币圈界报道：

Coinbase披露第三方服务商数据泄露：客户联系方式外泄但资产未受威胁

2026年10月28日凌晨，Coinbase官方通报其合作供应商遭遇安全事件，部分用户的电子邮箱与手机号码被非法获取。尽管交易所系统内部未发现异常访问痕迹，且账户密码、私钥、交易历史和余额均保持完整，但此次事件揭示了现代数字服务中日益突出的供应链风险。

核心风险源于通信路径暴露而非账户入侵

本次事件并非针对区块链协议或交易所底层系统的攻击，而是典型的第三方数据泄露案例。攻击者利用的是连接平台与用户之间的分析服务接口，通过已知联系方式精准定位目标，从而实施高可信度的社会工程学诱导。

Amplitude作为数据分析中间件的角色与风险敞口

Amplitude是一家为应用提供用户行为分析的服务商，其服务依赖于嵌入客户端的SDK收集使用数据。为实现用户身份匹配，部分场景下会传输电子邮件或电话号码等敏感标识符。当这些信息在供应商端存储时，便成为潜在的数据泄露点。此次事件中，该链条上的数据流动环节出现漏洞，导致用户联系信息外泄。

泄露范围存疑：交易所称“少量”而安全机构称超7万

Coinbase在声明中表示受影响账户数量有限，但未公布具体数字；而区块链安全公司SlowMist则指出，其所掌握的数据集涉及超过7万名用户，且明确排除了密码与余额信息。目前尚无独立验证，事件规模仍处于模糊区间。无论真实数字如何，对个体用户而言，关键在于是否收到通知，而非总量多少。

数据泄露后的新型攻击面：从被动防御转向主动识别

由于联系方式已被泄露，攻击者可直接以“交易所支持”名义发起电话或邮件联系，虚构登录异常、账户锁定等情境制造紧迫感。此类攻击不依赖技术突破，而是利用信息不对称诱导用户自愿交出权限。因此，真正的防护重点不再是更换密码，而是提升对可疑接触的辨识能力。

社会工程骗局的两大识别特征

首先，正规客服绝不会主动致电施压，所有响应必须由用户发起；其次，任何索取助记词、一次性验证码或要求转账至“安全地址”的请求，均属高危行为。此外，域名拼写错误、链接目的地与显示不符、缺乏具体时间细节、禁止向他人透露等，均为典型欺诈信号。

真正支持团队不会索要这些敏感信息

没有任何合法机构需要您的助记词来解锁账户或处理提款。一次性验证码仅用于确认登录身份，一旦输入即等于授权访问。同样，任何要求您将资金转移至对方提供的地址进行“保管”的行为，都是典型的诈骗手段。自我托管应基于自主选择的钱包工具，而非接受外部引导。

Amplitude官网未公开相关事件公告

截至事件曝光时，Amplitude的公共状态页面仅列出10月24日至27日的技术中断与维护记录，未提及此次安全事件。唯一相关的安全通告发布于10月22日，涉及PHP语言漏洞，但该公司声称自身不受影响，并正与第三方协作修复。目前无法确认该通告是否与本次泄露有关，事件责任归属仍取决于供应商后续声明。

GDPR框架下的合规义务与监管责任归属

尽管Coinbase在欧盟运营依托卢森堡发放的MiCA许可证，但本次数据泄露适用《通用数据保护条例》（GDPR）。根据法规，控制者需在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行上述义务，其法律责任人地位不变。即便问题出在供应商，用户仍可向所在国数据保护机构提出申诉。

双因素认证机制在联系信息泄露后的有效性差异

短信验证码因依赖手机号码，在此背景下最为脆弱，易遭SIM卡劫持或仿冒页面诱导输入。身份验证器应用虽能抵御网络传输风险，但对钓鱼网站无效。通行密钥则具备抗钓鱼特性，因其绑定真实域名，伪造页面无法触发验证，是当前最稳健的选择。

自我托管与硬件钱包：脱离平台依赖的安全路径

将私钥完全掌控在自己手中，即可彻底规避交易所及其供应商带来的风险。硬件钱包通过专用芯片隔离密钥，即使设备接入网络也无法提取私钥。虽然管理责任转移至用户，但长期持有者可通过分层策略实现平衡——日常交易使用交易所，大额资产则转入自管钱包。

Coinbase仅通过邮件通知：警惕虚假警报与伪造信源

受影响用户将通过电子邮件接获通知，但这本身也构成了风险：邮件地址可能已被泄露，且攻击者可模仿相同语境发送假消息。建议用户切勿点击其中链接，所有信息应通过官方应用或手动输入官网地址核实。强化账户安全的关键步骤包括：启用身份验证器或通行密钥替代短信验证，评估并迁移长期持仓至自托管环境，并在未来几周内高度警惕任何形式的主动联系。