币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，核心资产无损

2026年10月28日凌晨，Coinbase正式通报其一家第三方服务提供商遭遇安全事件，造成部分用户联系方式（包括电子邮箱与手机号）被非法获取。尽管相关数据已流出，但账户密码、私钥、交易记录及资产余额均未在交易所系统内被访问或篡改。

数据泄露源头指向分析服务商Amplitude

此次事件的涉事方为Amplitude——一家专注于用户行为分析的服务平台。该类公司通过集成于客户端的SDK收集使用数据，以帮助产品优化体验。当分析过程中引入真实身份标识如邮箱或电话时，这些敏感信息便会被存储在供应商端，成为潜在的数据出口。

Coinbase将事件时间定位在10月27日至28日，并明确指出责任不在自身系统，而是由其合作的Amplitude服务链路引发。据披露，其他采用相同服务的客户也可能受到影响，表明此非孤立个案。

泄露范围仅限联系信息，不涉及登录凭证

交易所声明，本次泄露仅涉及少量用户的通信数据，未公开具体影响人数。关键的是，所有账户相关的认证信息——包括密码、助记词、一次性验证码和资金余额——均未被波及。

这一区别至关重要：邮箱与电话本身无法直接用于转账或账户接管，但极大提升了攻击者实施精准诈骗的可能性。他们可利用已知身份背景，制造高可信度的虚假支持场景，诱导用户主动交出权限。

7万账户说法浮现：规模争议尚未定论

关于受影响数量，存在显著分歧。Coinbase坚持“少量”表述，拒绝提供确切数字；而区块链安全机构SlowMist则援引一份声称真实的数据库，指称涉及超过7万用户，但未证实是否包含密钥或余额。

目前尚无独立验证手段，因此事件影响范围仍处于模糊区间。对个体而言，无论实际数字是数千还是七万，唯一确定的方式仍是收到官方通知，且该通知仅通过电子邮件渠道送达。

信任链条断裂：通知渠道亦成攻击入口

Coinbase表示将通过邮件向受影响用户发送通知，并已向监管机构报告事件。然而，这一做法带来悖论：最可靠的告知方式，正是可能已被泄露的邮箱地址。同时，该渠道也成为伪造者模仿合法沟通的温床。

因此，即便收到提及事件的邮件，也切勿点击其中链接。所有信息应通过官方应用或直接输入官网域名核实，避免将访问权交予未知发送方。

社会工程骗局的运作机制：从可信度到操控

联系信息泄露使社会工程攻击更具针对性。攻击者能准确称呼用户姓名、知晓注册邮箱，并虚构“检测到异常登录”等情节，迅速建立信任感，再施加紧迫压力，诱导执行不可逆操作。

典型套路包括要求转账至“安全账户”、在仿冒页面输入助记词，或提供一次性验证码。此类行为的本质是诱使用户自愿放弃控制权，而非突破技术防线。

识别骗局的两大核心特征

真正的客服不会主动发起通话或邮件施压。任何索取助记词、私钥或一次性验证码的行为，本质上都是试图获取账户访问权限。此外，拼写错误的域名、不符的链接目标、泛化问候语、无依据的时间限制，以及禁止与他人讨论的要求，均为可疑信号。

绝对不可透露的信息：来自官方的底线

没有任何正规交易所会要求用户提供助记词、私钥或一次性验证码来协助解冻账户、取消订单或释放资金。此类请求必为欺诈。同样，任何要求将资产转入“临时保管地址”的行为，皆违背自我托管原则。

自我托管需基于自主决策：选择自己设置的钱包，生成独立助记词，而非依赖他人提供的地址。参考权威钱包比较指南，重点关注备份机制、恢复流程及支持的区块链类型。

Amplitude状态页未记录此次事件

若尝试交叉验证，会发现Amplitude的公共状态页面列出的是10月24日至27日的技术中断与维护记录，涵盖数据摄入延迟与数据中心调整，却未提及27日至28日的安全事件。

其唯一的安保公告发布于10月22日，涉及PHP语言漏洞，但强调自身服务不受影响，并正与第三方协作加固防护。目前尚无证据表明该公告与本次泄露有关。因此，事件责任归属仍依赖于Coinbase单方面声明，供应商尚未作出回应。

GDPR适用性：欧盟监管框架下的义务履行

Coinbase凭借卢森堡颁发的MiCA许可证服务于欧盟市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。

Coinbase已履行上述义务。值得注意的是，即使事件源于供应商，最终责任仍由数据控制者——即交易所——承担。用户可在居住国向当地数据保护机构提出申诉，权利不受运营地点限制。

双因素认证的抗风险能力差异

在联系信息泄露背景下，第二重验证方式的选择尤为关键。短信验证码因依赖移动网络，易受SIM卡交换或仿冒页面诱导攻击，属于较弱选项。

身份验证器应用生成的代码虽不依赖短信，但仍无法防范钓鱼页面。而通行密钥（Passkey）具备抗钓鱼特性，因其与真实网站域名绑定，仅在合法域名下有效，从根本上杜绝了伪装欺骗。

自我托管：切断外部供应链的风险路径

自我托管意味着私钥完全由用户掌控，不经过交易所或其供应商。硬件钱包作为典型工具，将密钥存储于专用芯片中，签署过程也不暴露密钥内容。

这种模式虽提升安全性，但也转移了风险：助记词丢失即永久损失，劣质硬件钱包也可能植入后门。因此，多数投资者采取分层策略：日常交易使用持牌交易所，长期持有资产则转入自管钱包。

就本次事件而言，由于未涉及密钥或余额，资金安全并未受损。促使用户重新评估资产配置的动因更多源于供应商频繁曝出问题的规律性，而非单一事件本身。

官方通知仅通过邮件传达，警惕后续接触

建议用户加强账户安全措施：检查并升级双重验证方式，将短信代码替换为身份验证器应用或通行密钥。同时，考虑将非交易用途的资产转移至自我托管环境，参考硬件钱包对比指南了解芯片性能、恢复机制与供应链透明度。

未来数周内，预计会有大量以“事件通知”为名的邮件与来电出现。请务必保持警惕：任何要求转账、输入助记词或提供验证码的请求，一律视为诈骗。

总体来看，这是一起聚焦联系信息而非资金本身的事件，交易所立场始终一致。当前仍有两个不确定点：实际影响规模（双方说法悬殊），以及Amplitude自身的正式回应。在此期间，应等待权威声明，切勿响应任何未经请求的沟通。