币圈界报道：

Coinbase披露供应商数据泄露：客户联系方式外泄但资产未受威胁

Coinbase于2026年10月28日通报，其合作供应商在近期遭遇安全事件，造成部分用户联系信息（包括电子邮箱和手机号码）被非法获取。尽管相关数据已流出，但账户密码、私钥、交易历史及资产余额均未遭侵入，且平台自身系统未检测到异常访问行为。

核心风险转向身份可及性，而非账户权限

此次事件的本质并非技术入侵或资产盗取，而是暴露了现代数字服务中普遍存在的供应链漏洞。攻击者虽无法直接登录账户，却可利用已知的用户身份信息实施精准的社会工程攻击——通过邮件或电话伪装成官方支持人员，制造高可信度的欺诈场景。

Amplitude作为分析服务商：数据采集路径存在潜在风险

Amplitude是一家为应用提供用户行为分析的服务商，其功能依赖于集成在客户端的SDK组件。该工具需收集使用数据以生成洞察，当其中包含电子邮件或电话等可识别信息时，这些敏感内容便会被存储于第三方服务器上。本次事件即源于此机制，且影响范围波及多个客户，非仅限于Coinbase。

泄露范围存疑：官方称“少量”，第三方称逾七万

Coinbase未公布具体受影响账户数量，仅表示涉及范围有限。然而区块链安全机构SlowMist援引一份数据集指出，实际泄露量可能超过7万个账户，且未确认是否包含密码或余额。目前双方说法悬殊，尚无独立验证，事件规模仍处于不确定状态。

通知渠道成为信任盲区：唯一合法途径或已被泄露

交易所计划通过电子邮件向受影响用户发送通知，这既是法律义务，也构成现实矛盾——若邮箱地址本身已被泄露，则该通知可能正是伪造攻击的起点。因此，任何包含链接的邮件都应保持高度警惕，建议通过官网直接核实信息，避免点击可疑链接。

社会工程攻击新形态：以真实信息构建可信谎言

攻击者借助已掌握的注册邮箱和账户归属信息，可编造极具说服力的背景故事，如声称检测到异常登录行为，并施加时间压力，诱导用户执行转账、输入助记词或提供一次性验证码等操作。此类攻击不依赖技术突破，而聚焦心理操控。

两大识别特征：主动联系与索取敏感凭证

真正的客服从不主动拨打电话或发送邮件施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，拼写错误的域名、不符的链接目标、过于笼统的问候语以及强制保密的要求，均为典型诈骗信号。

绝对不可透露的信息：助记词与验证码的用途本质

任何正规机构均不会要求用户提供助记词或一次性验证码来协助账户恢复或资金解冻。这些信息仅用于验证身份，一旦泄露即意味着完全失控。自我托管应基于自主决策，而非响应他人提供的“安全地址”或“临时保管”请求。

Amplitude官方页面未记录此次事件

截至当前，Amplitude公开的状态页面仅列出10月24日至27日的技术中断与维护事项，未提及27日及28日的数据泄露事件。此前发布的关于PHP漏洞的通知也未明确关联此次事故。因此，该事件的责任归属目前仅依据Coinbase单方面声明，尚未获得供应商官方确认。

欧盟监管框架下：GDPR主导报告义务

Coinbase依据卢森堡颁发的MiCA许可服务于欧洲市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构通报，并在对个人权利构成高风险时通知用户。交易所已履行两项义务，且用户有权向居住国数据保护机构提出申诉，不受公司注册地限制。

双因素认证类型差异：短信代码最易受攻

在联系信息泄露后，第二重验证方式的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒登录页诱导，风险最高。身份验证器应用虽提升安全性，但仍无法抵御钓鱼网站。通行密钥则具备抗欺骗能力，因其绑定真实域名，伪造站点无法生效。

自我托管：脱离中心化依赖的安全路径

将资产转移至自我托管模式，尤其是使用硬件钱包，可彻底规避交易所及其供应商带来的风险。私钥由用户本地保管，即使平台端被攻破，资产依然安全。不过这也意味着密钥丢失将不可逆，因此建议按用途分层管理资金：日常交易保留于合规平台，长期持有则交由自控钱包。

应对建议：强化安全设置并保持警惕

建议用户立即检查账户安全配置，将短信验证替换为身份验证器应用或通行密钥；评估是否将部分长期持仓迁移至自托管环境；未来几周内对所有提及该事件的通信保持高度怀疑，拒绝任何形式的资金转移或凭证索取。当前核心结论清晰：信息泄露≠资产损失，但必须防范后续人为攻击。