币圈界报道：

Coinbase披露第三方供应商数据泄露：联系信息外流，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户联系方式（包括电子邮箱和手机号）遭非授权访问。尽管涉及数据敏感，但账户密码、私钥、交易历史及资产余额均未被窃取，且平台自身系统未发现异常登录或入侵痕迹。

供应链漏洞成主因：分析服务提供商暴露客户数据

此次事件源头指向产品行为分析服务商Amplitude。该机构通过嵌入客户端的SDK收集用户交互数据，为提升分析精度，常需关联用户真实身份信息。当电子邮件或电话号码随使用行为上传至其服务器时，即形成可被利用的数据资产，成为攻击链中的薄弱环节。

泄露范围存疑：交易所称“少量”，安全公司称超七万

Coinbase在声明中强调影响范围有限，未公布具体账户数量。然而，区块链安全机构SlowMist援引一份数据集指出，涉事账户超过7万个，但未证实是否包含密码或资金信息。目前双方说法悬殊，尚无独立验证，事件实际规模仍待进一步澄清。

核心风险非账户被盗，而是精准社交诱骗

泄露的联系方式本身无法直接用于转账或登录，但极大提升了诈骗成功率。攻击者可据此发起高度定制化的通信——冒充客服、虚构登录异常警报，并制造紧迫感诱导用户执行转账、提供助记词或验证码等操作。此类攻击本质是利用“可达性”而非“权限”进行操控。

虚假支持来电的典型套路与识别特征

真正客服从不主动致电施压。若对方要求提供助记词、私钥或一次性验证码，必为欺诈。其他警示信号包括：域名拼写错误、链接显示地址与文本不符、问候语泛化、强制保密条款以及无端的时间限制。任何索取敏感信息的行为，皆构成访问权请求。

通行密钥优于短信验证码：防御钓鱼攻击的关键

短信验证码因依赖移动网络而易受SIM卡劫持攻击；身份验证器应用虽更安全，但仍可能在仿冒页面上被截获。相比之下，通行密钥具备抗钓鱼能力，仅在真实域名下有效，即使用户误点恶意链接也无法被伪造，是当前最可靠的第二因素方案。

自我托管可规避供应商风险，但需承担密钥责任

将私钥掌握在自己手中，意味着资产脱离交易所系统控制，即便供应商出问题也无法触及。硬件钱包作为主流工具，将密钥固化于专用芯片，签署过程不暴露密钥。然而，丢失助记词即永久失权，因此建议按用途分层管理：日常交易用中心化平台，长期持有则转入自管。

通知渠道受限：邮件既是通报也是攻击入口

Coinbase通过已泄露的邮箱向受影响者发送通知，这使得消息本身成为潜在风险源。接收者难以判断邮件真伪，唯一可靠方式是直接访问官网或使用官方应用核实信息，切勿点击其中链接，以免落入攻击者设下的陷阱。

监管合规与责任归属：供应商不能免除平台义务

根据欧盟GDPR法规，数据控制者须在72小时内向监管机构报告泄露事件，并在高风险情况下通知用户。尽管事件源于供应商，但责任主体仍是Coinbase。用户可向居住地数据保护机构投诉，权利不受公司注册地影响。此外，Amplitude官方状态页未提及此次事件，其此前发布的安全通告亦未明确关联，真实性有待验证。