币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase披露其第三方分析服务提供商Amplitude遭遇安全漏洞，造成部分用户联系方式（包括电子邮箱和手机号）被非授权获取。尽管账户内的密码、私钥、交易记录与资金余额均未受损，且内部系统未检测到异常访问，但该事件凸显了外部供应链在数据保护中的脆弱性。

供应链安全危机：数据从服务商流出而非平台本体

此次事件并非针对区块链或交易所核心系统，而是源于第三方服务商的数据处理流程。分析公司Amplitude作为产品行为追踪工具，通过集成于客户端的SDK收集用户使用数据，其中包含可识别身份的信息。当这些数据与用户注册信息关联时，便形成潜在泄露路径，成为本次事件的技术起点。

泄露范围存疑：交易所称“少量”，安全机构指超七万

Coinbase官方表示受影响账户数量有限，未公布具体数字，同时指出其他使用Amplitude服务的客户也受到波及。然而，区块链安全团队SlowMist声称已验证一份涉及逾7万个账户的数据集，虽未确认是否包含敏感凭证，但其规模远超交易所表述。目前尚无独立核实，事件真实影响仍处于模糊区间。

关键风险在于可达性，而非访问权限

泄露的邮箱与电话本身无法直接用于转账或登录，但极大提升了攻击者实施精准社交工程的可能性。拥有目标身份信息的攻击者可模拟支持人员，以“可疑登录”等理由制造紧迫感，诱导用户透露助记词、一次性验证码或进行资金转移。此类攻击的核心威胁是信任的滥用，而非技术突破。

虚假支持电话如何运作：伪装成合规响应

典型骗局模式为：主动致电或发信，提及用户所属平台名称、注册邮箱，并虚构账户异常警报。随后施加心理压力，要求立即执行“安全操作”——如将资金转至指定地址、在伪造页面输入助记词或提供动态验证码。此类行为完全违背正规支持流程，真正客服不会主动发起沟通。

识别骗局的两大核心信号

第一，合法支持团队绝不会主动联系用户施压；第二，任何索取助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接与文字不符、过度笼统的问候语以及禁止外部讨论等特征，均为高危警示。

真正支持方从不索要这些信息

没有任何正规交易所或钱包服务会要求用户提供助记词来解冻账户、取消订单或释放提款。一次性验证码仅用于确认登录者身份，一旦提供即等于授权访问。更不存在“托管保管”资金的说法——所有通过对话中对方提供的地址进行的操作，均属高度可疑，与自我托管原则背道而驰。

Amplitude未公开声明，事件责任归属待定

截至发稿，Amplitude官网状态页面未列出此次事件，仅显示此前数日的系统维护与延迟报告。其10月22日发布的关于PHP漏洞的通告，亦未明确指向当前问题。因此，目前所有信息均基于Coinbase单方面陈述，缺乏供应商自身的确认，事件真实性质与影响程度仍需等待其正式回应。

GDPR适用：数据控制者责任不可推卸

由于Coinbase通过卢森堡监管机构获得MiCA许可，服务于欧盟市场，本次事件受《通用数据保护条例》（GDPR）约束。该法规要求在72小时内向监管机构通报数据泄露，并在构成高风险时通知受影响个体。交易所已履行上述义务，但即便事件源于供应商，最终责任仍由其承担，用户可向所在国数据保护机构提出申诉。

双因素认证应对策略：从短信到通行密钥

在联系信息泄露背景下，传统SMS验证码安全性显著下降，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码本地运行，更具抗干扰能力；而通行密钥则具备防钓鱼特性，仅在真实域名下有效，能从根本上抵御伪造网站攻击。

自我托管：切断供应链依赖的关键路径

将私钥掌握在自己手中，可彻底规避第三方服务商的风险。硬件钱包通过专用芯片隔离密钥，即使设备被侵入也无法提取完整助记词。虽然此举将管理责任转移至个人，但对长期持有者而言，是降低系统性风险的有效手段。建议按用途分层管理资产：日常交易保留在合规平台，长期持仓则转入自主控制环境。

通知渠道唯一：邮件即可能泄露点

Coinbase仅通过电子邮件通知受影响用户，这一方式既符合法律义务，也构成了现实矛盾——通知本身可能来自已被泄露的邮箱。因此，收到相关邮件后，应避免点击其中链接，改用官方网址直接登录核实。消息内容可参考，但切勿让发送者决定您的行动路径。