币圈界报道：

Coinbase披露第三方供应商安全事件：客户联系方式遭泄露，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事故，确认部分用户联系信息（包括电子邮箱和手机号）存在外泄风险。经核查，账户密码、私钥、交易记录及资金余额均未被访问或篡改，且自身系统内未检测到异常登录行为。

供应链漏洞成焦点：非平台攻击，而是第三方数据暴露

此次事件并非针对区块链网络或交易所核心系统的攻击，而是一起典型的供应链安全事件。攻击路径源于第三方服务提供商，反映出企业在依赖外部技术组件时面临的数据管理挑战。尽管影响范围尚未明确，但该类事件正呈现频发趋势，一旦数据流出，即不可逆。

涉事方为产品分析服务商Amplitude，集成代码成数据传输通道

Amplitude作为主流用户行为分析平台，通过嵌入式SDK收集应用使用数据。为实现精准分析，部分集成会同步发送用户身份标识，如电子邮件或电话号码，用于关联企业内部客户档案。这一机制使得敏感信息在未经直接授权的情况下存储于第三方服务器，成为本次泄露的起点。

泄露范围存争议：交易所称“少量”，安全机构指超七万条记录

Coinbase表示受影响账户数量有限，但未公布具体数字；而区块链安全公司SlowMist则声称已验证一份包含逾7万个账户联系信息的数据集，但未确认是否涉及凭证或余额。目前尚无独立证据可佐证任一说法，实际规模仍处模糊区间。对个体用户而言，无论数量多少，唯一确定的方式是收到官方通知。

通知渠道与信任困境：邮件既是通报方式，也是伪造工具

受影响用户将通过电子邮件接收通知，这既是法律义务，也构成了新的风险点。由于邮件地址本身已被泄露，攻击者可利用相同渠道制造仿冒信息，使真实通知难以辨识。因此，建议用户仅通过官网或官方应用程序核实信息，切勿点击任何链接。

社会工程攻击升级：基于已知身份的精准诈骗手法再现

攻击者借助已掌握的邮箱与电话，可发起高度可信的虚假支持来电。典型话术包括声称检测到可疑登录、制造紧迫感并诱导执行转账、输入助记词或提供一次性验证码等操作。此类攻击不依赖技术突破，而是利用人性弱点完成渗透。

识别骗局的两大核心信号：主动联系与索取敏感信息

真正的客户服务不会主动发起通话施压；任何要求提供助记词、私钥或一次性验证码的行为，本质都是试图获取账户控制权。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止对外讨论等均为高危警示信号。

正规支持绝不索要关键凭证

所有合法交易所与钱包服务商均无需用户提交助记词或一次性验证码以协助处理账户问题。这些信息仅用于身份验证，一旦泄露即意味着权限移交。任何要求转移资产至“安全地址”的请求，皆属欺诈。自我托管应基于自主决策，而非被动接受他人提供的“保管”方案。

Amplitude状态页面未更新，责任归属仍待确认

截至当前，Amplitude官方状态页面仅列出10月24日至27日的技术中断与维护事项，并未提及安全事件。其10月22日发布的关于PHP漏洞的通告虽相关，但未表明与本次泄露存在直接关联。目前所有信息均来自Coinbase单方面声明，供应商尚未发布正式回应，事件真相有待进一步披露。

GDPR主导监管框架，欧盟用户权利不受地域限制

尽管Coinbase持有卢森堡MiCA许可证服务于欧盟市场，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求数据控制者在72小时内向监管机构报告泄露，并在构成高风险时通知用户。交易所已履行两项义务。值得注意的是，即使事件发生在供应商端，责任仍由数据控制者承担，用户可向居住国数据保护机关提出申诉。

双因素认证类型差异显著：短信代码最易受攻，通行密钥更具抗骗能力

短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导攻击；身份验证器应用生成本地代码，虽无法防范钓鱼网站，但仍优于短信。通行密钥则具备防钓鱼特性，仅在真实域名下有效，能从根本上抵御伪造登录页面的威胁。

自我托管与硬件钱包：脱离平台后不再受供应商影响

当用户采用自我托管模式，尤其是使用硬件钱包时，私钥完全由个人掌控，不受交易所及其供应商的影响。尽管需自行承担密钥丢失风险，但此类方案能彻底规避因第三方漏洞引发的信息泄露问题。许多投资者选择将长期持仓移出平台，以实现更高等级的安全隔离。

应对策略清晰：强化认证、分离资产、保持警惕

建议用户立即检查账户安全设置，将短信双因素替换为身份验证器应用或通行密钥；评估资金分配，将非交易用途资产转入自我托管；在未来几周内提高警觉，对任何提及此次事件的来电或邮件保持怀疑，拒绝任何形式的转账或信息索取。当前核心事实一致：联系信息泄露，但资产未受损。最终真相，仍需等待Amplitude官方声明。