币圈界报道：

Coinbase披露供应商数据泄露：客户联系方式外泄但资产未受威胁

2026年10月28日凌晨，Coinbase对外通报其合作供应商遭遇安全事件，部分用户的电子邮箱与手机号码被非法获取。尽管涉及信息包含敏感联系资料，但账户密码、私钥、交易历史及余额均未出现异常，且交易所系统内部未检测到未授权访问行为。

供应链漏洞成数据外泄主因：非平台直接被攻破

此次事件并非针对区块链网络或交易所核心系统的攻击，而是源于第三方服务提供商的安全缺陷。此类问题在近年来愈发普遍——数据通过外包服务商的渠道流出，而非由目标机构自身泄漏。对于用户而言，无论源头如何，一旦信息外泄便难以挽回。

分析工具商Amplitude成关键节点：用户行为数据存储存隐患

Amplitude是一家专注于产品使用数据分析的服务商，通过集成于客户端的SDK收集用户交互行为。为实现精准识别，部分数据会关联真实身份信息，如电子邮件和电话号码。当这些字段被发送至供应商服务器时，即形成潜在的数据集中点。本次事件正是由此类数据处理流程引发。

泄露范围存疑：官方称“少量”而第三方指超7万账户

Coinbase表示受影响账户数量有限，但未公布具体数字。与此同时，区块链安全公司SlowMist声称已核实一个包含超过7万个账户联系信息的数据集，但未确认是否涵盖密码或余额。目前尚无独立验证，事件规模仍处于模糊区间。

联系信息泄露的本质：风险在于可及性而非访问权限

与密码泄露不同，联系信息的外泄不意味着账户被入侵，而是提升了攻击者实施精准欺诈的可能性。拥有真实邮箱与号码的人，可轻易发起伪装成官方支持的电话或邮件，编造登录异常等可信背景，诱导用户配合操作。

唯一通知渠道面临信任危机：邮件既是通知源也是伪造靶心

Coinbase计划通过电子邮件向受影响用户发送通知，但这一方式本身构成悖论：若邮件地址已被泄露，则该信件可能正被攻击者利用进行仿冒。因此，任何来自该渠道的链接都应保持高度警惕，建议直接访问官网核实，避免点击未知来源的链接。

社会工程骗局运作机制：以真实信息制造信任假象

攻击者常以“检测到可疑登录”为由主动联系用户，利用已知的注册邮箱与账户名称增强可信度，并制造紧迫感，诱导用户执行转账、输入助记词或提供一次性验证码等不可逆操作。这类攻击的成功依赖于信息匹配度高，而非技术突破。

识别骗局的两大核心特征：被动响应与拒绝敏感请求

真正的客服不会主动致电施压，也不会要求用户提供助记词、私钥或一次性验证码——这些信息仅用于身份验证，一旦泄露即等于放弃账户控制权。其他警示信号包括域名拼写错误、链接目的地与文本不符、过度强调保密性以及缺乏具体时间细节。

官方支持绝不会索要的核心信息

没有任何合法机构需要您的助记词来解冻账户或处理提款。一次性验证码是登录确认手段，不应被要求提供给他人。更不存在“将资产转入安全地址保管”的合理操作，此类行为本质上是转移资金的诈骗手段。自我托管应基于自主选择，而非在对话中接受对方提供的地址。

Amplitude官方页面未记录此事件，责任归属待澄清

Amplitude的状态页面列出的是2026年10月24日至27日的技术中断与维护事项，但并未提及此次数据泄露。其此前发布的关于PHP漏洞的通知也未明确指向本次事件。目前所有信息均来自Coinbase单方面声明，供应商尚未作出回应，事件真实性与影响范围仍需等待官方进一步说明。

GDPR适用而非MiCA：欧洲监管框架下的报告义务

Coinbase虽持卢森堡MiCA许可证运营欧盟业务，但此次数据泄露适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行相关义务，但用户仍可向所在国数据保护机构提出申诉，权利不受公司注册地限制。

双重验证形式差异：短信代码最脆弱，通行密钥最具防护力

短信验证码易受SIM卡劫持与钓鱼页面诱导，属于较弱防护手段；身份验证器应用生成的代码虽更安全，但仍无法防范仿冒登录页；而通行密钥（如FIDO2标准）具备抗钓鱼能力，因其绑定真实网站域名，即使在伪造页面也无法生效，是当前最可靠的第二因素。

自我托管与硬件钱包：绕过供应商风险的终极方案

将私钥掌握在自己手中，即可完全脱离交易所及其供应商体系。硬件钱包通过专用芯片隔离密钥，即便设备连接电脑也不释放私钥，有效防止远程窃取。然而，这也意味着备份管理责任完全由用户承担，丢失助记词将永久丧失资产。

应对策略：强化安全设置并提高警惕

建议立即检查账户安全配置，将短信验证替换为身份验证器应用或通行密钥；考虑将长期持有的资产转移至自我托管环境，参考硬件钱包对比指南选择适合设备；未来数周内警惕任何提及此次事件的来电或邮件，凡要求转账、输入助记词或提供验证码的行为一律视为欺诈。

总体而言，本次事件本质是联系信息泄露，而非资产被盗。尽管实际影响范围尚存争议，且供应商未发声，但用户应以官方通知为准，切勿轻信未经请求的沟通。