币圈界报道：

交易所供应商遭袭：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase对外通报其合作供应商遭遇信息安全事件，确认部分用户的电子邮箱与手机号码被非法获取。尽管相关数据已流出，但账户密码、私钥、交易记录及余额均未在平台系统中发现异常访问痕迹。

核心风险转向身份可达性，非账户权限本身

此次事件并非针对区块链或资金转移，而是源于第三方服务提供商的数据管理漏洞。攻击者虽无法直接操控账户，却可利用已知的用户身份信息实施精准社交工程攻击——通过伪造支持电话或邮件，构建高可信度情境诱导用户主动交出敏感凭证。

分析服务商成数据枢纽：匿名标识与真实信息共存

Amplitude作为产品行为分析平台，依赖客户端集成的SDK收集用户交互数据。为实现客户画像匹配，部分数据会附加电子邮件或电话号码上传至其服务器。一旦这些信息被泄露，即便未包含密码，仍构成严重威胁，因它们成为攻击者精准定位目标的关键入口。

泄露范围悬殊：交易所称“少量”，安全机构指超七万

Coinbase仅表示影响范围有限，未公布具体数字；而区块链安全团队SlowMist则披露一份涉及逾7万个账户的数据库，但未证实是否包含密码或余额。目前尚无独立验证，实际规模仍处模糊区间，但对个体用户而言，唯一确定的信息是：若收到通知，则可能已列入受影响名单。

通知渠道成双刃剑：合法告知亦为攻击工具

由于受影响用户将通过原邮箱接收通知，该渠道本身即面临被冒用风险。攻击者可复制相同内容进行仿冒传播，使消息真实性难以甄别。因此，建议用户仅通过官方应用或直接输入官网地址核实信息，切勿点击邮件内链接。

骗局运作逻辑：以真实背景制造信任陷阱

典型骗局模式包括：自称来自交易所客服，提及注册邮箱，声称检测到异常登录，并施加时间压力要求立即转账至“安全账户”或提供助记词与一次性验证码。此类攻击的核心在于利用已知信息建立可信关系，诱使用户放弃判断力。

识别骗局的两大关键信号

真正的支持团队不会主动致电施压，且绝不会索要助记词、私钥或一次性验证码——这些信息只用于授权访问。此外，拼写错误的域名、不符的链接地址、泛化问候语、强制保密要求以及缺乏事实依据的时间限制，均为明显警示。

所有正规服务均无需索取敏感凭证

任何合法交易所或钱包服务商都不应要求用户提供助记词或一次性代码来“解锁账户”或“释放提款”。同样，也不存在需要将资产转入他人提供的“保管地址”的操作流程。自我托管需自主决策，使用由自己生成并管理的钱包，而非依赖外部提示中的地址。

供应商状态页面未提本次事件，信息透明度存疑

Amplitude官方状态页列出的是10月24日至27日的服务中断与维护记录，未提及27日至28日的安全事件。此前关于PHP漏洞的通知也未明确关联此次泄露。目前所有信息均源自Coinbase单方面声明，供应商尚未发布独立说明，事件责任归属仍待澄清。

GDPR主导合规义务，监管报告同步推进

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但数据泄露事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构通报，并在对个人权利构成高风险时通知用户。交易所已履行此义务，但用户仍有权向居住地数据保护机关提出投诉，无论公司注册地为何。

双重验证机制在泄露后表现各异

短信验证码在号码已知的情况下最易被攻破，面临仿冒页面诱导与SIM卡交换攻击。身份验证器应用生成的代码虽更安全，但仍无法抵御钓鱼网站。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法调用，是当前最强的第二因素方案。

自我托管：切断供应商路径的终极防御

通过硬件钱包或自建钱包实现自我托管，可彻底避免因第三方服务漏洞导致的密钥暴露。虽然风险随之转移至用户自身，如助记词丢失不可恢复，但长期持有者仍可借此规避集中式平台的供应链隐患。此次事件并未改变这一策略的合理性，更多人正重新评估资金配置以应对持续暴露的外部风险。

官方通知仅限邮件，防范未来骚扰

建议用户强化账户安全设置，将短信验证码替换为身份验证器应用或通行密钥；将非日常交易的资金移至自我托管环境，并参考硬件钱包对比指南选择合适设备。在未来数周内，务必警惕任何提及该事件的来电或邮件，凡要求转账或输入助记词者，一律视为欺诈。总体而言，这是一起以联系信息为核心的风险事件，而非资产损失，但事件规模与供应商回应仍待进一步披露。