币圈界报道：

Coinbase披露供应商安全漏洞：客户联系方式遭泄露，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户联系信息（包括电子邮箱和手机号码）被非法获取。交易所强调，账户密码、私钥、交易记录及资金余额均未在自身系统中暴露，且未发现任何越权访问行为。

供应链风险凸显：第三方分析服务成数据外泄源头

此次事件牵涉到产品数据分析平台Amplitude，该服务商通过嵌入客户端的SDK收集用户行为数据。为实现精准用户识别，部分数据包含可关联至个人身份的电子邮件与电话号码，从而形成敏感信息存储点。尽管数据由第三方持有，但责任归属仍由数据控制方——即Coinbase承担。

泄露范围存疑：交易所称“少量”客户，安全机构指超七万账户

Coinbase未公布具体影响人数，仅表示涉及范围有限。然而，区块链安全公司SlowMist援引一份据称属实的数据集指出，受影响账户数量超过70,000个，且未排除其他敏感信息泄露的可能性。目前双方说法悬殊，尚无独立验证，事件规模仍处于待定状态。

联系信息泄露的本质：从“访问权限”转向“可达性”风险

不同于密码泄露带来的直接登录威胁，此次事件的核心风险在于“可接触性”。攻击者一旦掌握用户联系方式，便可实施高度定制化的社交工程攻击，如冒充客服、虚构异常登录警报，诱导用户主动提供助记词或转账至指定地址，而更换密码对此类攻击无效。

虚假支持电话的运作机制：利用信任与紧迫感实施诈骗

典型骗局流程包括：来电者自称来自交易所支持团队，准确提及注册邮箱，并声称检测到可疑活动；随后制造时间压力，要求立即执行转账、输入助记词或提供一次性验证码。此类操作本质上是诱导用户自愿交出访问凭证。

识别骗局的两大关键信号：主动联络与索取核心凭证

正规客服不会主动致电施压，所有请求应源于用户发起。若对方索要助记词、私钥或一次性验证码，无论界面多逼真，皆属欺诈行为。此外，域名拼写错误、链接显示与文本不符、缺乏具体细节、禁止向他人咨询等均为高危警示。

真正的支持不会要求这些信息

任何合法机构均无需助记词解锁账户、取消订单或释放资金。一次性验证码仅用于确认登录身份，不应被要求提供。将资金转入他人提供的“安全地址”更是严重违规操作。自我托管需基于自主决策，使用自建钱包与生成地址，而非依赖对话中对方提供的信息。

Amplitude状态页面未记录本次事件，责任归属仍不明朗

Amplitude官网的状态页列出了10月24日至27日的技术中断与维护公告，但未提及10月27日、28日的安全事件。唯一相关通知为10月22日关于PHP漏洞的声明，但未说明是否与此事件有关。目前仅凭Coinbase单方面陈述，无法确认事件全貌，供应商尚未正式回应。

GDPR适用而非MiCA：欧盟监管框架下的报告义务

尽管Coinbase以卢森堡MiCA许可服务欧洲市场，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告数据泄露，并在对个人权利构成高风险时通知受影响者。交易所已履行上述义务，其法律责任不受供应商问题影响。

双因素认证选择差异：短信代码最脆弱，通行密钥最具防护力

短信验证码易受SIM卡劫持或仿冒页面诱导，安全性较低；身份验证器应用虽能避免网络传输，但仍可能被引导输入至伪造页面。相比之下，通行密钥具备抗钓鱼能力，与真实网站域名绑定，即使在假冒页面也无法生效，是当前最可靠的第二因素。

自我托管：当联系信息不再成为弱点

采用自我托管模式，尤其是使用硬件钱包，可彻底规避交易所供应商层面的风险。私钥由用户本地保管，不经过任何外部系统。虽然存在丢失助记词或设备风险，但对于长期持有的资产而言，其安全性远高于集中式平台。当前趋势显示，越来越多用户正将非交易用途的资金转移至自主管理。

官方通知渠道受限：邮件既是通知源也是攻击入口

Coinbase通过电子邮件向受影响用户发送通知，这本身构成潜在风险——因为邮件地址正是泄露内容之一。因此，收到相关消息后切勿点击其中链接，应直接通过官网或应用程序核实信息。任何未经请求的接触，尤其是涉及资金转移或凭证索取的，均视为高风险行为。