币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，核心资产未受损

2026年10月28日凌晨，Coinbase官方通报其合作供应商遭遇信息安全事件，确认部分用户的电子邮件地址与手机号码被非法获取。尽管相关数据已暴露于外部环境，但账户密码、私钥、交易记录及余额均未在交易所系统内遭到篡改或访问。

供应链漏洞成主因：分析服务商成数据外泄关键节点

此次事件的核心环节指向产品数据分析平台Amplitude。该服务通过集成在客户端的SDK收集用户行为数据，为平台提供使用模式洞察。为实现精准用户识别，部分数据会包含可直接关联身份的联系方式，一旦传输至第三方服务器，即构成潜在泄露风险。

泄露范围存疑：官方称“少量”，第三方披露超七万条记录

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全机构SlowMist援引一份数据集指出，涉及用户超过7万个，且来源可信。目前尚无独立验证，但这一差距凸显事件透明度不足的问题。无论规模大小，数据一旦流出便无法收回，对个人而言意义相同。

虚假支持来电：利用已知信息实施精准社会工程攻击

攻击者可凭借已知的注册邮箱和手机号，伪装成官方客服主动联络用户，虚构“异常登录”等紧急情境制造焦虑，并诱导其提供助记词、一次性验证码或进行资金转移。此类攻击不依赖技术突破，而是利用信任与心理压力达成目的。

识别骗局的两大核心特征

真正的客户服务从不主动发起联系，也不会要求用户提供助记词、私钥或一次性代码。任何索取上述信息的行为本质上都是试图获取账户控制权。此外，拼写错误的域名、不符的链接路径、模糊的称呼以及强制保密要求，均为典型欺诈信号。

官方渠道不可信？通知本身可能已被窃听

由于受影响用户的唯一通知方式为电子邮件，而该邮箱正是泄露目标，因此消息的真实性难以验证。建议用户仅通过官方应用或直接输入官网地址核实信息，避免点击邮件中任何链接，以防落入仿冒页面陷阱。

Amplitude未公开声明：事件责任归属仍待澄清

Amplitude的公共状态页面列出了其他技术中断情况，但并未提及本次安全事件。其10月22日发布的关于PHP漏洞的通知也未明确关联此事件。目前所有信息均来自Coinbase单方面披露，缺乏供应商自证，使得事件真实性和影响边界仍存在不确定性。

GDPR适用性高于MiCA：欧洲监管框架主导响应义务

尽管Coinbase依据卢森堡颁发的MiCA许可服务于欧盟市场，但此次数据泄露受《通用数据保护条例》（GDPR）约束。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行报告义务并发送通知邮件，符合法律要求。

双重验证机制应对不同威胁：从短信到通行密钥的安全升级

短信验证码因依赖已泄露的电话号码而脆弱，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码虽无法抵御钓鱼网站，但仍优于短信。通行密钥则具备抗钓鱼能力，其绑定真实域名，即使在伪造站点也无法生效，是当前最可靠的第二因子选择。

自我托管：脱离中心化服务后，联系信息不再成为弱点

将资产转入自行管理的钱包，尤其是硬件钱包，可彻底规避交易所及其供应商的数据链风险。私钥由用户独立保管，不存储于任何第三方系统。虽然需承担遗失助记词或设备被篡改的风险，但长期持有者可通过分层策略实现风险隔离。

强化防护建议：从设置调整到行为警觉

建议用户立即检查账户安全配置，将短信验证替换为身份验证器或通行密钥；评估资金用途，将非交易类资产移入自我托管环境；未来几周保持高度警惕，凡涉及转账、助记词输入或验证码请求的来电或邮件，一律视为诈骗。此次事件本质是联系信息泄露，而非资产被盗，但其衍生风险不容忽视。