币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄但资产不受影响

Coinbase于2026年10月28日凌晨通报，其合作的第三方分析服务提供商Amplitude遭遇安全事件，造成部分用户联系方式（包括电子邮箱与手机号）被非法获取。交易所强调，核心账户数据如密码、私钥、余额及交易历史均未遭侵入，且自身系统未发现异常访问行为。

数据泄露源头指向第三方分析服务商，非平台自身漏洞

此次事件并非针对区块链网络或交易所系统本身的攻击，而是源于供应链中的技术集成环节。作为产品使用行为分析工具，Amplitude通过嵌入式SDK收集用户交互数据，其中包含可识别身份的信息。一旦这些数据与客户身份绑定，便形成敏感信息存储点，成为潜在泄露窗口。

仅限联系信息外泄，不涉及账户权限控制

交易所明确指出，泄露内容仅为电子邮件地址与电话号码，未包含任何登录凭证或资金信息。尽管如此，这类信息为精准定向攻击提供了基础——攻击者可利用已知身份与联系方式，制造高度可信的虚假支持场景，实施社会工程学诈骗。

事件规模存疑：官方称“少量”客户，安全机构称逾七万

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全公司SlowMist声称已核实一份包含超过70,000名用户联系信息的数据集，但未确认是否涵盖密码或余额。目前尚无独立验证，双方说法存在显著差距，事件真实影响仍待进一步澄清。

通知渠道成双重风险：唯一合法途径可能已被攻破

受影响用户将通过电子邮件接收通知，但该邮件所用邮箱正是本次泄露的关键信息之一。这使得消息本身难以验证真伪——攻击者同样可利用同一渠道进行伪装。因此，建议用户仅通过官方应用或直接输入官网地址核实信息，切勿点击邮件中链接。

典型骗局模式：伪造支持来电诱导信息泄露

攻击者常以“检测到可疑登录”为由主动致电或发信，制造紧迫感并引导用户执行转账、输入助记词或提供一次性验证码等操作。此类攻击成功依赖于两个要素：知晓目标身份与拥有其联系方式，使诈骗更具说服力。

识别骗局的两大关键信号

真正的客服不会主动发起联系，也不会要求提供助记词、私钥或一次性验证码。后者是用于验证登录身份的机制，而非协助工具。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间细节、禁止外部讨论等均为高危预警特征。

官方支持绝不会索取这些敏感信息

任何正规交易所或钱包服务商均无需助记词来解冻账户或处理提款。一次性验证码也仅用于确认登录者本人，而非提供帮助。若有人要求您将资金转移至“安全地址”，则必为欺诈。自我托管应基于自主决策，而非接受他人提供的地址。

Amplitude状态页面未提及本次事件

截至当前，Amplitude官方状态页面未列出2026年10月27日至28日的安全事件。其公开记录仅显示此前数日的技术维护与延迟问题，而10月22日发布的关于PHP漏洞的通知也未明确关联此次泄露。目前所有信息均来自Coinbase单方面声明，供应商尚未回应。

GDPR适用：监管报告义务已履行

尽管Coinbase在欧盟通过卢森堡的MiCA许可运营，但本次事件受《通用数据保护条例》（GDPR）管辖。该法规要求在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。交易所已履行上述义务，用户可向所在国数据保护机构提出申诉。

双因素认证类型差异影响防护效果

短信验证码因依赖移动网络，在号码泄露后最为脆弱，易受SIM卡劫持或仿冒页面诱导。身份验证器应用生成本地代码，具备一定抗干扰能力，但仍无法抵御钓鱼网站。通行密钥则具备防钓鱼特性，因其与真实域名绑定，伪造站点无法触发有效验证。

自我托管是规避供应链风险的根本方案

将私钥掌握在自己手中，可彻底脱离交易所及其供应商体系。硬件钱包将密钥隔离于专用芯片，即使设备被接入网络也无法提取原始密钥。虽然管理责任转移至用户，但长期持有者可通过分层策略实现安全与便利平衡：日常交易保留在合规平台，大额资产交由自控钱包保管。

通知方式单一，需警惕后续主动接触

未来几周内，用户可能收到大量提及此事件的邮件或来电。请始终保持警惕，任何要求转账、输入助记词或提供验证码的行为均为诈骗。本次事件本质是联系信息泄露，而非资产损失，但其衍生风险不容忽视。建议立即检查账户安全设置，升级第二重验证方式，并考虑将长期持仓迁移至自我托管环境。