币圈界报道：

Coinbase披露第三方服务商数据泄露：客户联系方式遭外泄，资产未受波及

2026年10月28日，Coinbase官方通报称，其合作的第三方分析服务提供商Amplitude遭遇安全事件，造成部分用户联系信息（包括电子邮箱和手机号码）被非法获取。交易所强调，账户密码、私钥、交易历史及资金余额均未在自身系统中暴露，也未发现异常访问行为。

核心数据泄露源于外部服务商，非平台直接攻破

此次事件并非针对区块链网络或交易所系统的入侵，而是通过供应链环节中的第三方服务实现的数据外泄。尽管影响范围尚存争议，但已明确的是，数据泄露点位于供应商端，而非Coinbase自身的基础设施。这一模式正成为近年来数字安全领域的典型风险路径。

仅限联系信息外泄，不涉及账户权限凭证

据交易所声明，泄露内容仅为用户的电子邮件地址与联系电话，未包含登录密码、助记词、一次性验证码或账户余额等敏感信息。虽然这些数据无法直接用于转账或账户接管，却极大提升了社会工程攻击的成功率——攻击者可利用真实身份背景实施精准诈骗。

事件规模存疑：官方称“少量”客户，安全机构指超七万账户

Coinbase表示受影响用户数量有限，但未提供具体数字。与此相反，区块链安全公司SlowMist援引一份数据集指出，涉事信息涵盖超过7万个账户的联系方式，且尚未确认是否含其他敏感字段。目前双方说法存在显著差异，缺乏独立验证，实际影响面仍待进一步澄清。

数据传输链条中的每个节点都可能成为漏洞入口

由于分析工具以SDK形式嵌入客户端，需收集用户行为数据并关联身份信息，一旦绑定邮箱或电话，便形成集中存储点。当此类服务发生事故，即便原平台无责，用户数据依然面临永久性暴露风险。更棘手的是，通知渠道本身——即邮箱——正是泄露后最易被伪造的通信路径。

虚假支持电话如何运作：基于真实信息的定向诈骗

攻击者利用已知的邮箱和注册信息，伪装成客服主动联系用户，声称检测到可疑登录活动，制造紧迫感，并诱导用户执行诸如转账至“安全地址”、输入助记词或提供一次性验证码等操作。这类攻击的关键在于信息真实性带来的可信度，而非技术突破。

识别骗局的两大核心信号：主动联系与索要密钥

正规支持团队不会主动发起通话或邮件施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接与文本不符、过度强调保密性、缺乏具体时间依据等，均为典型欺诈特征。

真正客服从不索取这些信息

任何合法机构均无需用户助记词来解锁账户或处理提款请求。一次性验证码是用于验证登录者的身份，而非协助解决问题。同样，要求将资产转移至“临时保管地址”的行为，违背自我托管的基本原则。真正的安全实践应建立在用户自主选择的钱包和独立管理的密钥之上。

Amplitude官方状态页面未提及本次事件

截至当前，Amplitude的公开运维状态页仅列出10月24日至27日的技术中断与维护记录，未包含10月27日及28日的安全事件。此前发布的关于PHP漏洞的通知虽与安全相关，但未表明与本次泄露存在直接关联。因此，该事件的责任归属仍依赖于Coinbase单方面陈述，尚未获得供应商方的正式确认。

欧盟监管框架下，责任主体仍在交易所

尽管Coinbase通过卢森堡的MiCA许可覆盖欧洲市场，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在高风险情况下通知用户。交易所已履行报告义务并启动邮件通知流程，但最终责任仍由其承担，用户有权向所在国数据保护机关提出申诉。

不同双因素认证方式在泄露后的防护效力对比

短信验证码因依赖手机号码，在联系信息泄露后最为脆弱，易受SIM卡劫持或仿冒页面诱导。身份验证器应用生成的代码虽不经过网络传输，但对钓鱼页面无效。通行密钥则具备抗钓鱼能力，因其与真实域名深度绑定，仅在合法网站上有效，是当前最强的第二因素方案。

自我托管可规避供应商风险，但需承担密钥管理责任

将资产转入自我托管钱包，尤其是使用硬件设备保存私钥，可完全避开交易所及其供应商的风险链。然而，这也意味着密钥丢失即永久损失，且设备来源不明亦有潜在隐患。因此，多数投资者采用分层策略：日常交易保留在合规平台，长期持有部分移至自主管理。

通知渠道单一，公众应保持高度警惕

Coinbase仅通过电子邮件发送事件通知，而该渠道本身已被泄露。因此，收到相关邮件时务必核实来源，切勿点击其中链接。建议直接通过官网或官方应用查询信息。未来数周内，针对此事件的骚扰电话与邮件预计增多，任何要求转账或输入助记词的请求，一律视为诈骗。