币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日凌晨，Coinbase正式披露其合作供应商发生数据安全事故。据官方邮件通报，少数用户的电子邮件地址与手机号码被泄露，但账户密码、私钥、交易记录及资金余额均未受损，且交易所系统内部未检测到异常访问行为。

核心风险转移至通信渠道，而非账户本身

此次事件并非针对区块链或账户系统的攻击，而是典型的数据供应链泄露案例。攻击者通过第三方服务提供商获取用户联系方式，从而具备精准实施社交工程攻击的能力。尽管账户本身仍受保护，但收件箱已成为潜在威胁入口。

分析服务商Amplitude成数据存储节点

Amplitude作为产品行为分析平台，通过集成SDK收集用户交互数据。为实现用户识别与画像匹配，部分数据在传输过程中附带了邮箱或电话等敏感信息。这使得该服务成为数据流转的关键环节，一旦被攻破，便可能暴露大量关联用户资料。

泄露范围存争议：交易所称“少量”，安全机构称超七万

Coinbase强调影响范围有限，但未公布具体数字。与此同时，区块链安全公司SlowMist指出，所涉数据集包含超过7万个账户信息，虽未确认是否涉及密钥或余额，但其真实性已获初步验证。目前尚无独立第三方证实此规模，事件实际影响面仍待进一步澄清。

数据外泄后的攻击路径：从可及性到可信度

泄露的联系方式不具备直接访问账户的能力，但极大提升了攻击者的可信度。攻击者可利用已知身份信息，伪造支持电话或邮件，编造登录异常等理由，制造紧迫感，诱导用户透露助记词或一次性验证码，进而完成欺诈操作。

社会工程攻击的两大识别特征

真正的客服不会主动发起联系，也不会要求提供助记词、私钥或一次性验证码。任何索取此类信息的行为均属高危信号。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止向他人透露等均为常见骗局特征。

合法表象下的陷阱：伪装成托管建议

部分骗局会以“帮助您安全保管资产”为由，引导用户将资金转移至指定地址。然而，自我托管应基于自主决策，使用个人生成的钱包与地址。任何来自外部的地址请求都违背了去中心化原则，极有可能是诈骗。

Amplitude状态页面未披露本次事件

截至当前，Amplitude官方状态页面仅列出2026年10月24日至27日的技术中断与维护信息，未提及安全事件。此前发布的关于PHP漏洞的通知也未明确指向此次泄露。因此，事件责任归属仍依赖于Coinbase单方面声明，供应商尚未作出回应。

GDPR适用：监管义务与用户权利并行

尽管Coinbase持有卢森堡MiCA许可，但此次事件受《通用数据保护条例》（GDPR）管辖。根据规定，数据控制者须在72小时内向监管机构报告，并在风险较高时通知用户。交易所已履行相关义务，用户可在居住国向当地数据保护机构提出申诉。

多因素认证应对策略：从短信到通行密钥

短信验证码因依赖手机号而易受SIM卡劫持攻击，风险较高。相比之下，身份验证器应用生成的代码位于本地设备，更具安全性；而通行密钥则具备抗钓鱼能力，仅在真实域名下有效，是当前最可靠的第二因素选择。

自我托管：脱离中心化风险的终极方案

采用自我托管意味着私钥完全由用户掌控，不受交易所及其供应商影响。硬件钱包将密钥存储于专用芯片中，即使设备连接网络也不暴露密钥。虽然存在丢失助记词或购买非正规设备的风险，但长期持币者可通过分层管理策略降低整体风险。

后续行动指南：强化防御，静待官方更新

建议用户立即检查账户安全设置，将短信验证升级为身份验证器或通行密钥；将非交易用资产转移至自我托管环境；在未来几周内高度警惕所有提及事件的来电或邮件，切勿点击链接或提供敏感信息。目前唯一可信赖的信息来源仍是交易所官方邮件，其他渠道需谨慎甄别。