应避免点击其中链接，所有核实操作须通过官方应用或直接输入官网网址完成。

Amplitude状态页面未提此事件，责任归属待澄清

截至当前，Amplitude的公开状态页仅列出10月24日至27日之间的服务中断与维护事项，未提及任何安全事件。此前发布的关于PHP漏洞的通告也未明确指向此次泄露。因此，该事件的责任认定仍完全依赖于Coinbase单方面陈述，供应商尚未作出回应，真相有待进一步披露。

欧盟监管框架下，责任主体仍是交易所

尽管Coinbase持有卢森堡颁发的MiCA许可以服务欧洲市场，但本次事件适用的是《通用数据保护条例》（GDPR），而非加密资产法规。根据该条例，控制者必须在72小时内报告数据泄露，并在高风险情形下通知用户。虽然交易所已履行报告义务，但最终责任仍由其承担，用户可在居住国向数据保护机构提出申诉。

第二因素选择影响防御能力：从短信代码到通行密钥

在联系信息外泄背景下，双因素认证形式至关重要。短信代码因依赖移动网络而易受SIM卡劫持或仿冒页面诱导，安全性较低；身份验证器应用虽能抵御网络截获，但仍无法防范钓鱼页面；唯有通行密钥具备抗钓鱼特性，因其绑定真实域名，伪造网站无法生成有效凭证。

自我托管是规避供应商风险的根本方案

将私钥掌握在自己手中，即可彻底脱离交易所及其供应商的安全链条。硬件钱包作为物理设备，可实现密钥离线存储，即使在签署交易时也不暴露密钥。尽管存在助记词丢失或设备来源不明的风险，但长期持有者普遍采用“分层管理”策略：日常交易保留于中心化平台，大额持仓则转入自管钱包。

应对建议：强化验证机制，警惕后续接触

建议用户立即检查账户安全设置，将短信验证替换为身份验证器或通行密钥；评估资金分配策略，将非交易用途的资产转移至自我托管环境；未来数周内保持高度警觉，对任何提及此次事件的来电或邮件保持怀疑，尤其拒绝任何要求转账或输入助记词的请求。当前核心结论清晰：本次事件关乎联系信息，而非资产本身，但其衍生风险不容忽视。