币圈界报道：

交易所供应商遭袭：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商遭遇安全事件，确认部分用户的电子邮件地址与手机号码被非法获取。尽管相关数据已流入第三方，但公司强调其核心系统未被入侵，账户密码、私钥、资金余额及历史交易均保持完整，未出现异常访问痕迹。

外部供应链成新威胁：分析服务提供商成数据泄露源头

此次事件的根源指向产品行为分析平台Amplitude。该类服务商通过集成在客户端的SDK收集用户交互数据，为优化应用体验提供支持。当分析过程中包含可识别身份的信息如邮箱或电话时，这些敏感内容便被存储于第三方服务器，构成潜在泄露窗口。

泄露范围存疑：官方称“少量”，安全机构指超七万

Coinbase未公布具体影响人数，仅表示涉及范围有限。然而，区块链安全公司SlowMist披露一份据称真实的数据库，声称涵盖超过7万个账户的联系信息。目前尚无独立验证，双方说法差异显著，实际规模仍待澄清。

信息泄露的本质：从“访问权”到“可达性”的转变

与传统密码泄露不同，此次事件不涉及账户登录权限的丧失。但已知的联系方式使攻击者能精准定位目标，实施高度定制化的社交工程攻击。此类骗局不再依赖广撒网式钓鱼，而是利用真实背景制造可信度，诱导用户主动交出关键信息。

虚假支持来电：典型诈骗话术与识别特征

攻击者常以“检测到可疑登录”为由主动致电，营造紧急氛围，要求用户提供助记词、一次性验证码或转账至所谓“安全地址”。真正客服绝不会主动联系用户施压；任何索取助记词、私钥或验证码的行为皆属高危信号。此外，域名拼写错误、链接不符、缺乏具体时间细节、禁止外部讨论等均为常见骗术标志。

安全防护的关键：拒绝非请求接触，验证渠道真实性

所有关于此次事件的通知均通过邮件发送，这本身构成双重风险——既是最可能被泄露的通信通道，也是伪造消息的温床。用户应避免点击邮件内链接，转而直接访问Coinbase官网或使用官方应用程序核实信息，防止将控制权让渡给攻击者。

多重验证机制应对泄露风险：从短信代码到通行密钥

在联系信息暴露的情况下，短信验证码成为最脆弱环节，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的动态码虽无法防钓鱼，但具备本地生成优势。而通行密钥则具备抗钓鱼能力，因其绑定真实域名，仅在合法网站有效，是当前最稳健的第二因子选择。

终极防御：自我托管与硬件钱包的现实意义

将资产转移至自我托管模式，尤其是使用硬件钱包，可彻底规避交易所及其供应商带来的风险。私钥由用户独立保管，不在任何第三方服务器中留存。尽管需承担密钥丢失或设备欺诈的风险，但对于长期持有者而言，这是一种更根本的安全策略。

监管责任未因外包而免除：GDPR框架下的义务明确

尽管事件发生在供应商端，但作为数据控制方，Coinbase仍需履行《通用数据保护条例》（GDPR）规定的报告义务。其已在72小时内向监管机构申报，并通过邮件通知受影响用户，符合法规要求。消费者可向居住地的数据保护机构提出申诉，权利不受运营注册地影响。

Amplitude状态页空白：事件真实性有待官方回应

Amplitude公开的状态页面未提及本次安全事件，仅列出10月24日至27日的技术维护和延迟情况。此前发布的关于PHP漏洞的公告也未说明与此事关联。因此，当前对事件的描述主要依赖于Coinbase单方面声明，供应商尚未正式回应，真相仍有待揭晓。

行动指南：强化账户安全，防范后续攻击

建议立即检查账户设置，将短信验证替换为身份验证器或通行密钥；评估是否将部分长期持仓移至自我托管环境；未来数周内对任何提及此事件的来电或邮件保持高度警惕，凡要求转账、输入助记词或验证码者一律视为欺诈。