币圈界报道：

交易所供应商遭入侵：用户联系方式外泄但资产无虞

2026年10月28日，Coinbase披露其合作供应商遭遇信息安全事件，部分用户注册的电子邮箱与手机号码被非授权获取。尽管数据暴露，但系统内部并未检测到异常登录或密钥泄漏，账户密码、交易历史及资产余额均保持完整。

供应链漏洞成新风险源：分析服务商成为攻击跳板

此次事件指向产品行为分析平台Amplitude，该服务通过嵌入客户端的SDK收集用户交互数据。为实现精准分析，部分数据包含可识别身份的联系方式，从而在供应商端形成敏感信息存储点。此次泄露即源于此类数据在第三方系统中的不当留存。

数据范围明确：仅限通信渠道，不涉及访问凭证

Coinbase强调，泄露内容仅涵盖电子邮件地址与电话号码，未包含任何密码、助记词、私钥或账户余额。这意味着攻击者无法直接操控账户，但可利用已知身份信息实施高度定制化的社交诱骗，提升诈骗成功率。

事件规模存争议：官方称“少量”，安全机构指超七万条记录

交易所未公布具体影响人数，仅表示为“有限范围”。然而，区块链安全团队SlowMist声称已验证一份涉及逾7万个账户的数据集，虽未确认是否含敏感凭证，但其规模远超官方表述。目前尚无独立核实，事件真实影响仍待进一步澄清。

通知渠道成双刃剑：邮件既是通报方式也是仿冒工具

Coinbase计划通过电子邮件向受影响用户发送通知，这一路径本身构成潜在风险——因邮件地址已被泄露，攻击者可借此伪装成官方沟通。因此，所有含链接的邮件均应谨慎对待，建议通过官网或应用内渠道核实信息真实性。

社会工程攻击升级：基于真实信息的精准欺诈

攻击者可利用已知的邮箱和注册信息，制造“账户异常登录”等可信场景，诱导用户主动提供验证码、助记词或转账至所谓“安全账户”。这类攻击不再依赖广撒网式钓鱼，而是基于真实背景进行定向施压。

三大特征识破骗局：主动联系、索要密钥、制造紧迫感

真正的客服不会主动致电施压；任何要求提供助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写错误、链接与显示文本不符、缺乏具体时间细节、禁止外部讨论等均为典型欺诈特征。

官方支持绝不会索取这些信息

正规交易所从不索要助记词、私钥或验证码以协助解封账户或处理提款。此类请求本质上是权限获取行为。即便对方声称“代管资产”，也应警惕——自我托管必须由用户自主决策，任何来自外部地址的指令均不可信。

Amplitude未公开声明：事件责任归属仍存疑

Amplitude官方状态页面列出的是技术中断与维护公告，未提及此次数据泄露事件。其10月22日发布的关于PHP漏洞的通知也未明确关联此事件。当前唯一信息来源为Coinbase单方面声明，供应商尚未回应，事件真实性与影响范围仍需等待其正式发声。

GDPR框架下监管义务：报告与通知双重合规

尽管Coinbase持欧盟MiCA许可运营，但本次事件适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行上述义务，相关责任主体仍为平台本身。

多重认证机制应对泄露：短信代码最脆弱，通行密钥最安全

在联系信息外泄背景下，短信验证码面临SIM卡劫持与仿冒页面双重威胁。相比之下，身份验证器应用生成的代码具备本地性优势，但仍可能被诱导输入。通行密钥则通过与真实域名绑定实现抗钓鱼能力，是当前最可靠的第二因素选择。

自我托管：脱离中心化系统的根本防护

将私钥掌握在自己手中可彻底规避交易所供应商风险。硬件钱包将密钥隔离于专用芯片，即使设备连接网络也无法提取原始密钥。虽然自托管带来保管责任，但长期持有者可通过分层管理策略实现风险分散——日常交易使用交易所，核心资产则由个人掌控。

后续行动建议：强化安全设置并警惕潜在骚扰

建议用户立即检查账户安全配置，将短信验证替换为身份验证器或通行密钥。对于非交易用途的资金，考虑迁移至自我托管环境。未来数周内，若收到提及此次事件的来电或邮件，务必保持警惕，拒绝任何转账或信息索取请求。事件本质为通信数据泄露，而非账户被盗，但其衍生风险不容忽视。