币圈界报道：

Coinbase供应商数据泄露事件：联系信息外泄，资产未受波及

2026年10月28日凌晨，Coinbase正式通报其一家第三方服务提供商遭遇安全漏洞。调查显示，部分用户的电子邮件地址与手机号码被非法获取，但账户登录凭证、私钥、交易记录及资金余额均未遭入侵，且交易所系统内部未发现异常访问行为。

供应链漏洞成隐患：分析服务商成为数据外泄源头

此次事件的核心责任方指向产品行为分析平台Amplitude。该机构通过嵌入客户端的SDK收集用户交互数据，为合作伙伴提供使用模式洞察。在某些集成场景中，为实现用户身份匹配，系统会同步传输个人联系方式，从而形成敏感数据存储点。此次泄露即源于此类信息在供应商端的不当暴露。

泄露范围存疑：交易所称“少量”，安全公司指超七万

Coinbase对外披露时仅表示影响范围有限，未公布具体数量。然而，区块链安全机构SlowMist声称已核实一份涉及逾7万个账户的数据集，尽管未确认是否包含密码或余额。目前双方说法悬殊，尚无独立验证，实际规模仍属未知，但无论数字大小，对个体而言影响相同——一旦信息外泄，便无法逆转。

通知渠道成双重风险：邮件既是告知也是仿冒入口

由于受影响用户将通过原泄露邮箱接收通知，这一路径本身构成潜在威胁。攻击者可利用同一邮箱发送伪造消息，制造真实感。因此，所有提及该事件的通信均应谨慎处理，切勿点击其中链接，应直接访问官方网址核验信息，避免将访问权交予第三方。

社会工程攻击升级：基于真实信息的精准诈骗

联系数据泄露使攻击者具备双重优势：知晓目标身份与所在平台。典型骗局表现为主动致电，谎称检测到可疑登录行为，制造紧迫感，诱导用户在仿冒页面输入验证码、转账至所谓“安全账户”或透露助记词。此类攻击不依赖技术突破，而在于心理操控。

识别骗局的两大关键信号

真正支持团队从不主动联系用户施压；任何要求提供助记词、私钥或一次性验证码的行为，皆为盗用权限的征兆。此外，拼写错误的域名、链接与显示文字不符、缺乏具体细节、强制保密等均为典型警示特征。

合法请求之外的三大禁忌

没有任何正规机构会要求您提供助记词以解冻账户，也不会索取一次性验证码来协助查询。这些信息唯一用途是授权访问。若有人索要，无论界面多么逼真，皆为欺诈。自我托管需自主决策，使用自己生成的钱包与地址，而非接受他人提供的方案。

Amplitude未公开声明，事件归属仍待澄清

截至发稿，Amplitude官网状态页仅列出10月24日至27日的技术中断与维护公告，未提及安全事件。此前关于PHP漏洞的通知也未明确关联本次事故。目前所有信息均来自Coinbase单方面说明，供应商尚未作出回应，事件真实性与责任边界仍处于不确定状态。

欧盟监管框架下：GDPR优先于MiCA适用

尽管Coinbase持卢森堡颁发的MiCA许可证服务于欧盟市场，但本次事件适用法律为《通用数据保护条例》（GDPR）。该法规要求72小时内向监管机构报告，并在高风险情况下通知用户。交易所已履行上述义务，相关责任主体仍为数据控制者——即Coinbase本身。用户可在居住国向当地数据保护机关提出申诉。

多重验证机制应对泄露风险：从短信到通行密钥

短信验证码因依赖可被劫持的通信链路，是最易受攻击的形式。相比之下，身份验证器应用生成本地代码，提升安全性；而通行密钥则具备抗钓鱼能力，仅在真实域名下有效，是当前最可靠的第二因子选择。

自我托管：脱离中心化系统的根本防护

将私钥掌握在自己手中，可彻底规避第三方服务商风险。硬件钱包将密钥隔离于专用芯片，即使设备被攻破，也无法提取原始助记词。虽然管理责任转移至用户，但长期持有者可通过分层策略实现平衡：日常交易保留在合规平台，核心资产转入自管钱包。

后续行动指南：警惕接触，强化防护

建议立即检查账户安全设置，将短信验证替换为身份验证器或通行密钥。评估资产配置，将非交易用途的资金迁移至自我托管环境。未来数周内应提高警觉，任何要求转账、输入助记词或提供验证码的来电或邮件，一律视为诈骗。事件本质为联系信息泄露，而非资金损失，但其衍生风险不容忽视。