币圈界报道：

Coinbase披露供应商安全事件：客户联系方式遭泄露，核心资产无恙

2026年10月28日凌晨，Coinbase正式通报其一家第三方服务提供商遭遇安全事件，确认部分用户的身份联络信息（包括电子邮箱与手机号码）被非法获取。尽管相关数据在交易所系统内未出现异常访问痕迹，且账户密钥、交易记录及余额均保持完整，但这一事件仍引发对潜在社交工程攻击的广泛警觉。

第三方分析平台成数据泄露源头，非交易所自身系统受损

此次事件的根源指向产品数据分析服务商Amplitude。该公司通过集成于客户端的应用程序开发工具包（SDK），收集用户行为数据以优化服务体验。为实现用户识别，部分数据在传输过程中附带了可识别身份的信息，如电子邮件或电话号码，从而形成敏感数据存储点。该过程虽属行业常规，却也构成了供应链安全的薄弱环节。

泄露范围存疑：交易所称“少量”客户，安全机构指超七万账户

Coinbase在声明中表示受影响用户数量有限，但未提供具体数字。与此相对，区块链安全公司SlowMist援引一份数据集指出，涉及账户超过7万个，且确认内容包含联系信息，但不涉及密码或资产详情。目前双方说法尚未统一，亦无独立验证机制，因此事件实际影响规模仍处于不确定状态。

联系信息外泄本质：攻击者获得精准接触路径而非账户权限

与传统密码泄露不同，此次事件的核心风险在于“可达性”而非“访问权”。攻击者掌握确切邮箱与号码后，可实施高度定制化的欺诈行为，例如冒充客服声称检测到异常登录，制造紧迫感并诱导用户提供助记词、一次性验证码或转账至所谓“安全地址”。此类攻击绕过技术防线，直击人性弱点。

官方通知渠道成双重风险：邮件既是告知源也是伪造目标

Coinbase计划通过电子邮件向受影响用户发送通知，这使得合法通信渠道本身成为仿冒攻击的重点对象。由于消息内容可能已被泄露，任何来自相同邮箱的后续邮件都需谨慎对待。建议用户仅通过官方应用或直接输入官网地址核实信息，切勿点击邮件内链接。

识别骗局的两大关键信号：主动联系与索取敏感凭证

真正的客户服务不会主动发起通话施压，更不会要求提供助记词、私钥或一次性验证码——这些信息一旦泄露即意味着完全控制权的移交。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据、禁止与他人讨论等特征，均为典型欺诈标志。

所有正规机构均不会索要核心凭证

无论是交易所还是钱包服务商，均无需助记词来解锁账户或处理提款请求。一次性验证码仅用于验证登录者本人身份，不应由任何人索取。任何要求将资金转移至外部地址的行为，皆属高危诈骗。自我托管应基于自主决策，使用自建钱包与生成地址，而非依赖他人提供的收款地址。

Amplitude未在状态页披露该事件，责任归属尚待澄清

截至事件通报时，Amplitude的公开状态页面仅列出10月24日至27日的技术中断与维护记录，未提及任何安全漏洞或数据泄露。此前发布的关于PHP语言漏洞的通知也未明确关联本次事件。当前信息表明，该事件的责任认定仍仅基于Coinbase单方面声明，供应商尚未发布独立说明，真相有待其正式回应。

GDPR管辖下的合规义务：报告与通知流程依法执行

尽管Coinbase持有欧盟MiCA许可证服务于欧洲市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行这两项义务，表明其在法律框架下完成相应响应流程。用户可在居住国向当地数据保护机构提出申诉，不受企业注册地限制。

双因素认证形式差异决定防护强度

短信验证码因依赖移动网络而最易受SIM卡劫持或仿冒页面诱导影响；身份验证器应用虽能抵御中间人攻击，但对钓鱼网站无效；通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法生成有效凭证，是当前最可靠的第二因素选择。

自我托管可规避供应商风险，但需承担密钥保管责任

将私钥掌握在自己手中，可彻底避免因第三方服务漏洞导致的资产风险。硬件钱包通过专用芯片隔离密钥，即便在签名过程中也不会暴露，是实现真正自主控制的有效工具。然而，丢失助记词即永久失联，采购来源不明设备也可能引入恶意固件。因此，建议按用途分层管理：日常交易使用交易所账户，长期持仓则转入自管钱包。

应对策略：强化安全设置，警惕未来接触，静待权威更新

建议用户立即检查账户安全配置，优先将短信验证升级为身份验证器应用或通行密钥；评估是否将部分资产迁移至自我托管环境，并参考硬件钱包对比指南了解芯片性能、恢复机制与供应链安全性。在未来数周内，应提高对提及此事件的邮件和来电的警惕性，凡涉及转账、输入助记词或验证码的请求，一律视为欺诈行为。目前唯一确定的是：此次事件关乎联系信息，而非资产本身，其余细节仍需等待官方进一步披露。