币圈界报道：

Coinbase供应商数据泄露事件：联系信息外泄，资产未受波及

2026年10月28日，Coinbase披露其合作供应商遭遇信息安全事件，部分用户的电子邮件地址与手机号码被非授权获取。尽管相关数据已流入外部渠道，但交易所强调，所有账户的密码、私钥、资金余额及历史交易均未遭到侵入，系统内部亦无异常登录行为。

供应链漏洞成新威胁：第三方服务成为数据外泄入口

此次事件并非针对区块链网络或交易所核心系统，而是源于第三方分析平台Amplitude的数据管理缺陷。该服务商通过集成在客户端的SDK收集用户行为数据，为实现精准分析，常需关联真实身份信息，如邮箱与电话。一旦这些字段被纳入传输流程，便构成潜在泄露窗口。

数据暴露范围存争议：官方称“少量”，第三方称逾七万

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全机构SlowMist声称掌握一份涉及超过7万个账户的数据集，其中包含联系信息，但未确认是否包含敏感凭证。目前尚无独立验证，事件规模仍处于模糊区间，用户应以官方通知为准。

社会工程攻击升级：利用已知身份实施精准诈骗

泄露的联系方式使攻击者能够进行高度定制化的钓鱼行为。他们可冒充支持人员，准确提及用户注册邮箱，并编造“异常登录检测”等理由制造紧迫感，诱导用户输入助记词、一次性验证码或向指定地址转账。此类攻击不再依赖广泛撒网，而转向精准打击。

识别骗局的关键信号：主动来电与索取密钥皆为警报

正规客服不会主动联系用户施压；任何要求提供助记词、私钥或一次性验证码的行为均属高危。此外，域名拼写错误、链接与显示文本不符、缺乏具体时间依据、禁止与他人讨论等内容，均为典型欺诈特征。应始终通过官网直接访问服务，避免点击未知来源链接。

通行密钥优于短信验证：抵御仿冒登录的核心防线

短信验证码因依赖移动网络，在号码已知情况下极易被拦截或用于SIM卡劫持。相比之下，身份验证器应用生成的代码本地存储，具备更高安全性。而通行密钥则进一步强化防护——其与特定域名绑定，即使在伪造页面也无法使用，从根本上防止钓鱼攻击。

自我托管是规避供应商风险的根本路径

将私钥完全掌控于自身手中，可彻底脱离交易所及其供应商的风险链条。硬件钱包通过专用芯片隔离密钥，即便设备连接网络，也不会暴露原始私钥。虽然这带来备份与保管责任，但长期持有者可通过分层策略实现平衡：日常交易保留在合规平台，大额持仓转入自管钱包。

通知渠道本身存在风险：邮件即可能被滥用

Coinbase通过电子邮件向受影响用户发送通知，此举虽履行法律义务，却也形成悖论——唯一可信的消息来源，正是可能已被窃取的通信渠道。因此，收到相关信息后，切勿轻信附带链接，务必通过官方网址手动核验，确保信息真实性。

监管框架明确：GDPR主导数据泄露响应

尽管Coinbase持有欧盟MiCA许可，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。交易所已履行上述义务，且根据规则，即使问题出在供应商，控制者（即交易所）仍需承担最终责任，用户可向居住地数据保护机构提出申诉。

Amplitude未公开声明：事件责任归属仍待确认

截至当前，Amplitude的公共状态页面未列出此次事件，仅记录了2026年10月24日至27日间的技术中断与维护。此前发布的关于PHP漏洞的通知，虽提及安全更新，但未表明与本次泄露有关。因此，事件归因仍依赖于Coinbase单方面陈述，尚未获得供应商官方回应。