币圈界报道：

交易所供应商遭入侵：客户联系方式大规模外泄，资产未受波及

2026年10月28日，Coinbase官方通报称，其合作的第三方分析服务提供商Amplitude遭遇安全事件，造成部分用户联系方式被非法获取。尽管账户内的密码、私钥、交易记录和余额均未受损，且系统本身未发现异常访问，但已知的电子邮件地址与电话号码已处于公开状态。

供应链漏洞成主因：数据通过分析工具外流

此次事件源于产品行为分析平台Amplitude的技术集成机制。该平台通过在客户端嵌入SDK收集用户使用模式，为提升分析精度，部分数据包含可识别身份的邮箱或手机号码。一旦这些信息被存储于第三方服务器，即构成潜在泄露点。据调查，此问题并非针对单一平台，其他采用相同服务的客户亦可能受到波及。

泄露范围存疑：交易所称“少量”，安全公司指超七万条

Coinbase表示受影响账户数量有限，但未公布具体数字。与此同时，区块链安全机构SlowMist披露一份涉及逾7万个账户的数据集，虽未证实是否含敏感凭证，但其真实性尚未被交易所验证。目前尚无独立证据支持任一说法，事件规模仍处模糊地带。

联系信息价值高于密码：精准攻击成为新威胁

相较于传统密码泄露带来的直接账户入侵，本次事件的风险核心在于“可达性”——攻击者可利用已知的邮箱与电话号码，实施高度定制化的钓鱼行为。他们能冒充官方客服，以“检测到可疑登录”等理由制造紧迫感，诱导用户输入助记词或转账至指定地址。此类攻击不依赖技术突破，而是利用信任关系进行心理操控。

虚假支持电话如何运作：从信任构建到信息窃取

典型的骗局流程包括：主动致电或发信，提及用户注册信息，声称系统异常，并要求执行如“验证身份”、“转移资金至安全账户”等操作。关键特征在于，真正的客户服务不会主动发起沟通，也不会索要助记词、一次性验证码或要求保密。任何索取此类信息的行为，皆指向非授权访问企图。

真正支持团队绝不会索取的信息

所有正规交易所均无需用户提交助记词、私钥或一次性验证码来协助处理账户问题。这些信息唯一用途是解锁权限，任何索取者皆为欺诈。此外，若对方提供“安全地址”要求转账，应立即警觉——自我托管的钱包必须由用户自主创建与管理，而非依赖他人提供的地址。

Amplitude状态页未记录本次事件，责任归属仍不明

截至报告时，Amplitude官网的状态页面仅列出10月24日至27日的技术维护与延迟通知，未提及安全事件。此前关于PHP漏洞的公告也未明确关联此次泄露。因此，当前对事件归因的唯一依据来自Coinbase单方面声明，缺乏供应商方的正式回应，真相有待进一步披露。

GDPR框架下：交易所承担最终责任

尽管Coinbase持有卢森堡MiCA许可证服务于欧盟市场，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求控制者在72小时内向监管机构报告数据泄露，并在高风险情形下通知用户。交易所已履行告知义务并上报，但即便问题出在供应商端，责任仍由其承担。用户可在居住国向当地数据保护机构提出申诉。

双因素认证类型差异：短信代码最脆弱，通行密钥最具防护力

面对联系信息泄露，第二重验证方式的选择至关重要。短信验证码易受SIM卡劫持或仿冒页面诱导，风险最高；身份验证器应用生成本地代码，抗网络攻击能力较强，但仍无法抵御钓鱼页面；而通行密钥则具备防钓鱼特性，仅在真实域名下有效，是当前最可靠的认证形式。

自我托管：切断供应商链条的关键策略

将私钥掌握在自己手中，即可完全规避交易所及其供应商的安全隐患。硬件钱包通过专用芯片存储密钥，即使设备接入网络，密钥也不会外泄。虽然这增加了管理负担，但长期持有的资产应优先考虑此类方案。对于普通用户而言，可采取“分仓管理”策略：日常交易用交易所账户，长期持有则转入自管钱包。

官方通知仅限邮件渠道，需提高警惕

Coinbase确认，受影响用户将通过电子邮件接收通知。然而，该渠道本身已被泄露，故邮件内容不可轻信。建议用户勿点击其中链接，改由直接访问官网或使用官方应用程序核实信息。未来数周内，类似主题的来电或邮件预计增多，凡涉及转账、输入助记词或验证码的请求，一律视为诈骗。