币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄但资产无忧

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇信息安全事件，致使部分用户的联系方式（包括电子邮箱和手机号码）被非授权获取。尽管相关数据已流出，但交易所强调账户密码、私钥、交易历史及资金余额均未受损，且自身系统内部未检测到异常访问行为。

事件源头指向第三方分析服务商Amplitude

此次数据外泄源于产品数据分析平台Amplitude。该服务通过集成在客户端的应用程序中运行的SDK收集用户行为数据，以支持客户优化使用体验。当分析系统需将匿名标识与真实身份匹配时，若同步传输了电子邮件或电话号码，便形成敏感信息存储点。本次事件即由此类信息暴露所引发。

泄露范围限定于通信信息，不涉及核心凭证

Coinbase明确指出，仅部分客户的联系方式遭到泄露，未包含密码、私钥、交易流水或账户余额等关键数据。这一区分至关重要：虽然无法直接操控账户，但泄露的联系方式使攻击者可精准实施社会工程学诱骗，如伪装成官方客服进行定向联络。

影响规模存争议：交易所称“少量”，安全机构称超七万

关于受影响用户数量，双方说法差异显著。Coinbase表示影响范围有限，但未公布具体数字；而区块链安全公司SlowMist则声称掌握一份涵盖逾7万个账户的数据集，虽未证实是否含密码，但承认数据真实性。目前尚无独立验证，事件实际波及面仍处于不确定状态。

通知渠道本身构成风险：邮件即可能为攻击入口

受影响用户将通过电子邮件接收通知，这既是法律义务履行方式，也带来了新的安全隐患——邮件地址正是泄露对象。因此，任何提及该事件的信件都可能来自仿冒者。建议用户切勿点击其中链接，应直接访问官方网址核实信息。

骗局运作机制：利用可信背景制造紧迫感

攻击者常以“检测到可疑登录”为由主动致电或发信，借助已知的邮箱和账户身份制造信任感，并施加时间压力，诱导用户在仿冒页面输入验证码、助记词或转账至指定地址。此类行为本质是针对人性弱点的操控，而非技术突破。

识别诈骗的两大核心信号

真正的客户服务从不主动发起接触，也不会要求提供助记词、私钥或一次性验证码。这些信息一旦泄露，即意味着完全控制权的丧失。此外，域名拼写错误、链接显示地址与文本不符、缺乏具体细节的时间限制，以及禁止向他人咨询等特征，均为高危警示。

合法请求不存在：所有索取密钥的行为均属欺诈

任何正规机构均无需客户提交助记词或验证码来协助解决问题。这类请求本质上是在寻求账户访问权限。同样，要求将资产转移至“安全保管地址”的行为，违背自我托管的基本原则。真正的去中心化管理应基于自主选择的钱包与地址，而非依赖他人提供的路径。

Amplitude官方未公开声明，事件责任归属存疑

Amplitude的公共状态页面列出了2026年10月24日至27日的技术中断情况，但未提及此次安全事件。唯一相关的公告是10月22日关于PHP漏洞的预警，但并未说明与当前事件有关联。目前，所有信息均源自Coinbase单方面披露，尚未获得供应商正式回应。

欧盟监管框架下责任主体仍是交易所

尽管Coinbase通过卢森堡的MiCA许可服务于欧洲市场，但本次事件适用的是《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在风险较高时通知用户。尽管事件发生在供应商端，但责任仍由交易所承担，用户可向所在国数据保护机关提出申诉。

双重验证机制在泄露后的防御力差异

短信验证码因依赖移动网络，在号码已知的情况下最为脆弱，易受SIM卡劫持或仿冒页面诱导。身份验证器应用生成本地代码，抗网络攻击能力较强，但仍无法防范钓鱼网站。通行密钥则具备防钓鱼特性，因其与真实域名绑定，伪造站点无法触发有效认证。

自我托管：切断外部链条的关键手段

采用自我托管模式，特别是使用硬件钱包，可彻底避免因交易所供应商问题导致的资产风险。私钥由用户独立持有，不在任何第三方服务器上存在。然而，这也意味着密钥丢失即永久损失，因此建议按用途划分资产：日常交易保留在合规平台，长期持有交由个人保管。

通知仅限邮件发送，需保持高度警惕

强化账户安全，建议检查并升级第二因素验证方式，将短信代码替换为身份验证器或通行密钥。同时，评估是否将部分长期持仓转移至自我托管环境。未来几周内，预计会有大量相关联络，凡涉及转账、输入助记词或验证码的请求，一律视为诈骗。