币圈界报道：

交易所供应商数据泄露事件：联系信息外流但资产未受威胁

2026年10月28日，Coinbase对外通报其合作供应商遭遇信息安全事故。据官方邮件披露，部分用户的电子邮件地址与手机号码被泄露，但账户密码、私钥、交易记录及资金余额均未遭侵入，且内部系统未检测到异常访问行为。

核心风险转向“可达性”而非“访问权限”

此次事件的本质并非对区块链或账户系统的直接攻击，而是典型的数据供应链漏洞——攻击者通过第三方服务提供商获取敏感信息。尽管账户本身仍受保护，但已知的联系方式使用户成为精准钓鱼的目标，极大提升了社交工程攻击的成功率。

分析平台Amplitude成数据传输节点，风险传导链浮现

Amplitude作为广泛使用的用户行为分析服务商，通过集成在客户端的应用程序收集使用数据。为实现用户身份匹配，部分数据会包含可识别的个人标识，如邮箱或电话号码。当这些信息被存储于外部服务器时，一旦系统遭入侵，即构成潜在泄露源头。

泄露范围存疑：交易所称“少量”，安全机构指超七万

Coinbase表示受影响用户数量有限，未公布具体数字；而区块链安全团队SlowMist则指出，被曝光的数据集涉及超过7万名用户，但未证实是否包含密码或余额信息。目前尚无独立验证，事件规模仍处于模糊区间。

通知渠道即风险源：邮件发送机制面临信任挑战

Coinbase计划通过电子邮件向受影响者发送通知，此举虽符合法律义务，却也带来悖论——唯一合法的通知方式正是可能已被泄露的通信渠道。攻击者可利用相同路径伪造消息，诱导用户点击恶意链接，从而实施进一步欺诈。

社会工程骗局运作逻辑：以真实信息构建可信外壳

攻击者利用已掌握的注册邮箱和账户归属信息，冒充客服主动致电，谎称检测到可疑登录行为，并制造紧迫感，诱导用户执行转账、输入助记词或提供一次性验证码等不可逆操作。此类攻击的关键在于“真实性”的伪装。

三大识别信号：主动联系、索取密钥、施加压力

真正的支持团队不会主动拨打电话施压，也不会要求提供助记词、私钥或一次性验证码——这些信息仅用于授权访问。任何索要此类内容的行为都应视为高危信号。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止与他人讨论等均为典型骗术特征。

所有正规机构均无需索取关键凭证

没有任何合规交易所或钱包服务商需要用户提交助记词来处理账户问题，亦无需一次性代码协助“解锁”或“释放”资金。此类请求均指向非法访问意图。自我托管应基于自主决策，选择经过验证的钱包设备并建立备份流程，而非依赖对话中对方提供的地址。

Amplitude官方状态页未记录本次事件

截至当前，Amplitude的公开状态页面仅列出10月24日至27日的技术维护与延迟情况，未提及安全事件。此前发布的关于PHP漏洞的通告亦未明确关联此次泄露，事件责任归属仍依赖于Coinbase单方面声明，尚未获得供应商官方确认。

GDPR适用：数据控制者仍负全责

尽管Coinbase持有欧盟MiCA许可，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在高风险情况下通知用户。即使漏洞发生在供应商端，交易所作为数据控制者仍需承担法律责任，用户可在居住国提起投诉。

双因素认证应对策略：从短信到通行密钥的安全升级

在联系信息泄露背景下，短信验证码因依赖移动网络而最易被劫持，尤其面临SIM卡交换攻击。相比之下，身份验证器应用生成的代码具备本地化特性，更具安全性；而通行密钥则能有效抵御钓鱼攻击，因其与真实网站域名绑定，无法在仿冒页面生效。

自我托管：切断供应商影响路径的终极方案

将私钥交由自身保管可彻底规避交易所及其供应商的风险。硬件钱包将密钥存储于专用芯片中，交易签名过程不暴露密钥，实现物理隔离。虽然管理责任转移至用户，但长期持有者可通过分层策略实现风险分散：日常交易保留在合规平台，核心资产转入自管环境。

后续行动指南：强化防御，静待官方澄清

建议立即审查账户第二因素设置，优先切换至身份验证器或通行密钥；评估长期持仓是否适合移至自托管。未来数周内应提高警惕，任何提及此事件的来电或邮件均不应轻信，尤其避免点击链接或透露敏感信息。当前核心结论一致：资产未受损，但需防范持续存在的社会工程威胁。