币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其合作供应商发生数据安全事故。据官方邮件披露，少数用户的电子邮件地址与联系电话被非法获取，但账户密码、私钥、资金余额及历史交易均未出现异常，交易所系统本身亦未发现越权访问痕迹。

核心风险转向通信渠道，而非账户本身

此次事件并非针对区块链协议或钱包密钥的攻击，而是典型的数据供应链漏洞。攻击者通过第三方服务提供商获取用户联系信息后，可精准实施定向骚扰，利用已知身份进行高可信度伪装，进而诱导用户执行危险操作。

Amplitude：连接平台与用户行为分析的关键中间层

Amplitude作为主流产品数据分析服务商，依赖客户端集成的SDK收集用户交互行为。为实现用户身份匹配，部分数据会包含邮箱或手机号等敏感字段。一旦此类信息在供应商端存储，便构成潜在泄露源头。本次事件时间点锁定于10月27日至28日，且影响范围波及多个使用该服务的客户，表明非单一目标攻击。

泄露内容限定于联络方式，不涉及登录凭证

Coinbase明确指出，仅涉及联系信息，未包括密码、助记词、交易明细或账户余额。尽管这些数据无法直接用于转账或登录，但其价值在于提升诈骗成功率——攻击者可借助真实信息构建可信背景，从而绕过心理防线。

事件规模存争议：官方称“少量”，第三方声称超7万条

Coinbase未公布具体受影响账户数量，仅以“少量”概括。然而，区块链安全机构SlowMist援引一份数据集，指认涉及超过7万个账户的联系信息，但未确认是否包含其他敏感数据。目前尚无独立验证，事件真实影响范围仍待进一步澄清。

通知路径成双刃剑：唯一合法渠道即潜在风险源

Coinbase将通知发送至用户注册邮箱，符合法律义务，但也使该邮箱成为攻击者首选目标。由于消息本身可能已被窃取，任何链接点击都存在被引导至仿冒页面的风险。建议用户通过官网或应用内渠道主动核实，避免点击来信中的外部链接。

社会工程骗局的核心机制：从“知道你”到“操控你”

接触信息泄露后，攻击者可制造高度逼真的虚假支持场景。常见套路包括声称检测到异常登录、营造紧急氛围，并要求提供助记词、一次性验证码或向指定地址转账。此类攻击不依赖技术突破，而依赖心理操控。

识别骗局的两大关键信号

真正客服不会主动发起通话施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，拼写错误域名、链接显示与文本不符、缺乏具体细节、强制保密、时间压迫等均为典型预警特征。

正规支持绝不会索要这些信息

任何合法机构均无需您的助记词解锁账户或处理提款请求。一次性验证码仅用于确认登录者身份，若被索取即意味着对方正试图接管账户。自我托管需自主选择钱包并生成地址，任何由他人提供的“安全地址”皆属欺诈。

Amplitude官方状态页未记录本次事件

截至发稿，Amplitude公共状态页面未列出10月27-28日的安全事件。此前仅发布关于PHP漏洞的通告，且声明自身服务不受影响。当前事件责任归属完全依赖Coinbase单方面陈述，尚未获得供应商方确认，构成重大不确定性。

欧盟监管框架下的合规义务解析

Coinbase依据卢森堡CSSF颁发的MiCA许可服务于欧盟市场。但此次事件适用《通用数据保护条例》（GDPR），要求72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行相关程序，但最终责任仍由数据控制者——即交易所——承担，用户有权向居住国数据保护机关投诉。

双重认证形式差异：短信代码最脆弱，通行密钥最具防护力

短信验证码易受SIM卡劫持与钓鱼页面诱导，风险较高；身份验证器应用虽能抵御网络传输拦截，但仍可能因用户误输入而失效；通行密钥则具备抗钓鱼能力，其绑定真实网站域名，伪造页面无效，是当前最可靠的第二因素。

自我托管：切断外部攻击路径的终极手段

通过硬件钱包或自建钱包实现自我托管，可确保私钥不在交易所服务器或其供应商处留存。即使供应商发生泄露，也无法触及用户资产。但代价是风险转移至个人，需妥善保管助记词与设备，建议按用途分仓管理：日常交易用交易所，长期持有交由自己保管。

Coinbase数据泄露：唯一通知方式为电子邮件

强化账户安全：检查当前启用的第二因素类型，优先更换短信验证码为身份验证器应用或通行密钥。

规划资产隔离：评估哪些资金无需频繁交易，逐步转入自行管理的钱包，参考硬件钱包对比指南关注芯片安全性、恢复机制与供应链透明度。

提高警惕：未来数周内应防范以此次事件为由的来电与邮件，凡要求转账、输入助记词或提供验证码者，一律视为诈骗。

总体而言，这是一起以联系信息为核心、未波及资产安全的事件。尽管实际影响范围仍有分歧，且供应商未发声，但核心结论清晰：用户应保持警觉，拒绝一切未经主动发起的外部接触，等待官方后续公告。