币圈界报道：

Coinbase披露第三方供应商数据泄露：联系信息外流，资产未受波及

2026年10月28日凌晨，Coinbase官方通报其合作供应商遭遇安全事件，确认部分用户联系方式（包括电子邮箱和手机号）被非法获取。尽管相关数据已流出，但账户密码、私钥、交易历史及余额等核心资产信息在自身系统中保持完整，且未检测到异常登录行为。

供应链漏洞成焦点：数据通过分析服务外泄

此次事件源头指向产品数据分析平台Amplitude。该公司为应用提供用户行为追踪服务，通常通过集成于客户端的SDK收集使用数据。为实现精准分析，部分数据会关联用户的电子邮件或电话号码，从而形成可识别的个人标识。这一机制成为本次泄露的技术起点。

泄露范围存疑：交易所称“少量”，安全机构指超七万

Coinbase表示受影响账户数量有限，但未公布具体数字。与此同时，区块链安全公司SlowMist声称掌握一份涉及逾7万个账户的数据集，但未证实是否包含密码或余额。目前双方说法悬殊，尚无独立验证。无论实际规模如何，用户仅能依据官方通知判断自身是否受波及。

社会工程攻击风险上升：伪造支持电话悄然滋生

联系信息泄露使攻击者具备精准打击能力。他们可利用已知的邮箱与号码，伪装成交易所客服，谎称检测到可疑登录活动，并制造紧迫感诱导用户执行转账、输入助记词或提供一次性验证码等高危操作。此类攻击不依赖技术入侵，而是操纵人性弱点。

两大特征揭露骗局真面目

真正客户服务不会主动发起电话施压；任何要求提供助记词、私钥或一次性验证码的行为均属欺诈。此外，拼写错误的域名、链接目的地与文本不符、缺乏具体时间细节以及禁止向他人透露信息，均为典型警示信号。

官方支持从不索取敏感凭证

所有正规交易所均不会要求用户提供助记词或一次性验证码来协助解冻账户或处理提款。同样，也没有机构会要求将资金转移至“安全地址”进行保管。自我托管应基于自主决策，而非接受来自外部方提供的地址。

Amplitude未公开承认事件，存在信息真空

Amplitude的公共状态页面列出了10月24日至27日的服务中断与维护事项，但未提及27日和28日的安全事件。唯一相关的公告是10月22日关于PHP漏洞的通知，但并未说明与本次泄露有关。目前该事件的责任归属仍依赖于Coinbase单方面陈述，缺乏供应商直接回应。

欧盟监管框架下报告义务明确

Coinbase依据卢森堡颁发的MiCA许可证服务于欧盟市场，但此次事件适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构申报，并在对个人权利构成重大风险时通知用户。交易所已履行上述义务，用户可通过所在国数据保护机构提出申诉。

双因素认证形式影响防御效能

短信验证码因依赖移动网络而最易受攻击，尤其面临SIM卡劫持与仿冒页面诱导的风险。身份验证器应用虽提升安全性，但仍无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，因其与真实网站域名绑定，伪造域名下无效。

自我托管规避信息泄露风险

采用自我托管模式，将私钥掌握在自己手中，可完全避免通过交易所供应商暴露的风险。硬件钱包作为常用工具，可将密钥存储于独立芯片内，签署过程不释放密钥。虽然管理责任转移至用户，但长期持有者常以此方式实现资产隔离。

官方通知渠道单一，需提高警惕

受影响用户仅通过电子邮件接收通知，这既是法律要求，也带来新的信任挑战——邮件本身可能已被泄露。因此，建议用户不点击邮件中的任何链接，而是直接访问官方网址核实信息。未来数周内，预计会有大量针对此次事件的骚扰性来电与邮件，务必保持警觉。