币圈界报道：

交易所供应商遭袭：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase发布官方声明，证实其合作的第三方分析服务商Amplitude遭遇安全漏洞，部分用户的电子邮件地址与联系电话被非法获取。尽管数据外泄，但账户密码、私钥、交易记录及资产余额均未受损，且内部系统未发现异常访问痕迹。

供应链漏洞成新风险源：数据通过服务集成环节外流

此次事件并非针对区块链网络或交易所自身系统，而是源于依赖外部工具包（SDK）的数据收集流程。Amplitude作为产品行为分析平台，需接入用户使用数据以优化服务，而当这些数据包含可识别身份的信息时，便形成潜在泄露点。此次事件中，敏感信息在未经充分脱敏的情况下被传输至第三方服务器，构成典型供应链攻击案例。

泄露范围存疑：官方称“少量”，第三方称逾七万条记录

Coinbase仅表示影响范围有限，未公布具体数量。然而，区块链安全机构SlowMist披露一份据称来自该事件的数据集，涵盖超过7万名用户的联系方式。尽管此数字尚未获得交易所验证，也缺乏独立审计支持，但已引发对事件真实规模的广泛讨论。无论实际人数多少，受影响者仅能通过官方邮件通知确认自身状态。

虚假支持电话如何运作：利用已知信息实施精准诈骗

攻击者一旦掌握用户注册邮箱和手机号码，便可发起高度定制化的社会工程攻击。典型手法包括冒充客服人员，声称检测到可疑登录行为，制造紧迫感并诱导用户点击链接、输入助记词或转账至所谓“安全账户”。此类攻击的核心不在于技术突破，而在于利用信任关系进行心理操控。

三大识别特征：主动来电、索要密钥、施加时间压力

真正客户服务不会主动联系用户施压；任何要求提供助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写错误、链接显示地址与文本不符、问候语泛化、强制保密等均为常见欺诈标志。应始终通过官网直接访问而非点击来信链接。

不可接受的请求：没有合法理由需要您交出私钥或验证码

任何正规平台都不会要求用户提供助记词、私钥或一次性验证码以协助账户操作。这类信息唯一用途是授权访问，一旦泄露即意味着控制权丧失。即使是“资金保管”类说法，也违背自我托管原则——真正的自主管理应基于用户自行选择的钱包与地址，而非由他人指定。

Amplitude官方页面未记录本次事件

截至当前，Amplitude的公开状态页面仅列出10月24日至27日的技术维护与延迟情况，未提及10月27日及28日的安全事故。此前发布的关于PHP漏洞的通知虽与安全相关，但并未说明与此事件存在关联。因此，目前所有信息均源自Coinbase单方面声明，供应商尚未作出回应，事件真实性仍待进一步澄清。

欧盟监管框架下责任归属：控制者仍需担责

尽管Coinbase依据卢森堡MiCA许可证运营，但本次事件适用《通用数据保护条例》（GDPR）。根据法规，数据控制者须在72小时内向监管机构通报，并在风险较高时通知用户。交易所已履行报告义务并发送邮件通知，符合法律要求。即使问题出在供应商端，用户仍可向所在国数据保护机构投诉，权利不受公司注册地限制。

双重验证机制差异：短信代码最脆弱，通行密钥最具防护力

面对联系信息泄露，第二因素安全性至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导而失效；身份验证器应用虽提升安全性，但无法防范钓鱼网站；而通行密钥则具备抗钓鱼能力，其绑定真实域名，伪造站点无法生成有效凭证，是当前最可靠的认证方式。

自托管方案：切断与第三方系统的连接

将私钥掌握在自己手中可彻底规避交易所供应商风险。硬件钱包将密钥存储于独立芯片中，签署过程不暴露密钥内容。虽然这意味着备份与保管责任转移至个人，但长期持有者常采用分层策略：日常交易使用中心化平台，大额资产则转入自我管理的钱包，以平衡便利性与安全性。

应对建议：强化安全设置，警惕后续接触

建议用户立即检查账户安全配置，将短信双因素替换为身份验证器或通行密钥；评估资金分配策略，考虑将非交易用途资产迁移至自托管环境。未来数周内，应提高对涉及此次事件的邮件与来电警觉度，凡要求转账、输入助记词或提供验证码的请求一律视为欺诈。事件本质为联系信息泄露，而非资产被盗，但其衍生风险不容忽视。