币圈界报道：

Coinbase披露供应商安全漏洞：客户联系方式遭泄露，资产未受波及

2026年10月28日凌晨，Coinbase对外通报其合作供应商遭遇数据安全事故。根据发送给用户的邮件内容，部分客户的电子邮箱和手机号码已被非法获取。然而，账户密码、私钥、交易记录及余额均未在平台系统中出现异常访问痕迹。

数据外泄源头指向第三方分析服务商Amplitude

此次事件的根源被归因于产品行为分析平台Amplitude。该服务通过嵌入客户端的SDK收集用户使用模式，为应用提供运营洞察。为实现用户识别与数据匹配，部分场景下会同步传输电子邮件或电话号码等敏感信息，从而形成潜在的数据存储节点。

Coinbase将事件时间窗口定为10月27日至28日，并明确表示自身系统未被攻破。此外，其他采用相同服务的客户亦可能受到波及，表明这并非孤立个案。

泄露范围模糊：官方称“少量”，第三方称逾七万

Coinbase未公布具体受影响账户数量，仅以“少量”概括。与此相对，区块链安全机构SlowMist援引一份数据集，声称涉及超过7万个账户的联系信息，但未确认是否包含密码或资金详情。

目前尚无独立验证手段，因此事件规模仍处于争议状态。对于个人而言，无论实际数字是数千还是七万，唯一确定是否受害的标准，仍是是否收到官方通知——且该通知仅通过已泄露的邮箱渠道传达。

信息泄露后面临新型钓鱼威胁

此次事件的核心风险不在于账户被盗，而在于攻击者可精准定位目标。掌握用户姓名、注册邮箱与电话后，诈骗者可发起高度可信的仿冒联络，例如声称检测到异常登录，制造紧迫感并诱导执行转账、输入助记词或提供一次性验证码等操作。

此类攻击的关键特征在于：真正的客服不会主动致电施压，也不会要求提供助记词、私钥或验证码——这些信息一旦泄露，即意味着完全失去控制权。

虚假支持来电的运作机制与识别要点

典型的骗局流程包括：冒充交易所工作人员，准确提及用户邮箱与注册信息，编造账户异常状况，强调“紧急处理”必要性，最终引导用户进入伪造页面或完成不可逆操作。

关键识别信号包括：域名拼写偏差、链接目的地与文本不符、缺乏具体事件细节、强制要求保密、以及要求立即行动而无缓冲时间。任何索取核心凭证的行为均应视为高危警告。

官方回应渠道存在双重风险

Coinbase表示已向监管机构报告，并通过电子邮件通知受影响用户。然而，这一通知方式本身构成矛盾：唯一合法告知路径正是可能已被窃取的邮箱地址；同时，这也成为伪造信息传播的温床。

因此，建议用户仅通过官方应用或直接输入官网网址核实信息，切勿点击邮件中的链接，以免落入陷阱。

Amplitude未在状态页披露该事件

公众试图通过Amplitude官方状态页面验证事件进展时，发现其列出的均为10月24日至27日的技术中断与维护公告，未提及任何安全事件。此前发布的关于PHP漏洞的通知也未明确关联本次事故。

当前信息显示，所有责任认定均来自Coinbase单方面声明。供应商尚未发布正式说明，事件真实性与影响范围仍待其公开回应。

GDPR框架下的合规义务与责任归属

Coinbase基于卢森堡颁发的MiCA许可服务于欧盟市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。

尽管事件发生在供应商端，但数据控制者责任不可转移。用户若对处理结果不满，可向所在国数据保护机构提出申诉，不受公司注册地限制。

第二因素安全策略的差异与选择建议

在联系信息泄露背景下，第二重验证方式的选择至关重要。短信验证码最易受SIM卡劫持或仿冒页面诱导影响；身份验证器应用虽能抵御网络拦截，但无法防范用户误输代码至假冒页面。

通行密钥则具备抗钓鱼能力，其密钥绑定真实域名，在伪造网站上无效，是最具弹性的防护方案。

自我托管：从依赖平台转向自主掌控

自我托管意味着私钥由用户自行保管，脱离交易所系统，因此即使供应商遭入侵也无法触及资产。硬件钱包作为主流工具，将密钥存于专用芯片，签署过程不释放原始信息。

虽然此举将风险转移至用户自身（如助记词丢失无法恢复），但许多投资者采取分层策略：日常交易保留在合规平台，长期持有部分转入自管钱包。

就本次事件而言，由于无密钥或余额泄露，决策动因更多源于对第三方服务频繁曝出问题的普遍担忧，而非单一事件本身。

官方通知仅通过邮件送达，需提高警惕

为应对此次事件，建议采取三项措施：检查账户安全设置，将短信验证替换为身份验证器或通行密钥；评估长期持仓，考虑迁移至硬件钱包进行自我托管；未来几周内保持警觉，对任何要求转账或输入助记词的请求一律视为欺诈。

总体来看，这是一起以联系信息为核心的非技术性泄露事件，各环节说法一致。仍有两个关键未知项：实际影响规模（双方数据差距悬殊）与Amplitude的正式回应。在此期间，应避免响应任何未经请求的接触，静待权威信息披露。