币圈界报道：

Coinbase供应商遭入侵：客户联系方式外泄，资产安全无虞

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事故，确认部分用户的电子邮件地址及联系电话被非法获取。然而，账户密码、私钥、交易记录与余额均未在该平台系统中遭到破坏，且未发现异常登录行为。

供应链漏洞成新风险源：非直接攻击，而是间接渗透

本次事件并非针对区块链协议或交易所核心系统的黑客攻击，而是一起典型的供应链数据泄露案例。攻击路径源于第三方分析服务商Amplitude的系统缺陷，通过集成于客户端的应用程序代码包（SDK）收集并存储了用户标识信息，最终造成敏感数据外流。

数据泄露边界明确：仅限联系信息，不涉账户权限

Coinbase强调，泄露内容仅为用户的电子邮箱与手机号码，不包含任何可用来登录或转移资产的信息。这意味着即便数据落入恶意方手中，也无法直接实现账户接管。但此类信息具备高度可识别性，足以支撑高精度的社会工程学攻击。

事件规模存疑：交易所称“少量”，安全公司指“逾七万”

关于受影响用户数量，双方说法差异显著。Coinbase坚持事件影响范围较小，拒绝公布具体数字；而区块链安全机构SlowMist则指出存在一个涵盖超过7万个账户的数据集，虽未证实是否含密码或余额，但其真实性尚未被官方否认。

通知渠道成隐患：唯一告知方式即潜在攻击入口

由于受影响用户将通过电子邮件接收通知，而该邮箱正是泄露目标之一，因此消息本身也面临伪造风险。建议用户切勿点击邮件中的链接，应直接访问官网核实信息，避免将信任交由未知来源。

骗局运作机制：伪装支持来电，制造紧急情境

攻击者常以“检测到异常登录”为由主动致电或发信，利用已知的注册信息增强可信度，并施加时间压力，诱导用户在仿冒页面输入验证码、助记词或进行转账操作。此类手法依赖的是对个人信息的掌握，而非技术突破。

识别欺诈的两大关键信号

真正的客服不会主动发起联络，也不会要求提供助记词、私钥或一次性验证码。此外，若出现域名拼写错误、链接显示与文字不符、问候语泛化、强制保密等特征，极有可能是钓鱼行为。

合法服务绝不索取这些信息

没有任何正规机构会要求用户提供助记词来解锁账户或处理提款。一次性验证码仅用于确认登录者身份，一旦提供即等于授权访问。任何要求将资产转入“安全地址”的请求，皆属典型诈骗。

Amplitude未公开声明：事件责任归属仍待确认

截至当前，Amplitude官方状态页面未列出此次安全事件，仅提及10月22日关于PHP语言漏洞的通告，且声明自身服务不受影响。因此，此次泄露是否与其相关尚无定论，事件真相需等待供应商正式回应。

欧盟监管框架适用：GDPR驱动信息披露义务

尽管Coinbase持有卢森堡MiCA许可，但此次数据泄露适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在风险较高时通知用户。交易所已履行上述义务，但责任主体仍为用户所绑定的平台。

双重验证策略调整：从短信到通行密钥的进化

在联系信息已暴露的情况下，短信验证码成为最脆弱环节，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码本地存储，安全性更高；而通行密钥则具备抗钓鱼能力，仅在真实网站域名下有效，能从根本上抵御欺骗。

自我托管：脱离中心化系统的根本防护

将私钥掌握在自己手中可彻底规避第三方供应商风险。硬件钱包作为物理隔离设备，确保密钥不出设备，即使连接电脑也不暴露。虽然需自行承担备份与保管责任，但长期持有者可通过分层策略实现安全与便利兼顾。

应对建议：强化防御，警惕后续接触

建议用户立即检查账户安全设置，将短信验证替换为身份验证器或通行密钥；评估资金分配结构，将非交易用途的资产转移至自我托管环境；未来数周内保持高度警觉，对所有提及此次事件的主动联系保持怀疑态度，尤其拒绝任何涉及转账或助记词索取的要求。