币圈界报道：

Coinbase披露供应商漏洞：客户联系方式外泄但资产未受损

2026年10月28日，Coinbase对外通报其一家第三方服务提供商遭遇安全事件，部分用户的电子邮箱和手机号码被非法获取。尽管相关数据已流入外部渠道，交易所强调其核心系统未遭入侵，账户密码、私钥、交易历史及资金余额均保持完整，未出现异常访问行为。

分析平台成数据枢纽：供应链风险凸显

此次事件的源头指向产品数据分析服务商Amplitude。该类公司通过嵌入客户端的SDK收集用户行为数据，为应用优化提供支持。在多数场景中，仅需匿名标识符即可完成分析；但当企业将注册邮箱或电话号码一同上传以实现客户画像匹配时，敏感信息便被存储于第三方服务器之中，构成潜在泄露点。

泄露范围存疑：官方称“少量”，安全机构指超七万

Coinbase表示受影响用户数量有限，但未公布具体数字。相比之下，区块链安全公司SlowMist援引一份数据集指出，涉及账户超过7万个，且尚未核实是否包含密码或余额信息。目前双方说法差异显著，尚无独立验证结果，事件实际影响规模仍处于待定状态。

接触路径即风险：从邮箱到诈骗电话的转化链

此次泄露的核心威胁并非账户被盗，而是攻击者获得精准目标身份信息后，可发起高度定制化的社会工程攻击。一旦知晓某人是加密货币交易所用户，骗子便可伪造客服来电，编造“可疑登录”等理由制造紧迫感，诱导用户透露助记词、一次性验证码或转账至所谓“安全地址”。

骗局识别关键：主动联络与索取密钥皆为警报信号

真正的客户服务不会主动致电施压，更不会要求用户提供助记词、私钥或一次性验证码——这些信息本就只用于身份验证。任何索要此类内容的行为均属高危操作。此外，域名拼写错误、链接与显示不符、过度强调保密性以及缺乏具体时间依据，均为典型欺诈特征。

通行密钥优于短信验证码：应对泄露后的防御策略

在联系信息已公开的前提下，短信验证码成为最脆弱的第二因素，易受SIM卡劫持或仿冒页面诱导。相较之下，身份验证器应用生成的代码虽无法防范钓鱼网站，但至少不依赖通信网络。而通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法触发有效认证。

自我托管规避风险：硬件钱包保障长期资产安全

将私钥掌握在自己手中可彻底脱离交易所供应商体系的影响。硬件钱包将密钥固化于专用芯片内，签署过程不暴露私钥，是抵御外部攻击的有效手段。尽管存在丢失助记词或设备来源不明的风险，但对长期持有者而言，合理分配资金至自管钱包仍是降低系统性风险的重要选择。

通知渠道悖论：唯一可信来源可能已被污染

Coinbase计划通过电子邮件向受影响用户发送通知，并已向监管机构报告事件。然而，这一通知方式本身存在矛盾：若邮件地址已被泄露，则该渠道亦可能被攻击者利用进行伪装。因此，用户应避免点击邮件中的链接，改由官方应用或直接输入官网地址核实信息。

欧盟合规框架下责任归属明确：控制者始终担责

尽管事件源于卢森堡持牌的Amplitude，但根据《通用数据保护条例》（GDPR），数据控制者（即Coinbase）仍负有72小时内报告监管机构并通知用户的义务。即使问题出在供应商端，责任主体仍为交易所。用户可在居住国向当地数据保护机构提出申诉，权利不受运营地限制。

Amplitude未公开声明：事件真实性待进一步验证

截至当前，Amplitude的官方状态页面仅列出10月24日至27日的技术中断与维护记录，未提及本次安全事件。其此前发布的关于PHP漏洞的通知也未明确关联此事件。因此，该事件的真实性与责任划分，仍依赖于Coinbase单方面陈述，尚未得到供应商自身确认。

未来防范建议：强化身份验证与资产分层管理

建议用户立即检查账户安全设置，将短信验证码升级为身份验证器应用或通行密钥。同时，将非交易用途的长期持仓转移至自我托管环境，参考硬件钱包对比指南，关注芯片安全性、恢复机制与供应链透明度。在未来几周内，对所有提及该事件的电话或邮件保持高度警惕，凡涉及转账、输入助记词或验证码者，一律视为欺诈。