币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase对外披露其合作供应商遭遇安全事件，部分用户的电子邮箱与手机号码被非法获取。尽管相关数据在第三方系统中存放，但交易所强调自身平台未遭入侵，账户密码、私钥、交易记录及资产余额均保持完整。

供应链漏洞成隐患：分析服务商成数据泄露源头

此次事件的根源指向产品分析服务提供商Amplitude。该公司通过集成于客户端的SDK收集用户行为数据，为提升分析精度，常需关联用户真实身份信息。一旦电子邮件或电话号码随使用事件上传至其服务器，便形成敏感数据存储点，成为潜在泄露窗口。

数据范围明确：仅联系信息受损，不涉及登录凭证

Coinbase声明，本次泄露仅限于客户联系方式，未包含任何密码、助记词、一次性验证码或资金余额。此类信息虽无法直接用于账户访问，却极大增强了攻击者实施精准诈骗的能力——他们可基于已知身份，制造极具说服力的虚假场景进行社会工程操控。

影响规模存疑：官方说法与第三方报告严重分歧

Coinbase称受影响用户数量“有限”，未提供具体数字；而区块链安全机构SlowMist则指出存在超过7万个账户的数据集，但未证实是否含敏感凭证。目前尚无独立验证，事件真实影响范围仍处于不确定状态。

通知渠道悖论：唯一合法路径即可能已被攻破

受影响用户将通过电子邮件接收通知，但这正是攻击者最易仿冒的通道。由于邮件地址本身已被泄露，任何声称来自官方的联络都难以验证真伪。建议用户避免点击链接，应主动访问官网核实信息，以防止落入钓鱼陷阱。

社会工程攻击模式：从“可疑登录”到“紧急转账”的话术套路

攻击者利用已知身份信息，伪装成客服人员，声称检测到异常登录行为，制造紧迫感，并诱导用户执行转账、输入助记词或提供验证码等高危操作。这类攻击的核心是信任构建而非技术突破。

正规支持团队绝不会主动发起通话施压。任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据、禁止外部咨询等均为典型欺诈迹象。

真正支持不会索要的信息：助记词与验证码的不可让渡性

没有任何合规机构需要您的助记词来解冻账户或处理提款请求。一次性验证码仅用于确认登录者本人身份，一旦泄露即失效。更不存在“代管资金”至指定地址的合法流程。自我托管应基于自主选择的钱包与地址，而非依赖他人提供的接口。

Amplitude官方页面未提及该事件，责任归属待澄清

Amplitude的状态页面列出的是系统维护与延迟问题，未记录此次安全事件。其此前发布的关于PHP漏洞的通知亦未明确指向本次泄露。因此，当前对事件归因的唯一依据仍是Coinbase单方面声明，尚未获得供应商方的正式回应。

欧盟监管框架适用：GDPR主导数据泄露响应义务

尽管Coinbase在欧洲运营依托卢森堡的MiCA许可，但此次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构通报，并在构成高风险时通知用户。交易所已履行这两项义务，且用户有权向居住地数据保护机构提出申诉。

双重验证机制应对泄露风险：从短信代码到通行密钥的演进

当电话号码暴露后，基于SMS的双因素认证变得脆弱，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码更具抗干扰能力，而通行密钥因其与真实域名绑定特性，具备天然防钓鱼优势，即使在伪造网站也无法生效。

自我托管是根本防御：硬件钱包隔离密钥风险

自我托管意味着私钥完全由用户掌控，不依赖交易所及其供应商。硬件钱包将密钥固化于专用芯片中，签署过程不释放原始信息。虽然承担密钥丢失风险，但能彻底规避第三方系统漏洞的影响。许多用户采用分层策略：日常交易留于交易所，长期持有资产转入自管钱包。

后续行动指南：强化安全设置，防范定向骚扰

建议立即检查账户安全配置，将短信验证升级为身份验证器应用或通行密钥；评估资金分配结构，考虑将非交易型资产转移至自托管环境；未来几周内提高警惕，对所有主动联系的“支持”请求保持怀疑，尤其拒绝任何形式的资金转移或密钥索取。