币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日凌晨，Coinbase对外披露，其合作供应商在近期遭遇信息安全事件，导致部分用户的电子邮箱和手机号码被非法获取。尽管相关数据未涉及账户密码、私钥或资金余额，且交易所系统本身未发现异常访问痕迹，但这一事件仍揭示了第三方服务链中的潜在脆弱性。

供应链漏洞成焦点：非平台自身失守，而是外部服务端口受损

此次事故并非针对区块链网络或钱包系统的直接攻击，而是源于一家数据分析服务商——Amplitude的技术基础设施问题。该平台通过集成于客户端的SDK收集用户行为数据，并在必要时关联个人身份信息以实现精准分析。当这些敏感字段被传输至外部服务器时，一旦防护失效，便构成数据泄漏源头。

泄露范围存疑：官方称“少量”，安全机构指超七万条记录

Coinbase在声明中表示影响范围有限，但未公布具体数量。与此相对，区块链安全公司SlowMist援引一份数据集指出，受影响账户超过7万个，尽管尚未验证是否包含密码或余额信息。目前尚无独立证据能确认任一说法，因此事件规模仍处于不确定状态。

联系信息即风险入口：社会工程攻击的精准跳板

相较于传统密码泄露带来的“权限威胁”，本次事件的核心风险在于“可达性”提升。攻击者可利用已知的邮箱与电话号码，实施高度定制化的钓鱼行为，例如冒充客服声称检测到异常登录，诱导用户点击恶意链接或提供验证码，从而完成身份冒用。

虚假支持电话的运作逻辑：信任伪装下的信息窃取

典型的骗局模式包括主动来电或发信，提及特定平台名称、注册邮箱，并编造紧急安全警报。其核心策略是制造时间压力，迫使用户立即执行转账、输入助记词或提供一次性代码等不可逆操作。此类攻击的成功率往往取决于受害者对“可信来源”的误判。

识别诈骗的两大关键信号：主动联系与索取敏感凭证

真正的客户服务从不主动发起沟通；任何要求提供助记词、私钥或一次性验证码的行为，均属于严重违规。此外，域名拼写错误、链接地址与显示文本不符、缺乏具体时间依据、禁止向他人咨询等特征，也应引起警惕。

合法支持不会索要的关键信息：助记词与验证码的本质用途

无论何种场景下，助记词和一次性验证码都仅用于验证登录身份，绝不能作为“解冻账户”或“转移资产”的工具。任何要求此类信息的请求，皆为试图获取访问权限的欺诈行为。自我托管应基于自主决策，而非依赖他人提供的地址或指令。

Amplitude官网未公开事件：责任归属尚无第三方佐证

截至发稿，Amplitude的公共状态页面仅列出10月24日至27日间的服务中断和技术维护公告，未提及此次数据泄露。此前关于PHP语言漏洞的通知也未明确指向当前事件。因此，目前所有指控均来自Coinbase单方面陈述，供应商尚未作出回应，真相仍有待进一步澄清。

欧盟监管框架适用：GDPR主导报告义务，而非MiCA

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但此次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构通报，并在风险较高时通知受影响个体。交易所已履行通知程序，且消费者可在居住国提起申诉，不受公司注册地限制。

双因素认证应对策略：短信代码最脆弱，通行密钥最具抗骗能力

在联系信息暴露的前提下，选择更安全的第二重验证方式至关重要。短信验证码因依赖移动运营商而易受SIM卡劫持攻击；身份验证器应用虽可抵御此类威胁，但仍可能被仿冒登录页诱导使用；唯有通行密钥或硬件安全密钥具备抗钓鱼特性，因其绑定真实域名，伪造网站无法触发有效认证。

自我托管：绕过第三方风险的终极防线

将私钥掌握在自己手中，意味着资产不再受制于交易所及其供应商的安全状况。硬件钱包通过物理隔离保存密钥，即使设备连接网络也无法导出原始助记词。然而，这也带来了保管责任的转移——遗失或损坏即永久损失。因此，多数用户采取分层策略：日常交易保留在合规平台，长期持有则转入自管钱包。

后续行动建议：强化安全设置，严防主动接触

建议用户立即检查账户安全配置，将短信验证替换为身份验证器应用或通行密钥；评估资金分配结构，将非交易类资产移至自我托管环境；未来几周内保持高度警惕，拒绝任何形式的转账指令或助记词索取。目前事件本质仍属联系信息泄露，而非资产被盗，但风险等级不容忽视。