币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄但资产未受损

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇安全事件，导致部分用户的电子邮件地址与手机号码被非法获取。尽管相关数据已流出，但账户密码、私钥、交易记录及资产余额均未遭篡改，且交易所自身系统未发现异常访问痕迹。

供应链漏洞暴露：数据通过第三方分析服务外泄

此次事件的根源指向产品分析平台Amplitude，该公司为多家企业提供用户行为追踪服务。其技术通过集成在客户端的SDK收集使用数据，包括匿名标识符乃至可识别身份的信息。当用户联系方式随数据上传至供应商服务器时，便形成了潜在泄露点。该事件并非针对区块链或交易所核心系统，而是典型的供应链数据外流案例。

泄露范围存疑：交易所称“少量”，安全机构指超七万账户

Coinbase未公布具体影响人数，仅表示涉及范围有限。然而，区块链安全公司SlowMist援引一份数据集指出，受影响账户超过7万个，但未确认是否包含敏感凭证。目前尚无独立验证，双方说法差异显著。无论规模如何，个人能否成为受害者取决于是否收到通知，而非数字本身。

联系信息成诈骗温床：精准化社会工程攻击正蔓延

泄露的邮箱与电话使攻击者能实施高度定制化的欺诈行为。他们可冒充支持人员，以“检测到可疑登录”等真实情境为由，制造紧迫感，诱导用户转账至虚假地址、输入助记词或提供一次性验证码。此类攻击不依赖密码破解，而聚焦于“可达性”——即掌握目标联系方式后即可发起精准接触。

官方回应渠道存疑：邮件通知可能被仿冒

Coinbase将通知发送至用户注册邮箱，这既是法律义务，也构成风险来源：若邮箱已被窃取，消息可能被截获或伪造。因此，任何提及该事件的邮件均不应点击其中链接，应直接通过官方应用或输入官网地址核实信息，避免将访问权限交予未知发送方。

骗局识别关键特征：主动来电与索取敏感信息

真正的客服从不主动联系用户施压。若对方要求提供助记词、私钥或一次性验证码，即表明其意图获取账户控制权。其他警示信号包括域名拼写错误、链接目的地与文字不符、缺乏具体时间依据、要求保密等。这些特征是判断真伪的核心标准。

不可接受的请求：哪些信息绝不能透露

没有任何合法机构需要您的助记词来解冻账户或处理提款请求。一次性验证码仅用于确认登录者身份，一旦提供即等于授权访问。任何要求您将资金转移至“安全保管地址”的行为均为欺诈。自我托管应基于自主决策，而非被动响应外部指令。

Amplitude未公开声明：事件真实性仍待证实

Amplitude的公共状态页面未列出10月27日至28日的安全事件，仅记录了此前的系统维护和延迟问题。其10月22日发布的关于PHP漏洞的通知虽与安全性相关，但未明确关联本次事件。当前所有信息均来自Coinbase单方面披露，供应商尚未作出回应，事件真实性和影响范围仍处于不确定状态。

监管框架适用：GDPR主导报告义务

尽管Coinbase持有欧盟MiCA许可证，但本次事件受《通用数据保护条例》（GDPR）约束。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知受影响者。交易所已完成报告与通知流程，符合合规要求。即使问题源于供应商，责任主体仍为数据控制者，用户可在居住国向数据保护机构提出申诉。

双因素认证应对策略：选择更安全的身份验证方式

短信验证码在联系信息泄露后最易被利用，面临SIM卡劫持与仿冒页面双重威胁。相比之下，身份验证器应用生成的代码在本地设备完成，不受网络传输影响，但仍无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法触发验证，是当前最可靠的第二因素选择。

自我托管：切断供应商影响路径

通过硬件钱包或自建钱包实现自我托管，可使私钥脱离交易所体系，从而不受第三方服务商风险波及。虽然密钥管理责任转移至用户，存在丢失或误购风险，但长期持有者可通过分层策略实现平衡：日常交易保留在合规平台，大额资产则置于自主控制之下。此次事件虽未直接影响资产，却加剧了投资者对持续供应链风险的关注。

后续行动建议：强化安全设置并保持警惕

建议用户立即检查账户安全配置，将短信验证替换为身份验证器或通行密钥；评估长期持仓，考虑迁移至自我托管环境；在未来数周内对任何提及此事件的通讯保持高度怀疑，拒绝任何形式的资金转移或信息索取。核心原则始终不变：此次事件关乎联系信息，而非资产本身，但其衍生风险不容轻视。