币圈界报道：

Coinbase披露供应商数据泄露：客户联系方式外泄，资产安全无虞

2026年10月28日，Coinbase官方通报称，其合作供应商在近期遭遇信息安全事件，部分用户的电子邮箱及手机号码被非法获取。尽管账户内的密码、私钥、交易记录与余额均未受损，且平台自身系统未发现异常访问，但这一事件凸显了第三方服务链中的潜在风险。

核心数据暴露点：用户可及性成为新威胁源

此次事件并非针对区块链协议或资金转移，而是源于供应链环节的数据外泄。攻击者虽无法直接操控账户，却能精准锁定加密货币用户身份，为定向诈骗创造条件。一旦掌握联系信息，攻击者便可模拟合法沟通场景，实施高可信度的社会工程学诱导。

分析服务商Amplitude成关键节点：技术集成带来数据集中风险

Amplitude作为产品行为分析平台，通过嵌入客户端SDK收集用户交互数据。为实现用户识别，部分数据包含邮箱或电话等敏感字段，从而形成集中存储的个人信息库。本次事件中，这些数据在未经加密或防护不足的情况下被泄露，而影响范围已波及多个使用该服务的客户企业。

泄露范围存疑：交易所称“少量”，安全机构指超七万

Coinbase未公布具体受影响账户数量，仅表示影响有限。然而，区块链安全公司SlowMist披露一份据称来自该事件的数据集，涉及超过7万个账户的联系方式，且未排除其他敏感信息。目前尚无独立验证，事件规模仍处于模糊区间，但无论数字大小，用户面临的风险本质一致——身份可被用于精准欺诈。

唯一通知渠道即风险源头：邮件通知存在信任悖论

Coinbase计划通过电子邮件向受影响者发送通知，这本身构成矛盾：若邮箱已被泄露，则该渠道可能已被攻击者掌控。因此，任何提及此事件的邮件都应谨慎对待，切勿点击其中链接。核实信息的唯一可靠方式是直接访问官网或使用官方应用，而非依赖外部来源。

骗局运作机制：利用真实信息制造可信假象

典型的社交工程攻击流程包括：冒充客服，准确提及用户注册邮箱，声称检测到异常登录，并制造紧迫感以促使用户立即行动。常见手段包括引导至伪造登录页面输入验证码、要求提供助记词或转账至“安全地址”。此类攻击的成功率因信息真实性而显著提升。

真正支持团队不会主动致电施压，也不会要求用户提供助记词、私钥或一次性验证码。这些信息本质上是访问权限的凭证，任何索取者皆具恶意。此外，域名拼写错误、链接目的地不符、问候语泛化、时间压力过强以及禁止向外咨询，均为典型警示特征。

不可接受的请求：所有正规机构均不索要核心凭证

没有任何合规交易所或钱包服务会要求用户交出助记词、私钥或一次性验证码。此类请求均指向非法访问企图。即使对方声称“为保障您的资产安全”，也应坚决拒绝。自我托管需基于自主决策，而非被动响应他人提供的“安全地址”。

供应商未公开声明：事件责任归属尚待澄清

Amplitude官方状态页面未列出此次事件，仅记录了10月24日至27日的技术中断与维护情况。其此前发布的关于PHP漏洞的公告亦未明确关联当前事件。目前所有信息均来自Coinbase单方面说明，尚未有来自供应商的独立回应，使得事件真相仍存不确定性。

法律框架适用：GDPR主导报告义务，非MiCA

尽管Coinbase持有欧盟MiCA许可，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构通报数据泄露，并在对个人权利构成高风险时通知用户。币安已履行相关义务，用户可依据居住地向当地数据保护机构提出申诉，权利不受运营主体注册地限制。

双重认证差异：短信代码最脆弱，通行密钥更具抗钓鱼能力

在联系信息泄露后，双因素认证形式差异显著。短信验证码易受SIM卡劫持与仿冒页面诱导，风险最高；身份验证器应用生成本地代码，虽无法防御钓鱼网站，但避免了网络传输风险；通行密钥则具备域名绑定特性，在伪造网站上无效，是当前最具防护力的认证方式。

自我托管：切断外部链条的终极防线

当资产由用户自行保管，私钥脱离交易所体系，便不再受供应商风险影响。硬件钱包通过专用芯片隔离密钥，确保即使设备被入侵也无法提取完整密钥。虽然管理责任转移至个人，但长期持有者可通过分层策略——日常交易留于平台，长期持仓自管——实现风险可控。

后续应对建议：强化安全设置，警惕主动接触

建议立即检查账户安全配置，将短信验证替换为身份验证器或通行密钥。评估是否将部分资产转入自我托管环境，参考硬件钱包对比指南选择合适方案。未来数周内，对任何提及此次事件的电话或邮件保持高度警惕，凡涉及转账、输入助记词或验证码的请求，一律视为诈骗。