币圈界报道：

交易所供应商遭入侵：客户联系方式外泄，资产安全无虞

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇安全事件，造成部分用户联系信息（包括电子邮箱与手机号）被非授权获取。尽管相关数据已流出，但账户密码、私钥、交易记录及余额均未受损，且交易所系统内部未发现异常访问行为。

核心风险转移至通信渠道：身份可识别性成新威胁

此次事件并非针对区块链或账户权限的直接攻击，而是典型的数据供应链泄露案例。攻击者虽无法通过泄露的信息进行转账或登录，却能精准锁定加密货币用户身份，从而实施高度定制化的社交工程欺诈。

分析服务商Amplitude成为数据汇聚点

Amplitude作为第三方产品行为分析平台，通过嵌入客户端的SDK收集用户交互数据。为实现用户追踪与画像匹配，部分服务会同步传输邮箱或电话号码。这些信息一旦上传即存储于供应商服务器，构成潜在泄露源头。

泄露范围存疑：官方称“少量”，第三方称超七万

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全机构SlowMist披露一份据称涉及逾7万个账户的数据集，虽未证实包含密码或余额，但该数字与交易所说法形成显著分歧。

数据流转路径暴露：每条外部接口均为风险节点

受影响用户将通过电子邮件接收通知，而此邮件地址本身正是攻击者可能利用的渠道。这意味着通告内容既无法验证真伪，也无法避免被仿冒者复用。因此，建议用户仅通过官方应用或直接输入官网域名核实信息，切勿点击任何链接。

伪造支持电话的运作机制解析

攻击者常以“检测到异常登录”为由主动致电或发信，利用已知的注册邮箱营造可信背景。随后制造紧迫感，诱导用户在假冒页面输入一次性验证码、助记词或执行资金转移操作，实则完成权限窃取。

识别骗局的两大关键信号

真正的客服不会主动联系用户施压；任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，拼写错误的域名、不符的链接地址、模糊问候语、强制保密条款等，均为典型诈骗特征。

合法服务不会索取的敏感信息

正规交易所绝不会要求用户提供助记词、私钥或一次性验证码来协助解冻账户或处理提款。此类请求无论包装得多专业，皆属高危欺诈行为。自我托管应基于自主选择的钱包与地址，而非依赖他人提供的“安全保管”方案。

Amplitude未在状态页披露本次事件

截至当前，Amplitude的公开状态页面仅列出10月24日至27日的技术中断和维护公告，未提及此次数据泄露。其此前发布的关于PHP漏洞的预警也未明确关联本次事件。目前所有信息仍依赖Coinbase单方面声明，缺乏供应商方的独立回应。

欧盟监管框架下的责任归属

Coinbase依据卢森堡颁发的MiCA许可服务于欧洲市场，但此次事件受《通用数据保护条例》（GDPR）约束。根据规定，数据控制者需在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行上述义务，责任主体仍为平台本身。

双因素认证形式对泄露后的防护差异

SMS验证码因依赖移动网络，在号码已知情况下最为脆弱，易受SIM卡劫持或仿冒页面诱导。身份验证器应用虽本地生成代码，但无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，仅在真实域名下有效，是当前最可靠的第二重认证方式。

自我托管：脱离中心化体系的核心防御手段

通过硬件钱包或自建软件钱包实现自我托管，可彻底规避交易所供应商层面的风险。私钥由用户独立保管，即使对方系统被攻破，资产亦不受影响。但需注意，助记词丢失将不可恢复，设备来源不明亦带来信任风险。

通知方式单一：仅靠邮件传递，警惕被动接触

鉴于通知途径唯一且可能已被泄露，用户应提高警惕，不轻信任何未主动发起的沟通。未来数周内，来自“官方支持”的邮件或来电将大幅增加，凡涉及转账、输入助记词或提供验证码的请求，一律视为诈骗。

综上所述，本事件本质为联系信息泄露，而非资产被盗。尽管实际规模尚存争议，且供应商尚未发声，但核心应对策略清晰：强化账户安全设置，启用通行密钥，分离长期持仓至自我托管，并始终保持对主动联系的怀疑态度。