币圈界报道：

Coinbase确认第三方服务商数据泄露：客户联系方式外泄，资产安全未受波及

2026年10月28日凌晨，Coinbase正式通报其一家外部服务提供商遭遇安全事件，部分用户的电子邮件地址和手机号码被非法获取。尽管相关数据已暴露，但交易所强调，用户的登录凭证、私钥、交易历史及账户余额均未遭入侵，且自身系统中未检测到异常访问行为。

数据泄露源头指向分析平台Amplitude，非交易所直接失守

此次事件被归因于产品分析服务商Amplitude的技术漏洞。该公司通过集成在客户端的应用程序开发工具包（SDK）收集用户行为数据，其中包含可识别身份的联系信息。当这些信息与用户账户关联后，便形成了敏感数据存储点。据Coinbase披露，该问题发生在10月27日至28日之间，且影响范围波及多个Amplitude客户，表明并非孤立事件。

泄露内容限于联系信息，不涉及核心账户凭证

Coinbase明确指出，本次泄露仅涉及用户的通信方式，未包括密码、私钥、资金余额或历史交易记录。虽然这些数据无法直接用于转账或账户接管，但其价值在于提升攻击者实施精准诈骗的可能性——拥有真实用户身份信息的攻击者可构建高度可信的伪装场景，从而诱导目标主动配合。

事件规模存争议：交易所称“少量”，安全机构称逾七万账户受影响

关于受影响用户数量，双方说法差异显著。Coinbase坚持使用“少量”描述，未公布具体数字；而区块链安全公司SlowMist则声称掌握一份涉及超过70,000名用户的泄露数据集，但未确认是否包含密码或余额信息。目前尚无独立验证，因此实际影响范围仍处于模糊状态。无论规模如何，对个体而言，唯一确定的风险来源是是否收到官方通知。

数据流经第三方，每条外部连接都是潜在泄露节点

Coinbase通过电子邮件向受影响用户发送通知，并表示已履行向监管机构报告的义务。然而，这一通知渠道本身即面临信任危机：若邮箱已被泄露，则邮件可能已被截获或伪造。因此，任何含链接的信件都应谨慎对待，建议通过官方应用或直接访问官网核实信息，避免点击可疑链接。

社会工程攻击升级：虚假支持电话利用已知身份实施诱骗

攻击者利用泄露的联系方式，以“检测到异常登录”为由主动致电用户，制造紧迫感，进而诱导其提供助记词、一次性验证码或进行资金转移。此类攻击的核心特征是：主动发起、要求不可逆操作、基于真实背景信息构建可信度。

识别骗局的两大关键信号：主动接触与索取敏感信息

真正的客服不会主动联系用户施压。凡要求提供助记词、私钥或一次性验证码的行为，均构成高危警报。此外，拼写错误的域名、不符的链接路径、泛化问候语、强制保密条款以及时间压力等均为典型欺诈特征，需高度警惕。

合法服务绝不会索要核心凭证

没有任何正规交易所或钱包平台会要求用户提供助记词或一次性验证码来协助解冻账户或处理提款。这类请求本质上是试图获取访问权限。自我托管虽具优势，但必须建立在自主决策基础上——使用自己生成的钱包和地址，而非依赖他人提供的“安全”方案。

Amplitude官方页面未披露此次事件，责任归属尚无定论

截至发稿，Amplitude的公开状态页面仅列出10月24日至27日的技术中断与维护记录，未提及任何安全事件。此前发布的10月22日关于PHP漏洞的通知也未与本次事件直接挂钩。因此，当前所有信息均来自Coinbase单方面声明，供应商尚未作出回应，事件真实性与影响范围仍待进一步确认。

GDPR主导法律框架，监管义务已启动

Coinbase依据卢森堡颁发的MiCA许可服务于欧盟市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求控制者在72小时内向监管机构通报事件，并在风险较高时通知用户。交易所已履行上述义务，且用户有权向居住国的数据保护机构提出申诉，不受公司注册地限制。

双因素认证形式决定防御强度，通行密钥最具抗钓鱼能力

在联系信息泄露背景下，第二重认证方式的选择至关重要。短信验证码最易受SIM卡劫持与仿冒页面欺骗；身份验证器应用虽能抵御网络传输风险，但仍可能被诱导输入代码；而通行密钥则具备绑定真实域名的能力，在伪造网站上完全无效，是当前最可靠的防护手段。

自我托管规避供应商风险，硬件钱包保障密钥独立性

将资产转入自我托管模式，尤其是采用硬件钱包存储私钥，可彻底脱离交易所及其供应商体系。密钥由用户本地保管，即使平台被攻破，也无法触及账户资产。尽管存在丢失助记词或购买假冒设备的风险，但长期持有者普遍采取分层管理策略：日常交易留存在合规平台，大额持仓则交由自控钱包保管。

应对建议：强化安全设置，警惕后续骚扰

建议立即检查账户的双重验证方式，将短信验证码更换为身份验证器应用或通行密钥。同时，评估资金配置策略，将非交易用途的资产移至自我托管环境。未来数周内应提高警惕，对任何提及此次事件的来电或邮件保持怀疑态度，尤其拒绝任何形式的资金转移或信息索取指令。