币圈界报道：

交易所供应商遭入侵：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作的数据分析服务提供商Amplitude遭遇安全漏洞，造成部分用户联系信息（包括电子邮箱和手机号）被非授权获取。尽管相关数据已流出，但账户密码、私钥、交易明细及资产余额均未在平台系统内被访问或篡改。

数据泄露源头锁定为第三方分析服务商

此次事件并非针对区块链网络或交易所核心系统的攻击，而是源于外部服务提供商的数据管理疏漏。作为产品行为分析工具，Amplitude通过集成在客户端的SDK收集用户使用数据，其中包含可识别身份的信息，如电子邮件与电话号码，从而实现与客户数据库的匹配。该机制使得一旦供应商发生泄漏，敏感信息便可能被暴露。

泄露范围存疑：官方称“少量”，第三方指超七万账户

Coinbase表示受影响用户数量有限，但未公布具体数字。与此相对，区块链安全机构SlowMist披露一份据称来自本次事件的数据集，涉及超过7万个账户的联系信息。目前尚无独立验证，也未确认是否包含密码或余额信息。因此，实际影响规模仍处于模糊区间，需等待进一步澄清。

联系信息泄露带来新型威胁：精准化社会工程攻击兴起

相较于密码泄露带来的直接访问风险，此次事件的核心隐患在于“可达性”提升——攻击者可利用已知的邮箱与电话号码，向目标发起高度定制化的欺诈行为。例如，伪装成客服人员，声称检测到异常登录，制造紧迫感并诱导用户提供助记词、一次性验证码或进行转账操作。

伪造通信渠道：通知本身成为攻击入口

由于受影响用户将通过邮件接收通知，而该邮箱正是泄露内容之一，这形成了一个悖论：唯一合法的告知方式，恰恰是最易被仿冒的路径。因此，任何含有链接或要求行动的邮件都应保持高度警惕，建议直接通过官方应用或输入官网地址核实信息，避免点击未知来源链接。

三大特征揭示骗局本质：主动来电与索取密钥皆为警报

真正的支持团队不会主动致电施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间点、强制保密等均为典型欺诈信号。

正规支持绝不会索要这些关键信息

没有任何合法机构需要您的助记词来解冻账户或处理提款请求。一次性验证码仅用于确认登录身份，一旦提供即等于授权他人访问。同样，要求您将资金转移至“安全保管”地址的做法完全违背自我托管原则——真正自主的钱包必须由您自行创建与管理。

Amplitude状态页未公开该事件，责任归属待定

截至发稿，Amplitude官方状态页面未提及此次安全事件。其列出的维护记录集中于10月24日至27日的技术中断与数据延迟问题，且仅在10月22日发布关于PHP漏洞的通告，未明确关联当前事件。因此，事件归因目前仅基于Coinbase单方面声明，尚未获得供应商自身证实。

欧盟合规框架下：GDPR主导信息披露义务

尽管Coinbase在欧洲运营依赖卢森堡颁发的MiCA许可，但本次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求数据控制者在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行这两项义务，但法律责任仍由其承担，即便漏洞发生在第三方环节。

双重验证机制应对泄露后风险：通行密钥优于短信代码

在联系信息外泄背景下，双因素认证形式的选择至关重要。短信验证码因依赖移动运营商，易受SIM卡劫持攻击；而身份验证器应用生成的代码虽不防钓鱼页面，但仍具一定防护力。最有效的方案是采用通行密钥或物理安全密钥，因其与真实网站域名绑定，可在仿冒站点失效，具备抗钓鱼能力。

自我托管：切断供应链风险的关键路径

若用户将私钥掌握在自己手中，尤其是通过硬件钱包存储长期持有资产，则无需担忧任何交易所供应商的安全问题。这类设备将密钥隔离于专用芯片中，即使设备被接入网络，也不会暴露原始密钥。然而，这也意味着风险完全转嫁至用户自身——助记词丢失无法恢复，劣质设备可能植入后门。

多层防御策略：强化账户安全与防范未来攻击

建议立即检查账户设置，将短信验证码替换为身份验证器应用或通行密钥；将非日常交易的资金移出中心化平台，转入自我托管环境。同时，对未来数周内可能出现的自称“安全提醒”的邮件或来电保持高度戒备，凡涉及转账、输入助记词或提供验证码者，一律视为诈骗。

总体而言，本次事件本质是一次联系信息泄露，而非资产被盗。尽管规模尚存争议，且供应商未发声，但核心结论清晰：用户应提高警惕，以不变应万变，拒绝一切未经请求的主动接触。