币圈界报道：

交易所供应商遭袭：用户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇安全事件，造成部分客户联系方式（包括电子邮箱和手机号码）被非法获取。尽管数据流出发生在第三方系统，但公司强调自身核心系统未被入侵，账户密码、私钥、交易历史及资产余额均保持完整。

供应链漏洞成新威胁：分析服务商成数据泄露源头

此次事件的核心责任方指向产品行为分析平台Amplitude。该服务通过嵌入客户端的SDK收集用户交互数据，以支持企业优化应用体验。为实现精准分析，部分数据会包含可识别身份的信息，如注册邮箱或电话号码，从而形成敏感数据存储点。

Coinbase将事件时间定位在10月27日至28日，并指出其他使用Amplitude服务的机构同样受到影响，表明这并非针对单一平台的定向攻击，而是典型的供应链渗透案例。

泄露范围存争议：官方称“少量”，第三方称超七万

交易所方面仅表示影响范围有限，未披露具体数量。然而，区块链安全团队SlowMist声称已核实一份涉及超过7万名用户的数据集，但未确认是否包含密码或余额等敏感内容。

目前尚无独立验证手段，因此实际规模仍处于模糊区间。无论数字是数十人还是数万人，对个体而言并无本质区别——是否受害取决于是否收到通知，而非数据量大小。

信息泄露的本质：从“访问权”到“可达性”的转变

与传统密码泄露不同，此次事件暴露的是“可达性”风险。电子邮件地址和电话号码本身无法直接操作账户，却为精准诈骗提供了基础条件。攻击者可借此构建高度可信的伪装场景，例如冒充客服声称检测到异常登录行为。

关键在于，更换密码对此类攻击无效，因为目标始终是诱导用户主动交出凭证，而非破解系统。

虚假支持电话如何运作：社会工程学的典型路径

攻击者利用已知的账户关联信息，主动发起电话或邮件联系，制造紧迫感，引导用户执行不可逆操作，如转账至所谓“安全账户”、在仿冒页面输入助记词或提供一次性验证码。

此类攻击的成功依赖于两个要素：准确的身份信息与合理的理由包装，使得受害者难以辨别真伪。

三大识别信号：警惕主动接触与敏感请求

真正的客户服务不会主动致电施压；任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接与显示文字不符、缺乏具体细节的时间压力、禁止向他人透露情况，均为典型欺诈特征。

权威支持绝不索取这些信息

合法的交易所或钱包厂商绝不会要求用户提供助记词、私钥或验证码来协助解锁账户或处理提款。一次性代码用于确认登录者身份，一旦提供即等于授权访问。

自我托管应基于自主决策，选择由自己生成和管理的钱包，而非接受来自外部通信的地址建议。所有非自主生成的接收地址都存在重大安全隐患。

Amplitude官网未公布相关事件，责任归属存疑

Amplitude的公开状态页面列出了10月24日至27日的技术中断与维护事项，但并未提及此次数据泄露事件。其唯一相关的安保通告发布于10月22日，涉及PHP语言漏洞，且明确声明自身服务不受影响。

当前所有信息均来自Coinbase单方面声明，供应商尚未回应。这意味着事件真实性虽已被证实，但规模与责任边界仍需等待官方进一步说明。

欧盟监管框架下的合规义务：GDPR优先于MiCA

Coinbase在欧洲市场依据卢森堡监管机构CSSF颁发的MiCA许可运营，但本次事件适用法律为《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告数据泄露，并在对个人权利构成高风险时通知受影响者。

尽管事件源于供应商，但责任仍由数据控制者（即Coinbase）承担。用户可向居住地所在国的数据保护机构提出投诉，这一权利不因公司注册地而受限。

第二因素应对策略：短信代码最脆弱，通行密钥最可靠

在联系信息泄露背景下，双因素认证的形式差异显著。短信验证码易受SIM卡劫持和钓鱼页面诱导，安全性最低。身份验证器应用生成的代码虽不在网络传输，但仍可能在伪造页面上被窃取。

通行密钥或安全密钥具备抗钓鱼能力，因其与真实网站域名绑定，无法在仿冒站点中生效，是抵御社会工程攻击的最佳选择。

自我托管：切断攻击链的终极防线

自我托管意味着私钥完全由用户掌控，不受交易所及其供应商影响。硬件钱包作为常用工具，将密钥存储于专用芯片中，签署交易时不暴露私钥。

其代价是风险转移至用户本人——助记词丢失则无法恢复，劣质设备亦可能引入后门。因此，多数投资者采用分层策略：日常交易使用交易所，长期持有则转入自管钱包。

就本次事件而言，资金分配调整更多出于对供应链频繁曝光的担忧，而非直接由此次泄露驱动。

通知渠道唯一：警惕邮件与来电中的陷阱

Coinbase表示，受影响用户将通过电子邮件接获通知。这一渠道既是法定告知方式，也是攻击者最常利用的伪装媒介。

因此，收到相关消息后不应点击其中链接，而应直接访问官方网址或使用官方应用程序进行核实。任何引导您跳转至外部页面的操作，都将使您置于发送者控制之下。

总结而言，此次事件属于联系信息泄露，而非资产被盗。虽然实际影响范围仍有待澄清，但核心建议不变：强化账户安全设置，启用通行密钥，分离长期持仓，并对所有主动联系保持高度警觉。