币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，核心资产未受损

Coinbase于2026年10月28日凌晨通报，其合作供应商在系统中遭遇安全漏洞，造成部分用户联系方式（包括电子邮箱和手机号码）被非授权获取。尽管相关数据已流出，但账户密码、私钥、交易历史及资金余额均未受到波及，且在交易所自身系统内未检测到异常访问行为。

供应链风险凸显：第三方分析服务成数据外泄关键节点

此次事件的源头指向产品分析平台Amplitude，该服务商通过集成于客户端的SDK收集用户行为数据，以支持应用优化。为实现精准用户识别，部分数据包中包含可关联至真实身份的邮箱或电话号码，从而在存储环节形成敏感信息集中点。

泄露范围存疑：交易所称“少量”用户，安全机构指超七万账户

Coinbase仅表示受影响客户数量较少，并未提供具体数字。然而，区块链安全机构SlowMist援引一份数据集指出，涉及账户超过7万个，虽未确认是否包含密钥或余额，但强调该数据集真实性可查。目前尚无独立验证，事件规模仍处于模糊区间。

数据泄露后的主要威胁：精准社会工程攻击的风险升级

泄露的联系方式使攻击者能够实施高度定制化的欺诈行为。他们可利用已知信息伪造支持来电或邮件，编造登录异常等可信理由，诱导用户在仿冒页面输入验证码或助记词。此类攻击不依赖技术突破，而是基于信任操控，因此即使账户本身安全，也面临被欺骗的风险。

虚假支持渠道的典型特征：主动联系与高危请求不可信

真正客服不会主动发起通话施压，也不会要求用户提供助记词、私钥或一次性验证码。任何索取这些信息的行为均属非法，旨在获取账户控制权。此外，域名拼写错误、链接地址不符、缺乏具体时间依据、强制保密等均为常见诈骗信号。

通行密钥优于短信验证码：增强身份验证的安全选择

短信验证码因依赖移动网络而易受SIM卡劫持攻击，安全性较低。相比之下，身份验证器应用生成的代码本地化处理，具备更高抗侵性；而通行密钥则具备防钓鱼能力，仅在真实网站域名下有效，从根本上抵御仿冒页面诱导。

自我托管是根本防护：硬件钱包保障密钥自主掌控

将资产转移至由个人管理的钱包，尤其是使用硬件设备存储私钥，可彻底规避交易所及其供应商的数据风险。虽然这增加了密钥丢失或设备故障的风险，但对长期持有者而言，是降低外部威胁的有效策略。建议按用途划分资金：日常交易保留在合规平台，长期持仓则交由自管钱包保管。

通知渠道受限：邮件成为唯一信息源，亦为攻击入口

Coinbase通过电子邮件向受影响用户发送通知，这一方式既是法律义务，也构成潜在风险——因为邮件地址本身已被泄露。因此，收到相关信息时应保持警惕，切勿点击其中链接，所有操作应通过官方应用或直接输入官网地址完成。

监管责任归属明确：数据控制者始终承担最终责任

根据欧盟GDPR法规，即便事件发生在供应商端，数据控制者（即Coinbase）仍需在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。德国用户可通过本国数据保护机构提出申诉，无论交易所注册地为何处。

Amplitude未公开声明：事件真实性待官方证实

Amplitude的公共状态页面未列出此次事件，仅记录了10月24日至27日的技术维护与延迟问题。此前发布的关于PHP漏洞的通知也未与本次泄露直接关联。当前所有信息均来自Coinbase单方面说明，尚未有供应商方的正式回应，事件细节仍存不确定性。

应对建议：强化验证机制，警惕未来接触

建议用户检查账户第二因素设置，优先采用身份验证器或通行密钥替代短信验证码。同时，评估资金分配策略，将长期持有的资产移至自我托管环境。在未来几周内，对任何提及此次事件的电话或邮件保持高度戒备，凡涉及转账、输入助记词或验证码的请求一律视为诈骗。