币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其一家第三方服务提供商遭遇数据安全事件，确认部分用户的电子邮箱和手机号码已被非法获取。尽管相关数据未涉及密码、私钥或资金余额，且交易所系统本身未被攻破，但此次泄露仍构成潜在威胁。

供应链漏洞成主因：非平台直接失守

本次事件并非针对Coinbase核心系统的技术攻击，而是源于其合作的数据分析服务商Amplitude的安全防护失效。该类服务通过嵌入客户端代码收集用户行为数据，当数据中包含可识别身份的信息时，便形成敏感信息存储点，成为攻击目标。

泄露范围存争议：官方称“少量”，第三方称逾七万

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全机构SlowMist披露一份据称来自此次事件的数据集，显示超过7万名用户的信息可能已流出。目前尚无独立验证，实际规模仍待澄清。

关键风险在于“可达性”而非“访问权”

与传统密码泄露不同，此次事件的核心问题不在于账户能否被登录，而在于攻击者能精准定位目标并发起高可信度的社会工程攻击。掌握用户身份信息后，诈骗者可伪装成客服，编造紧急登录异常等情节，诱导用户提供助记词或验证码。

伪造支持电话如何运作：基于真实信息的精准诈骗

攻击者利用已知的注册邮箱和电话号码，主动联系用户，声称检测到可疑活动，并制造紧迫感要求立即操作。常见手段包括引导至仿冒登录页面输入一次性验证码，或要求将资金转移至所谓“安全地址”。此类攻击的成功率因信息真实性而大幅提升。

识别骗局的两大铁律

真正的客户服务不会主动致电施压；任何索取助记词、私钥或一次性验证码的行为均属欺诈。此外，域名拼写错误、链接与文字不符、缺乏具体时间依据、禁止外部讨论等均为典型警示信号。

合法服务绝不索要这些信息

所有正规交易所均不会要求用户提交助记词以解锁账户或取消订单，也不会索取一次性验证码来提供帮助。该代码仅用于验证登录者本人身份。任何要求您将资金转入他人地址的请求，皆为诈骗行为。

Amplitude官网未公开该事件

Amplitude的公共状态页面列出的是系统维护和延迟通知，未提及此次安全事件。其此前发布的关于PHP漏洞的公告也未明确关联本次泄露。因此，当前所有信息均来自Coinbase单方面声明，事件真实性与责任归属仍有待供应商自身回应。

GDPR主导报告义务：欧洲用户权益保障机制启动

由于Coinbase在欧盟通过卢森堡的MiCA许可运营，此次数据泄露需遵循《通用数据保护条例》（GDPR）处理。该法规要求在72小时内向监管机构报告，并在风险较高时通知受影响个人。交易所已履行通知义务，用户可向所在国数据保护机构提出申诉。

双重验证方式应对策略差异显著

短信验证码因依赖已泄露的手机号码而最易被攻破，存在SIM卡劫持风险；身份验证器应用虽更安全，但对钓鱼页面无效；通行密钥则具备抗钓鱼能力，因其绑定真实网站域名，伪造页面无法使用。

自我托管是规避供应商风险的根本路径

将私钥完全掌握在自己手中，可彻底避免第三方系统漏洞带来的影响。硬件钱包作为主流工具，将密钥存储于专用芯片内，即便设备被接入网络也无法提取私钥。长期持有者应考虑将非交易用资产转移至此类独立保管方案。

官方通知渠道唯一可靠，切勿轻信链接

Coinbase将通过电子邮件向受影响用户发送通知，但由于邮件地址本身可能已泄露，消息的真实性无法由渠道本身验证。建议用户不要点击邮件中的任何链接，而是直接访问官网或应用进行核实。

总体而言，这是一起典型的供应链数据泄露事件，重点在于联系信息暴露而非资产损失。尽管规模尚未明朗，且供应商尚未发声，但用户应立即加强账户安全设置，警惕后续针对性骚扰，并优先采用身份验证器或通行密钥替代短信验证。