币圈界报道：

Coinbase确认第三方服务商数据泄露，客户联系方式外泄但资产安全

2026年10月28日凌晨，Coinbase对外披露其合作供应商发生信息安全事件，部分用户的电子邮箱与手机号码被非法获取。尽管账户密码、私钥、交易历史及余额均未遭篡改，且交易所系统本身未发现异常访问痕迹，但此次事件仍暴露了数字生态中供应链管理的深层脆弱性。

数据泄露源头指向分析服务提供商Amplitude

此次事件涉及的第三方为Amplitude，一家专注于产品行为分析的服务商。该类平台通过集成SDK收集用户交互数据以优化应用体验。在实现精准追踪的过程中，若同时采集并存储用户的邮箱或电话等可识别信息，便形成潜在的数据集中点。此次泄露即源于此类附加信息的非预期暴露。

泄露范围存争议：官方称“少量”，安全机构指超七万账户

Coinbase方面表示受影响用户数量有限，未公布具体数字，同时强调未涉及任何敏感凭证。然而，区块链安全公司SlowMist援引一份数据集指出，至少有超过7万个账户的联系信息可能已流出。目前双方说法尚未统一，亦无独立第三方验证，事件真实影响面仍待进一步澄清。

核心风险不在账户访问，而在主动接触的可信度被利用

此次泄露的关键威胁并非直接盗取资金，而是使攻击者具备高度针对性的沟通能力。掌握用户身份与联系方式后，诈骗者可伪造来自交易所的权威信函或来电，构建极具说服力的虚假场景，诱导用户自愿交出助记词、验证码或进行转账操作。

通讯渠道成双重隐患：通知本身也可能被仿冒

由于受影响用户将通过电子邮件接收正式通知，而该邮箱正是泄露信息之一，因此消息来源的真实性面临挑战。攻击者可利用相同渠道制造假通知，诱导用户点击恶意链接。建议所有用户仅通过官方网址或应用程序核实信息，切勿轻信邮件中的链接。

社会工程攻击的典型模式与识别特征

攻击者常以“检测到异常登录”为由主动致电或发信，制造紧迫感，并要求执行不可逆操作，如转移资产至“安全地址”或输入助记词。真正客服不会主动发起联系；任何索取助记词、私钥或一次性验证码的行为，皆属于高危欺诈信号。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据等均为常见伪装迹象。

合法服务与恶意行为的边界：哪些请求绝对不应回应

没有任何正规机构会要求用户提供助记词或私钥来协助解冻账户或处理提款。一次性验证码仅用于验证登录者身份，一旦提供即等于授权访问。更不存在“代管余额”的合法流程。所有由外部方提出的资金转移指令，无论包装如何专业，均应视为诈骗。

Amplitude官方状态页未记录此次事件

截至当前，Amplitude的公共状态页面仅列出10月24日至27日间的技术维护与延迟情况，未提及任何安全事件。此前于10月22日发布的关于PHP漏洞的通知，虽与安全相关，但并未明确关联本次泄露。因此，事件责任归属仍依赖于Coinbase单方面声明，尚无供应商自身确认。

欧盟数据法规框架下的合规义务与责任归属

尽管Coinbase持有卢森堡颁发的MiCA许可，但本次事件适用的是《通用数据保护条例》（GDPR）。根据该法规，数据控制者需在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。交易所已履行通知义务，但最终责任仍由其承担，即便问题源自供应商。

双因素认证类型在泄露后的防护效能差异

短信验证码因依赖移动网络，在号码已知的情况下最易被劫持，存在SIM卡交换与仿冒页面双重风险。身份验证器应用生成的代码虽更安全，但仍无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法调用，是当前最可靠的第二因子选择。

自我托管与硬件钱包：脱离中心化系统的根本防御策略

将私钥完全掌握在自己手中，可彻底规避交易所及其供应商的安全风险。硬件钱包将密钥隔离于专用芯片内，即使设备被物理接触也无法提取。虽然这增加了管理复杂性与丢失风险，但对于长期持有的资产而言，仍是抵御系统性漏洞的有效手段。

后续行动建议：强化安全设置与保持警惕

建议用户立即检查账户安全配置，将短信验证升级为身份验证器应用或通行密钥。对于非日常使用的资产，考虑移入自我托管环境。未来数周内应提高警觉，凡涉及资金转移、助记词输入或验证码索取的请求，一律视为可疑。当前事件的核心本质是联系信息泄露，而非账户入侵，因此无需恐慌，但必须采取预防措施。