币圈界报道：

交易所供应商遭袭：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase对外披露其合作供应商系统遭遇安全漏洞，部分用户的电子邮箱与手机号码被非法获取。尽管涉及数据范围有限，但交易所明确指出，账户密码、私钥、交易历史及资金余额均未暴露于风险之中，且自身系统未发现异常访问痕迹。

数据泄露源头锁定为第三方分析服务商

此次事件的导火索指向产品行为分析平台Amplitude——一家通过嵌入SDK收集用户交互数据的服务商。该服务需在客户端部署代码以追踪使用模式，当数据包含可识别身份的信息（如邮件或电话）时，便形成潜在敏感信息存储点。根据官方通报，事件发生在10月27日至28日之间，影响范围波及多个采用该服务的客户，非仅限于Coinbase。

泄露内容界定清晰：不涉账户密钥与资金信息

Coinbase强调，本次泄露仅限于客户的联系方式，不含任何登录凭证或财务数据。这一区分至关重要：虽然无法直接用于转账或登录，但已知身份的用户成为精准诈骗的目标。攻击者可据此伪造可信背景，实施定向诱导，提升欺骗成功率。

事件规模存争议：官方称“少量”，第三方称超七万

关于受影响账户数量，双方说法差异显著。交易所表示影响范围较小，未公布具体数字；而区块链安全机构SlowMist则声称掌握一份包含逾7万名用户联系信息的数据集，但未确认是否含密码或余额。目前尚无独立验证，实际规模仍处模糊状态，只能接受“从少数到数万”的区间判断。

通知渠道成隐患：唯一合法路径即可能泄露的邮箱

受影响用户将通过电子邮件接收通知，这既是合规义务，也构成新的风险敞口。由于邮件地址本身已被泄露，发送方的身份难以验证。因此，即便收到提及事件的邮件，也不应轻信其中链接，建议直接访问官网核实，避免落入仿冒页面陷阱。

骗局运作机制：基于真实信息构建信任链

社交工程攻击的核心在于利用已知信息建立可信度。攻击者常以“检测到异常登录”为由主动致电，结合用户注册邮箱制造紧迫感，进而诱导其提供助记词、一次性验证码或转账至所谓“安全地址”。此类行为的本质是获取访问权限，而非技术突破。

识别骗局的两大关键信号

真正的客服不会主动发起通话施压，也不会要求用户提供助记词、私钥或一次性验证码。这些信息一旦泄露，等同于放弃账户控制权。此外，拼写错误的域名、不符的链接显示、缺乏个性化问候、强加时间压力以及禁止外部讨论，均为典型预警特征。

官方支持绝不索取敏感信息

任何正规交易所均无需助记词来解冻账户或处理提款请求。一次性验证码仅用于确认登录者身份，绝不能用于“协助解决问题”。所有来自他人提供的地址或指令，均违背自我托管原则。建议提前规划钱包选择，参考硬件钱包对比指南，关注备份机制、恢复流程与兼容性差异。

供应商未公开声明：事件真实性待证实

Amplitude官方状态页面未记录此次事件，仅列出了10月24日至27日之间的系统维护与延迟问题。此前10月22日发布的关于PHP漏洞的通知，虽提及与第三方协作修复，但未说明与本次泄露存在关联。目前，事件责任归属仍依赖于Coinbase单方面陈述，尚未获得供应商正式回应。

欧盟监管框架下的合规义务

Coinbase依据卢森堡颁发的MiCA许可证服务于欧盟市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在高风险情况下通知用户。交易所已履行这两项义务。值得注意的是，即使漏洞源于供应商，最终责任仍由数据控制者（即交易所）承担，用户有权向本国数据保护部门投诉。

双重认证方式应对策略：短信代码最脆弱

在联系信息泄露后，双因素认证的有效性面临考验。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导输入的影响，属于最薄弱环节。相比之下，身份验证器应用生成的代码虽不依赖通信链路，但仍无法防范钓鱼页面。通行密钥则具备抗钓鱼能力，因其绑定真实网站域名，伪造站点无法获取有效凭证。

自托管方案：脱离中心化系统的根本解法

将私钥掌握在自己手中，是规避第三方供应链风险的终极手段。硬件钱包将密钥隔离于专用芯片中，签署过程不释放原始密钥。然而，这也意味着丢失助记词即永久失去资产，购买来源不明设备亦带来额外风险。因此，多数投资者采取分层策略：日常交易保留在持牌平台，长期持有部分转入自行管理的钱包。

后续行动建议：强化防御，静待权威发声

当前首要任务是审查账户安全设置，优先将短信验证替换为身份验证器应用或通行密钥。同时评估资金配置，将非交易用途的资产转移至自托管环境。未来几周内应提高警觉，对任何提及此次事件的来电或邮件保持怀疑，拒绝一切要求转账或输入助记词的请求。总体而言，此事件聚焦于联系信息，而非资金本身，但其背后反映出的供应链脆弱性值得持续关注。