币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄但资产未受威胁

2026年10月28日，Coinbase官方通报其合作供应商遭遇信息安全事件，确认部分用户的电子邮件地址与联系电话遭到非授权访问。尽管相关数据已流出，但账户密码、私钥、资金余额及历史交易信息在交易所系统中均保持完整，未发现异常登录或越权操作。

核心风险转向身份可及性而非账户权限

此次事件的本质并非对区块链网络的攻击，也未造成代币被盗。真正的威胁在于：攻击者已掌握目标用户的身份标识，从而具备精准实施社交工程攻击的能力。一旦知晓某人是大型加密货币平台用户，便能以高度可信的方式发起欺诈性联络，例如伪装成客服人员声称检测到异常登录行为。

分析服务商Amplitude成为数据枢纽

Amplitude作为第三方产品行为分析服务提供商，通过集成于客户端的SDK收集用户交互数据。为实现用户画像匹配，部分数据会包含邮箱或手机号等敏感信息。这些信息被存储于供应商服务器，构成潜在泄露点。据Coinbase披露，该事件时间范围为10月27日至28日，且影响波及多个使用Amplitude服务的客户，非单一平台独有。

泄露范围存疑：少量客户与七万账户说法冲突

Coinbase表示受影响用户数量有限，但未提供具体数字。相比之下，区块链安全机构SlowMist援引一份数据集称涉及超7万名用户，但未确认是否包含密码或余额。目前尚无独立验证，事件规模仍处于模糊区间。无论实际人数多少，个人是否受害仅取决于是否收到通知，且通知渠道本身存在风险。

通知路径即风险源：邮件成为信任与欺骗的双重载体

由于受影响用户将通过电子邮件接收通知，而该邮箱恰是泄露数据之一，因此消息来源的真实性难以验证。即便内容属实，其中链接也可能指向仿冒页面。建议用户切勿点击任何外部链接，应直接访问官网或使用官方应用核实信息，避免将访问权交予发送方。

伪造支持电话背后的骗局逻辑

攻击者利用已知的注册邮箱和手机号，构建出看似真实的“紧急支援”场景。常见套路包括声称检测到可疑登录、制造紧迫感，并诱导用户执行转账、输入助记词或提供一次性验证码等不可逆操作。此类攻击不依赖技术漏洞，而是利用人性弱点完成渗透。

识别骗局的两大关键信号

真正客服从不主动致电施压，所有请求必须由用户发起；而任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。次要警示包括域名拼写错误、链接显示地址与文本不符、问候语泛化、强制时间压力以及禁止与他人讨论等异常特征。

合法服务不会索取核心凭证

正规交易所或钱包服务商绝不会要求用户提供助记词、私钥或一次性验证码来协助解锁账户或处理提款。此类信息仅用于验证登录身份，一旦提供即等于授权访问。自我托管应基于自主决策，选择可靠的钱包工具并提前掌握备份与恢复流程。任何来自他人提供的地址或指令，均不符合安全原则。

Amplitude官方状态页未记录此次事件

截至发稿，Amplitude公开状态页面仅列出10月24日至27日的技术维护与数据延迟情况，未提及安全事件。唯一相关的安全公告发布于10月22日，涉及PHP语言漏洞，但明确声明自身服务不受影响。当前事件责任归属仅依据Coinbase单方面陈述，尚未获得供应商官方回应，存在重大不确定性。

GDPR主导监管框架，责任仍由交易所承担

Coinbase虽基于卢森堡MiCA许可运营欧洲业务，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告泄露事件，并在对个人权利构成高风险时通知用户。交易所已履行两项义务。值得注意的是，即使问题源于供应商，最终责任仍由数据控制者承担，用户可在居住国向当地数据保护机构提出申诉。

不同双因素认证方式在泄露后的防御差异

SMS验证码因依赖移动运营商，在号码泄露后极易被劫持，面临SIM卡交换与仿冒页面双重风险。身份验证器应用生成本地代码，虽无法防止钓鱼攻击，但至少不依赖通信链路。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造网站无法触发验证，是目前最稳健的第二因素方案。

自我托管规避供应商风险，但需承担密钥管理责任

采用自我托管意味着私钥完全由用户掌控，不经过交易所及其供应商环节，因此不会受到此类供应链攻击影响。硬件钱包通过专用芯片隔离密钥，交易签名过程无需释放私钥。然而，丢失助记词或购买未经验证设备将带来不可逆损失。因此，许多投资者采取分层策略：日常交易使用持牌平台，长期持有则转入自管钱包。

通知仅通过邮件发出，用户应提高警惕

建议立即检查账户安全设置，将短信验证码替换为身份验证器应用或通行密钥。考虑将非交易用途的资产转移至自我托管环境，参考硬件钱包对比指南了解芯片性能、恢复机制与供应链安全性。未来数周内，应高度警惕所有提及此事件的来电或邮件，凡涉及转账、输入助记词或提供验证码的请求，一律视为诈骗。事件核心在于联系信息泄露，而非资产损失，这一判断始终一致。当前仍有两点未明：事件真实规模（双方说法差距悬殊）与Amplitude官方声明。在此期间，应等待权威通知，拒绝一切未经请求的沟通。