币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，资产安全无虞

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户联系信息（包括电子邮箱及手机号码）遭非授权访问。交易所强调，账户密码、私钥、交易记录及余额均未被窃取，且自身系统未检测到异常登录行为。

核心风险转移至通信渠道：身份可识别性成新威胁

此次事件并非对区块链网络的直接攻击，也未造成资金损失。真正的威胁在于：攻击者已掌握目标用户的明确身份标识，从而可实施高度精准的社会工程诱导。这意味着，任何知晓您为加密货币平台用户的第三方，都可能以极高的可信度发起定向联络。

事件源头锁定：分析服务提供商Amplitude成为关键节点

Amplitude作为主流产品行为分析服务商，通过集成在客户端的SDK收集用户操作数据。为实现用户区分，系统常需绑定电子邮件或电话号码。一旦此类敏感信息被同步传输并存储于第三方服务器，便构成潜在泄露路径。Coinbase将本次事故归因于该供应商，并指出其他客户同样受到影响，表明问题具有普遍性而非孤立事件。

泄露内容界定清晰：仅限联系信息，不含敏感凭证

Coinbase明确表示，受波及的数据仅限于邮箱地址与电话号码，不包含密码、私钥、交易历史或账户余额。这组信息虽无法直接用于账户登录或转账，却极大提升了伪造场景的真实性——攻击者可基于真实信息编造合逻辑的背景故事，增强欺骗效果。

事件规模存疑：官方说法与第三方报告严重分歧

Coinbase称影响“少量客户”，但未提供具体数量。与此同时，区块链安全机构SlowMist声称已验证一份涉及超7万个账户的泄露数据集，尽管未确认是否包含密码或余额。目前双方说法尚未统一，实际影响面仍处于不确定状态，个人用户应以官方通知为准。

通知机制悖论：唯一可信渠道可能已被入侵

受影响用户将通过电子邮件接收通知，而该邮箱正是泄露的核心载体之一。这种“通过泄露渠道告知受害者”的模式，使得消息本身难以验证真伪。因此，建议用户切勿点击邮件内链接，而是主动访问官网或应用进行核实，避免落入仿冒页面陷阱。

典型骗局运作机制：伪装支持电话的钓鱼套路

利用已知联系方式，攻击者常以“账户异常登录”为由主动致电或发信，制造紧急氛围，诱导用户提供助记词、一次性验证码或向指定地址转账。此类行为本质是针对人类心理弱点的技术诈骗，而非技术漏洞突破。

识别欺诈的两大核心信号

真正客服绝不会主动联系用户施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，拼写错误域名、链接显示与文本不符、缺乏具体时间细节、禁止与他人讨论等均为高危警示标志。

不可接受的请求清单：交易所从不索取这些信息

任何合法机构均无需助记词来解冻账户、取消交易或释放提款。一次性验证码仅用于确认登录身份，绝不应被索要。更不存在“将资产转至我们地址保管”的合理操作。自我托管必须建立在自主选择钱包与生成密钥的基础上，而非依赖对方提供的地址。

Amplitude官方未承认事件：信息透明度存疑

截至当前，Amplitude的状态页面未列出此次事件。其公开通告仅提及PHP漏洞修复及相关维护，但并未说明与本次泄露有关。因此，该事件责任归属尚无独立证实，一切信息仍依赖Coinbase单方面声明。

法律框架适用：GDPR主导信息披露义务

尽管Coinbase持有欧盟MiCA许可，但此次事件适用《通用数据保护条例》（GDPR）。根据法规，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行这两项义务，相关投诉可向居住国数据保护机构提出，不受注册地限制。

多因素认证应对策略：不同方式防护力差异显著

短信验证码在号码泄露后最为脆弱，易受SIM卡劫持或仿冒页面诱导。身份验证器应用虽能抵御网络拦截，但无法防范用户误输入。通行密钥则具备抗钓鱼能力，因其与真实网站域名绑定，伪造域名下无效，是当前最可靠的第二因子。

自我托管：脱离中心化系统的根本防御

将私钥交由自身保管，意味着资产不再受制于交易所及其供应商。硬件钱包通过专用芯片隔离密钥，即使设备连接网络也不会暴露私钥。虽然存在遗失风险，但长期持有者通常采用分层管理策略：日常交易留于平台，大额资产转入自管钱包。

后续行动指南：强化安全防线，严防外部接触

建议用户立即检查账户安全设置，将短信双因素替换为身份验证器或通行密钥。评估资金配置，将非交易用途的资产移入自我托管。未来数周内保持高度警惕，凡涉及转账、输入助记词或验证码的请求，一律视为欺诈行为。核心原则不变：此事件关乎联系信息，而非账户余额；一切应对措施应围绕提升可信度与控制权展开。