币圈界报道：

Coinbase供应商安全事件致客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱和手机号码被非法获取。尽管相关数据未涉及账户密码、私钥、交易记录或资金余额，且内部系统未检测到异常访问行为，但该事件已引发对供应链安全的广泛担忧。

第三方分析平台成数据泄露源头，影响范围存争议

事件涉事方为产品行为分析服务商Amplitude，该公司通过嵌入客户端的SDK收集用户使用数据。在数据整合过程中，若包含可识别身份的邮箱或电话号码，便可能形成敏感信息存储点。据Coinbase披露，此次泄露发生在10月27日至28日，影响范围波及多个使用该服务的客户，非仅限于自身平台。

泄露内容限定于通信渠道，不构成直接金融威胁

交易所明确指出，仅联系信息遭暴露，不包括任何登录凭证或财务数据。此类信息虽无法用于转账或账户接管，却极大提升了攻击者实施精准欺诈的可能性——例如以“账户异常登录”为由，诱导用户配合完成助记词输入或资金转移操作。

规模分歧显著：交易所称“少量”，安全机构指超七万账户

Coinbase表示受影响用户数量有限，未公布具体数字；而区块链安全公司SlowMist则声称存在一份涵盖逾7万个账户的数据集，但未验证是否含密钥或余额信息。目前尚无独立证据支持任一说法，实际影响面仍处于不确定状态。

通知渠道本身成为信任风险点，需谨慎核实信息真伪

受影响用户将通过电子邮件接收通知，但此方式正面临双重挑战：一方面，邮件地址已被泄露，可能被仿冒者利用；另一方面，任何点击链接的行为都可能将控制权交予攻击者。因此建议用户仅通过官方应用或直接访问官网核对信息，避免点击可疑链接。

社会工程骗局常见套路：伪装支持来电制造紧迫感

攻击者常以“检测到可疑登录”为由主动联系用户，利用已知的注册邮箱建立可信度，并制造时间压力，诱使对方提供助记词、一次性验证码或向指定地址转账。这类攻击的核心在于心理操控而非技术突破。

识别骗局的关键信号：主动联系与索取敏感信息

真实客服不会主动致电施压，也不会要求用户提供助记词、私钥或一次性验证码。这些信息一旦泄露，即等同于放弃账户控制权。此外，域名拼写错误、链接显示不符、缺乏具体时间细节、禁止外部讨论等均为典型警示标志。

合法支持从不索要核心凭证，所有请求均属欺诈

任何正规平台均无需用户提交助记词或一次性代码来处理问题。此类请求本质上是试图获取访问权限。同样，要求将资金转入“安全保管地址”的行为完全违背自我托管原则——真正的自主管理应基于用户自行选择的钱包与生成的地址。

Amplitude官方状态页未记录本次事件，责任归属待澄清

截至当前，Amplitude的公共状态页面仅列出10月24日至27日的技术中断与维护情况，未提及安全事件。其10月22日发布的关于PHP漏洞的通知亦未明确关联此次泄露。因此，事件归因仍依赖于Coinbase单方面声明，供应商尚未作出回应。

欧盟监管框架下，责任主体仍是交易所而非供应商

尽管事件源于卢森堡持牌的MiCA合规服务商，但适用法律为GDPR。该法规要求数据控制者在72小时内向监管机构报告，并在高风险情况下通知用户。即使漏洞出自第三方，责任仍由交易所承担，用户可在居住国向数据保护机构提出申诉。

双因素认证类型差异决定防御强度，通行密钥最抗钓鱼

SMS验证码因依赖移动网络而易受SIM卡劫持或仿冒页面诱导，安全性最低；身份验证器应用虽能抵御中间人攻击，但仍可能被伪造登录页欺骗；唯有通行密钥具备域名绑定机制，可在假冒网站上失效，提供最强防护。

自我托管规避风险，硬件钱包实现真正自主掌控

将私钥掌握在自己手中，可彻底避开交易所供应链漏洞。硬件钱包将密钥存储于专用芯片中，签署交易时不暴露私钥，有效防止远程攻击。但需注意，助记词丢失即永久失去资产，设备来源不明亦有风险。因此建议按用途分层管理：日常交易保留在合规平台，长期持有则转入自管钱包。

后续应对建议：强化安全设置并保持高度警惕

建议立即检查账户第二重验证方式，优先切换至身份验证器应用或通行密钥；评估资产配置，将非交易类持仓迁移至自我托管环境；未来几周内对所有提及该事件的来电或邮件保持怀疑态度，凡涉及转账、输入助记词或验证码的请求一律视为诈骗。