币圈界报道：

Coinbase披露供应商漏洞：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商遭遇信息安全事件，确认部分用户的电子邮箱与手机号码被非法获取。尽管相关数据已流出，但账户密码、私钥、交易历史及资产余额均未在平台系统中发现异常访问痕迹。

第三方分析服务成数据泄露关键节点

此次事件源头指向产品行为分析服务商Amplitude，该公司通过嵌入客户端应用的SDK收集用户使用行为数据。为实现用户识别，部分数据在传输过程中附带了可识别身份的联系方式，从而形成敏感信息存储链。

泄露范围存争议：交易所称“少量”，安全机构称超七万

Coinbase未公布具体受影响账户数量，仅表示影响有限。然而，区块链安全公司SlowMist援引一份数据集指出，涉及用户数超过7万，且该数据集未经交易所核实。目前尚无独立证据验证真实规模，双方说法存在显著差异。

数据外泄后的主要风险：精准社会工程攻击升级

泄露的联系信息使攻击者能实施高度定制化的欺诈行为。他们可利用已知的注册邮箱和电话号码，冒充客服声称检测到异常登录，制造紧迫感诱导用户执行转账、输入助记词或提供一次性验证码等高危操作。

伪造支持电话的典型特征与识别方法

真正的客户服务不会主动致电施压，也不会索要助记词、私钥或一次性验证码。这些信息一旦提供即等于授权他人访问您的账户。其他警示信号包括域名拼写错误、链接目的地与显示文本不符、缺乏具体时间依据，以及要求保密不与他人讨论。

通行密钥优于短信验证：抵御钓鱼攻击的关键

相较于依赖移动网络的短信验证码，基于设备本地生成的身份验证器应用更具安全性；而通行密钥则具备抗钓鱼能力，因其与真实网站域名绑定，在仿冒页面上无效，有效防止凭证被盗。

自我托管是规避供应链风险的根本路径

将私钥掌握在自己手中，可彻底脱离交易所及其供应商体系。硬件钱包作为物理隔离存储设备，可在不暴露密钥的前提下完成签名操作，是长期持有资产的理想选择。虽然管理责任转移至个人，但可显著降低因第三方漏洞带来的整体风险。

通知渠道本身构成信任挑战：邮件亦可能被伪造

Coinbase通过电子邮件向受影响用户发送通知，这既是法律义务，也带来了悖论——唯一可信的消息来源，正是可能已被泄露的通信渠道。因此建议用户切勿点击邮件中的链接，应直接通过官网或应用内渠道核实信息。

Amplitude未公开声明，事件责任归属仍待澄清

Amplitude的官方状态页面未提及此次事件，仅列出此前数日的技术维护与延迟问题。其发布的关于PHP漏洞的公告也未明确关联本次泄露。目前所有信息均来自Coinbase单方面披露，供应商尚未作出回应，事件真实性与影响边界仍不明朗。

GDPR框架下的合规义务：报告与通知双轨并行

由于事件涉及欧盟用户数据，适用《通用数据保护条例》（GDPR）。Coinbase已在72小时内向监管机构报备，并启动受影响用户的告知程序，符合法规要求。即便事件源于供应商，数据控制者仍需承担法律责任，用户有权向居住国数据保护机关提出申诉。

强化账户防护：从设置优化到资金分离策略

建议用户检查账户安全配置，将短信验证升级为身份验证器应用或通行密钥；同时将长期持有的资产转移至自我托管环境，如硬件钱包。对于未来几周可能出现的各类接触，应保持高度警惕，任何要求转账或输入助记词的行为均视为诈骗。