币圈界报道：

Coinbase披露供应商数据泄露：客户联系方式外泄但资产未受损

2026年10月28日凌晨，Coinbase对外通报其一家第三方服务提供商遭遇安全事件，部分用户的电子邮件地址与联系电话被非法获取。尽管此次事件波及范围尚存争议，但交易所明确表示，核心账户信息如密码、私钥、交易记录及资金余额均未遭到破坏，且自身系统未发现异常访问行为。

供应链漏洞成新风险源：数据通过分析服务商外泄

本次事件的源头指向产品数据分析平台Amplitude，该企业为多家数字平台提供用户行为追踪服务。其技术实现依赖于嵌入客户端的SDK代码包，用于收集使用数据并上传至其服务器。当这些数据包含可识别身份的信息（如邮箱或手机号）时，便构成敏感个人资料的存储点，一旦防护失效，即可能引发大规模泄露。

泄露范围模糊：交易所称“少量”客户，安全机构指超七万

Coinbase在声明中仅表示影响范围有限，未公布具体数量。然而，区块链安全公司SlowMist援引一份数据集指出，涉及账户超过7万个，且未确认是否包含其他敏感信息。目前双方说法存在显著差异，尚无独立验证结果，事件规模仍处于不确定状态。

联系信息价值高于密码：精准攻击的温床

相较于密码泄露带来的直接登录风险，此次泄露的核心威胁在于“可达性”——攻击者掌握用户身份与联系方式后，可实施高度定制化的社会工程攻击。他们能以真实背景故事发起邮件或电话沟通，制造紧迫感，诱导用户执行转账、输入助记词或提供一次性验证码等不可逆操作。

伪造支持电话的运作机制与识别特征

典型骗局流程包括：主动致电声称检测到可疑登录、引用注册邮箱以建立可信度、施加时间压力要求立即响应。关键识别信号包括：支持团队不会主动联系用户；任何索要助记词、私钥或一次性验证码的行为均属欺诈；链接域名拼写错误、显示地址与文本不符、问候语泛化、禁止向他人咨询等均为高危预警。

真正的客服从不索取敏感凭证

所有正规交易所和钱包服务商均无需用户提交助记词或一次性验证码来处理账户问题。此类请求本质上是访问权限的转移。此外，任何要求将资金转入“安全保管地址”的行为都违反基本安全原则，自我托管应基于自主决策，而非来自外部方的指令。

Amplitude官方状态页未提及本次事件

截至发稿，Amplitude的公开状态页面仅列出10月24日至27日的技术中断与维护公告，未记录27日及28日的安全事故。此前发布的关于PHP漏洞的通知也未明确关联此次事件。因此，当前所有信息均源自Coinbase单方面声明，供应商自身尚未作出回应，事件真实性与责任归属仍待进一步澄清。

GDPR适用而非MiCA：监管义务与用户权利保障

尽管Coinbase持有卢森堡颁发的MiCA许可以服务欧盟市场，但此次数据泄露适用法律为《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在对个人权益构成重大风险时通知受影响者。交易所已履行相关义务，而用户可在居住国向数据保护机构提出申诉，无论公司注册地如何。

双重验证形式差异：短信代码最脆弱，通行密钥更具抗钓鱼能力

在联系信息泄露背景下，第二因素的选择至关重要。短信验证码易受SIM卡劫持或仿冒页面诱导，安全性最低；身份验证器应用虽避免网络传输，但仍无法防范钓鱼攻击；通行密钥则具备强绑定机制，仅在真实域名下有效，能有效抵御伪造网站的欺骗行为。

自我托管规避风险：硬件钱包保障密钥独立性

采用自我托管模式意味着私钥由用户自行保管，不受交易所及其供应商影响。硬件钱包将密钥固化于专用芯片中，即使设备接入网络也无法导出原始密钥，从而实现真正意义上的控制权隔离。尽管需承担遗失或损坏的风险，但长期持有的资产配置宜采取此策略，尤其在供应链频繁暴露漏洞的当下。

应对建议：强化安全设置并保持警惕

建议用户立即检查账户安全设置，将短信双因素替换为身份验证器应用或通行密钥；将非交易用途的长期持仓迁移至自托管环境；警惕未来数周内可能出现的以“数据泄露”为由的主动联络；凡涉及转账、输入助记词或验证码的请求一律视为诈骗。事件本质为联系信息泄露，而非资产被盗，但其衍生的社会工程风险不容忽视。