币圈界报道：

Coinbase证实第三方服务商遭数据泄露，客户联系方式外泄但资产无虞

2026年10月28日凌晨，Coinbase正式通报其合作供应商遭遇信息安全事件。据官方邮件披露，部分用户的电子邮件地址与手机号码已被非法获取，但账户密码、私钥、交易历史及资金余额均未受到波及，且交易所系统内部未发现异常访问痕迹。

核心风险转移至通信渠道，非账户本身

此次事件的威胁不在于账户被入侵，而在于攻击者可利用已知的用户身份信息进行精准社交工程操作。任何掌握您联系方式的人，都能以高可信度向您发起定向联系，从而诱导您落入欺诈陷阱。

供应链漏洞成新型攻击入口，非平台直接失守

该事件并非针对区块链网络或交易所系统的攻击，而是典型的供应链数据泄露案例。攻击路径源于为平台提供分析服务的第三方公司——Amplitude。此类服务商通过集成在客户端的SDK收集用户行为数据，若附加发送个人联系方式，则可能形成敏感信息存储点。

泄露范围存疑：少量客户与超七万账户说法并立

Coinbase表示受影响用户数量“有限”，未公布具体数字；而区块链安全机构SlowMist则称数据集涵盖逾7万个账户，但未确认是否包含密码或余额信息。目前尚无独立验证，事件规模仍处于模糊区间。

数据暴露后的社会工程学攻击模式解析

攻击者利用已知的邮箱和电话，伪装成客服人员，声称检测到可疑登录行为，制造紧迫感，并诱导用户执行转账、输入助记词或提供一次性验证码等不可逆操作。这类骗局的核心特征是主动接触与强制性指令。

识别骗局的关键信号：主动来电与敏感请求

真实支持团队从不主动联系用户施压。凡要求提供助记词、私钥或一次性验证码者，皆意在获取账户控制权。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止外部讨论等均为典型预警标志。

合法服务不会索取这些关键凭证

任何正规交易所或钱包服务商均无需您的助记词来解锁账户或处理提款。一次性验证码仅用于登录确认，不应被要求提供给他人。所有来自外部地址的“保管”或“安全转移”请求，均属高危诈骗行为。

Amplitude官方状态页面未记录本次事件

截至当前，Amplitude的公开状态页仅列出10月24日至27日的技术中断与维护情况，未提及10月27日及28日的数据泄露事件。其10月22日发布的关于PHP漏洞的通告也未明确关联此事件，因此责任归属仍依赖于Coinbase单方面声明。

GDPR框架下监管义务与责任归属

Coinbase基于卢森堡MiCA许可服务于欧盟市场，但本次事件适用《通用数据保护条例》（GDPR）。根据规定，需在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行相关义务，但最终责任仍由数据控制方即交易所承担。

双因素认证形式差异影响防御效能

短信验证码因依赖手机号码，在此事件中最为脆弱，易受SIM卡劫持或仿冒页面诱导。身份验证器应用生成本地代码，抗网络攻击能力更强，但无法抵御钓鱼网站。通行密钥则具备抗钓鱼特性，仅在真实域名下有效，是当前最可靠的第二重验证方式。

自我托管规避供应商风险，硬件钱包提升安全性

将私钥交由自身保管可彻底脱离交易所供应链风险。硬件钱包通过专用芯片隔离密钥，即使设备被侵入也无法提取原始助记词。然而，这也意味着一旦遗失或损坏，资产将永久无法恢复。

应对建议：强化安全设置与防范未来骚扰

建议立即检查账户安全配置，将短信验证码替换为身份验证器应用或通行密钥。对于长期持有的资产，考虑移至自我托管环境。未来几周内应高度警惕任何提及此次事件的邮件或来电，切勿点击链接或提供敏感信息。

总体而言，此次事件本质为联系信息泄露，而非资产损失。尽管实际影响范围尚未明朗，且供应商未发声，但用户应保持警觉，优先通过官方渠道核实信息，拒绝一切未经请求的主动接触。