币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱和手机号码被非法获取。尽管涉及数据范围有限，且未发现账户内部系统遭入侵迹象，但此次事件揭示了依赖第三方服务时潜在的供应链风险。

数据泄露源头指向分析平台Amplitude

调查指出，本次事件由产品行为分析服务商Amplitude的技术漏洞引发。该平台通过嵌入式SDK收集用户使用数据，为客户提供行为洞察。在数据处理过程中，若关联了个人联系方式，这些信息将被存储于供应商端，成为泄露的关键节点。

Coinbase强调，事件并非针对自身系统，而是由外部服务链路中断所致。多家使用相同服务的机构亦报告类似问题，表明此为跨行业共性风险，而非单一平台特例。

泄露范围存疑：交易所称“少量”，安全公司称超七万

Coinbase未披露具体受影响账户数量，仅表示影响面较小。然而，区块链安全机构SlowMist援引一份数据集，声称涉及超过7万个账户的联系信息，但未确认是否包含密码或资金信息。

目前尚无独立验证，双方说法差距悬殊。对于个体用户而言，实际规模差异不改变核心风险——一旦信息流出，便无法逆转。唯一可确定的是：通知仅通过电子邮件发送，而邮件地址本身可能已被攻破。

信息泄露后的新型攻击模式：精准社会工程学演进

此次事件的核心威胁不在于技术突破，而在于攻击者获得精准目标路径。掌握用户身份与联系方式后，诈骗者可制造高度可信的假象，如冒充客服声称检测到异常登录，进而诱导用户执行转账、输入助记词或提供一次性验证码等高危操作。

此类攻击已形成固定套路：利用已知事实建立信任，制造紧迫感，最终完成权限转移。关键区别在于，传统密码泄露可通过更换解决，而联系信息泄露则使攻击者具备“可达性”，即使更换密码也无法阻断其接触渠道。

识别骗局的两大核心特征

真正支持团队从不主动发起电话或邮件施压；任何要求提供助记词、私钥或一次性验证码的行为，均属于访问权限索取，本质是窃取控制权。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止外部讨论等均为典型信号。

特别注意：没有任何合法机构会要求您将资产转入他们提供的地址进行“保管”。自我托管应基于自主决策，而非他人建议。使用第三方生成的地址或接受外部指令，本质上违背去中心化原则。

Amplitude官方页面未记录该事件

公众试图通过Amplitude公开状态页核实情况时，发现其仅列出10月24日至27日的数据延迟与维护公告，未提及任何安全事件。此前10月22日发布的关于PHP漏洞的通知，也未明确与本次泄露相关。

因此，当前所有信息均来自Coinbase单方面声明。供应商尚未发布正式回应，事件真实性与责任归属仍处于待确认状态，需等待其官方说明。

欧盟监管框架下的合规义务履行

鉴于Coinbase以卢森堡监管机构颁发的MiCA许可证运营，其欧洲业务受《通用数据保护条例》（GDPR）约束。根据法规，数据泄露须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。

交易所已履行上述义务，但责任主体仍在其自身。即便漏洞源于供应商，用户仍可向居住国数据保护机构提出投诉，不受公司注册地限制。

双因素认证应对策略：从短信代码到通行密钥

在联系信息外泄背景下，第二重验证机制的重要性凸显。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导，防御力最弱。

身份验证器应用生成的动态码虽不依赖通信链路，但仍无法抵御钓鱼网站欺骗。相比之下，通行密钥（Passkey）具有抗钓鱼能力，其密钥绑定真实域名，伪造站点无法激活，是当前最优解。

自我托管：脱离中心化依赖的安全选择

当密钥由用户自行持有，资产即不再受制于交易所及其供应商。硬件钱包作为专用设备，能将私钥隔离于芯片内，签署过程无需暴露密钥，实现物理级防护。

然而，自托管意味着风险转移至个人。助记词丢失不可恢复，劣质硬件钱包亦存在供应链隐患。因此，多数投资者采取分层策略：日常交易保留于合规平台，长期持仓则移至自管钱包。

就本次事件而言，因未涉及密钥或余额，资金转移动因更多源于对供应商频繁出事的普遍担忧，而非单一事件驱动。

官方通知渠道受限：警惕虚假警报

Coinbase仅通过电子邮件通知受影响用户，而该邮箱正是泄露点之一。这意味着消息来源本身可能已被监控，无法确保其真实性。

建议用户拒绝点击邮件中任何链接，转而通过官网直接查询信息。若收到可疑电话或邮件，务必核实对方身份，切勿执行任何涉及账户控制的操作。