币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报，其合作供应商在近期遭遇安全事件，部分用户的电子邮件地址与手机号码被非法获取。尽管相关数据已流入外部环境，但交易所强调，其核心系统未被攻破，账户密码、私钥、资金余额及历史交易均保持完整，未出现异常访问行为。

第三方分析平台成数据暴露端口，风险源于服务链延伸

此次事件的源头指向产品数据分析服务商Amplitude。该平台通过嵌入客户端的SDK收集用户行为数据，为合作伙伴提供使用洞察。当分析过程中包含可识别身份的信息（如邮箱或电话），这些敏感字段便会被存储于第三方服务器，构成潜在泄露点。此次事件即发生在这一数据流转环节。

泄露范围存疑：官方称“少量”，安全机构指超七万账户

Coinbase未披露具体受影响人数，仅表示影响有限。然而，区块链安全公司SlowMist援引一份数据集指出，涉及超过7万个账户的联系信息。该数字尚未得到交易所证实，也缺乏独立验证。目前只能确认：事件规模处于“极低”至“逾七万”之间的模糊区间，真实情况有待进一步澄清。

信息泄露的本质：从“访问权”到“可达性”的风险转移

与传统密码泄露不同，本次事件的核心威胁不在于账户能否登录，而在于攻击者已掌握精准的目标名单。这意味着诈骗者可精准定位加密货币持有者，以高度可信的背景开展社交工程攻击——例如冒充客服声称检测到异常登录，诱导用户输入验证码或转账至指定地址。

伪造支持渠道的运作逻辑：利用信任链条实施欺诈

攻击者利用已知的邮箱和注册信息，制造出看似真实的沟通场景。他们可能主动致电或发信，提及交易所名称、注册邮箱，并编造紧急事件，营造紧迫感。典型套路包括要求用户提供助记词、一次性验证码或向“安全账户”转账，所有操作均以“保障资产”为名，实则完成权限窃取。

识别骗局的两大关键信号：主动联系与索取敏感凭证

真正的客户服务绝不会主动发起通话或邮件施压。任何索要助记词、私钥或一次性验证码的行为，无论界面多么逼真，都应视为高危信号。此外，域名拼写错误、链接显示地址与文本不符、缺乏具体时间依据、禁止与他人讨论等特征，亦是常见伪装痕迹。

合法支持绝不索取这些信息：助记词、验证码、资金转移

没有任何正规交易所会要求用户提交助记词、私钥或一次性验证码来处理账户问题。此类请求本质上是权限获取。同样，任何要求将资金转入“临时保管地址”的行为均属欺诈。自我托管应基于自主选择的钱包与地址，而非依赖对方提供的路径。

Amplitude官方状态页未记录此次事件，责任归属待定

Amplitude的公开状态页面列出了2026年10月24日至27日的技术中断与维护事项，但未提及安全漏洞。唯一相关的公告为10月22日关于PHP漏洞的声明，且明确表示自身服务不受影响。因此，当前尚无法确认该事件是否与此次泄露直接关联，也无法验证其影响范围，一切仍以Coinbase单方面说明为准。

GDPR框架下，交易所承担首要报告义务

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但本次事件适用法律为《通用数据保护条例》（GDPR）。该法规要求数据控制者在72小时内向监管机构通报，并在对个人权利构成高风险时通知用户。交易所已履行上述义务，通过邮件通知受影响者，并向监管机关报备。

双因素认证应对策略：短信代码最脆弱，通行密钥最具防护力

在联系信息外泄背景下，第二因素的安全性至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导；身份验证器应用虽更安全，但仍无法防范钓鱼网站；通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法生效，是当前最优解。

自我托管：切断供应商链路，实现真正资产主权

将私钥掌握在自己手中，可彻底规避交易所及其供应商带来的风险。硬件钱包通过专用芯片隔离密钥，即使设备连接网络也不暴露私钥。虽然需自行承担丢失或损坏风险，但长期持有者可通过分层管理策略——日常交易用交易所，长期资产自管——实现风险与便利的平衡。

通知渠道单一：邮件成为最大信任盲区

Coinbase通过电子邮件发送事件通知，这既是合规要求，也带来新挑战：通知本身所使用的邮箱正是泄露的数据之一。因此，收到相关邮件不能作为真实性判断标准。建议用户通过官方应用或直接访问官网核实信息，切勿点击邮件中的任何链接。

总体而言，此次事件是一次典型的供应链数据泄露，核心在于联系信息被滥用，而非资产被盗。尽管实际影响规模尚不明确，且供应商未发声，但用户应提高警惕，强化安全设置，避免被动响应。未来几周内，针对加密用户的定向骚扰预计将持续增加，务必坚持“不主动、不轻信、不转账”原则。