币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄但资产未受威胁

2026年10月28日凌晨，Coinbase官方通报其合作供应商遭遇数据安全事件，部分用户的电子邮箱及手机号码被非法获取。尽管涉及信息敏感，但交易所强调账户密码、私钥、资金余额与历史交易均未暴露于外部，且自身系统未发现异常访问痕迹。

数据泄露源头指向第三方分析服务商Amplitude

此次事件的导火索为产品分析平台Amplitude，该服务通过嵌入客户端的SDK收集用户行为数据。为实现精准分析，部分集成方案会同步传输注册时提供的电子邮件或电话号码，从而在供应商端形成可识别的用户档案。此机制正是本次泄露的技术起点。

泄露范围存疑：交易所称“少量”而安全机构称逾七万

Coinbase在声明中仅表示影响范围有限，未公布具体数字。然而，区块链安全公司SlowMist披露一份据称来自此次事件的数据集，包含超过7万个账户的联系方式。该数据未验证是否含密码或余额，目前双方说法悬殊，尚无独立证据支持任一结论。

通信渠道成为信任危机的核心环节

由于通知仅通过已泄露的邮箱发送，接收者面临双重困境：一方面需依赖该渠道获取真实信息，另一方面也正因邮件地址公开，使仿冒者得以实施精准诈骗。因此，任何链接均不应点击，所有信息应通过官网直接核实。

社会工程攻击如何利用泄露的联系信息展开

攻击者可借助已知的邮箱与手机号，伪装成官方客服，声称检测到异常登录并制造紧迫感，诱导用户在伪造页面输入验证码、助记词或转账至指定地址。此类攻击不依赖技术漏洞，而是利用人性弱点与信息不对称。

识别骗局的两大核心信号

真正的客户服务不会主动发起电话施压；若对方要求提供助记词、私钥或一次性验证码，即表明其意图获取账户控制权。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据以及禁止向他人透露等特征，均为高危预警。

官方绝不会索取的关键信息

任何正规机构均无需用户助记词来解冻账户或处理提款请求，也无需一次性验证码用于“协助”。这些信息仅用于身份验证，一旦提供即等于授权访问。自我托管应基于自主决策，而非由外部方引导，尤其警惕以“安全保管”名义提出的资金转移要求。

Amplitude官方未承认该事件存在

截至发稿，Amplitude状态页面仅列出10月24日至27日的服务中断与维护记录，未提及27日和28日的安全事件。此前发布的关于PHP漏洞的通知虽相关，但未明确关联本次泄露。目前所有信息均源自Coinbase单方面声明，供应商尚未作出回应。

GDPR适用性决定报告义务边界

尽管Coinbase持有欧盟MiCA许可，但此次事件受《通用数据保护条例》（GDPR）管辖。根据规定，数据控制者须在72小时内向监管机构通报，并在对个人权利构成重大风险时通知用户。交易所已履行这两项义务，责任主体仍为平台本身，用户可在居住国提起申诉。

第二因素选择决定防御强度差异

短信验证码在号码泄露后最为脆弱，易受SIM卡劫持或钓鱼页面诱导。身份验证器应用虽能抵御网络拦截，但无法防范仿冒登录。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造网站无法生成有效凭证。

自我托管：绕过供应商风险的终极方案

将私钥掌握在自己手中，即可完全规避第三方平台供应链风险。硬件钱包将密钥隔离于专用芯片，即使设备被物理接触，也无法提取原始助记词。虽然管理责任转移至用户，但长期持有者可通过分层策略——日常交易留于交易所，大额资产自管——实现平衡。

官方通知唯一可信来源，切勿轻信主动联系

加强账户防护应从更新双因素认证方式开始：建议将短信代码替换为身份验证器应用或通行密钥。同时评估资产配置，将非交易用途的资金迁移至自托管环境。未来数周内，预计会收到大量与事件相关的邮件或来电，所有要求转账或输入助记词的请求均属欺诈。

综上所述，本次事件本质是联系信息外泄，而非资产被盗。尽管实际规模仍有待澄清，且供应商未发声，但核心原则不变：保持警惕，拒绝主动联络，始终通过官方渠道验证信息。