币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日凌晨，Coinbase对外披露其合作供应商发生数据安全事故，部分用户的电子邮箱与手机号码被非法获取。尽管账户密码、私钥、交易历史及余额均未暴露，且内部系统未发现异常访问痕迹，但此次事件仍构成显著的隐私风险。

核心风险转向身份可及性而非账户权限

此次事件的本质并非技术突破，而是供应链环节中的信息外泄。攻击者虽无法直接操控账户或转移资产，却能精准定位加密货币用户群体，从而实施高度定制化的社会工程攻击。这意味着，您的收件箱已成潜在目标入口。

分析服务商Amplitude成为数据传输节点

Amplitude作为第三方产品行为分析平台，通过嵌入SDK收集用户使用模式。为实现用户识别，部分数据集包含电子邮件与电话号码等敏感字段。当这些信息与客户原始数据匹配后，便形成可被滥用的完整画像，成为本次泄露的技术起点。

泄露范围存疑：交易所称“少量”，安全机构称超七万

Coinbase仅表示影响范围有限，未公布具体数量。然而，区块链安全公司SlowMist援引一份数据集指出，涉及超过7万个账户的联系方式。该数字尚未获交易所证实，也缺乏独立验证，当前只能接受“从少量到数万”的模糊区间。

数据流经路径即潜在漏洞点

受影响用户将通过电子邮件接收通知，但此渠道本身已被泄露。这造成一种悖论：唯一合法告知方式可能正是伪造者的首选工具。因此，任何含链接的邮件都应保持警惕，建议通过官方网址核实信息，避免点击可疑链接。

伪造支持电话如何运作：利用可信背景制造信任

攻击者常以“检测到异常登录”为由主动拨打电话，引用注册邮箱并编造紧迫情境，诱导用户在仿冒页面输入验证码、助记词或转账至指定地址。此类攻击的成功依赖于已知身份信息与心理压力双重作用。

两大关键特征可识别骗局

真正的客服不会主动发起通话施压；而任何索取助记词、私钥或一次性验证码的行为，本质都是试图获取账户控制权。此外，域名拼写错误、链接显示不一致、时间压力过强、要求保密等均为典型信号。

正规支持团队绝不会索要这些信息

没有任何合法机构需要您提供助记词或一次性代码来协助处理问题。这些凭证仅用于登录验证，一旦提交即等于授权访问。自我托管应基于自主决策，选择经验证的钱包设备，并提前掌握备份流程，而非在对话中接受他人提供的“安全地址”。

Amplitude状态页未记录本次事件

Amplitude官方状态页面列出的是系统维护与延迟问题，未提及10月27日至28日的安全事件。此前关于PHP漏洞的通知也未明确关联此次泄露，目前尚无证据表明其自身系统存在缺陷。事件责任归属仍取决于Coinbase单方面声明，尚未得到供应商确认。

欧盟监管框架下报告义务与责任归属

Coinbase依据卢森堡MiCA许可服务欧洲市场，但此次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构通报，并在高风险情况下通知用户。交易所已履行相关义务，但最终责任仍由数据控制方——即交易所——承担，用户可向所在国数据保护机构申诉。

双因素认证形式差异决定防御强度

短信验证码因依赖移动网络，易受SIM卡劫持与钓鱼页面欺骗；身份验证器应用虽能抵御短信拦截，但仍可能被诱导输入。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造网站无法触发有效认证，是当前最稳健的选择。

自我托管可规避供应商风险

将私钥掌握在自己手中，意味着即使交易所供应商遭侵，也无法触及您的资产。硬件钱包通过专用芯片隔离密钥，确保签名过程不暴露私钥。然而，这也带来保管责任，一旦遗失助记词将永久失去访问权。因此，建议按用途划分资金：日常交易保留在合规平台，长期持有则转入自管体系。

通知渠道单一，需警惕后续骚扰

当前所有通知均通过电子邮件发送，且内容未附带额外验证机制。未来几周内，预计会有大量针对该事件的电话与邮件出现。请务必牢记：任何要求转账、输入助记词或提供验证码的请求均为欺诈行为。事件核心在于联系信息泄露，而非资产损失，这一前提始终如一。