币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作供应商在系统中遭遇安全漏洞，造成部分用户的电子邮件地址与联系电话被非法获取。尽管此次事件涉及第三方服务链，但交易所强调其核心系统未遭入侵，账户密码、私钥、资金余额及历史交易均保持完整，未出现异常访问行为。

供应链风险成焦点：数据通过分析服务商外泄

此次事件的源头指向产品数据分析平台Amplitude。该服务通过集成于客户端的SDK收集用户行为数据，以支持应用优化。为实现精准用户识别，部分数据包含可关联至个人的身份信息，如电子邮箱与手机号码。一旦此类信息被存储于第三方服务器，便构成潜在泄露点，而本次事件正是由此类数据流转所引发。

泄露范围存疑：交易所称“少量”，安全机构指超七万

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全公司SlowMist披露一份据称属实的数据集，声称涉及超过7万个账户的联系信息。尽管该数字尚未得到官方验证，且未确认是否包含密码或余额，但已引发对事件真实规模的广泛讨论。目前尚无法确定确切人数，只能接受两者之间的差异区间。

联系信息泄露带来新型威胁：从“可访问”到“可信”

与传统密码泄露不同，此次事件的核心风险并非账户被侵入，而是攻击者获得了精准的触达路径。拥有已知邮箱与电话的攻击者可实施高度定制化的社会工程手段——例如冒充客服，谎称检测到可疑登录，制造紧迫感并诱导用户执行转账、输入助记词或提供一次性验证码等操作。

伪造来电与仿冒页面：骗局运作机制解析

典型的欺诈模式包括主动拨打电话或发送邮件，提及用户注册的交易所名称，并引用其邮箱地址以增强可信度。随后，攻击者会引导用户访问虚假登录页面，要求输入双重验证代码或助记词。这类行为不依赖技术突破，而依赖心理操控，因此即使账户本身安全，仍可能被绕过。

识别骗局的两大关键信号

真正的客户服务绝不会主动发起电话施压；所有合法支持请求必须由用户主动发起。此外，任何索取助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。其他警示特征还包括域名拼写错误、链接目的地与显示文字不符、缺乏具体细节的时间压力，以及要求保密不得向他人透露。

官方渠道之外，切勿轻信任何链接

尽管Coinbase已通过电子邮件通知受影响用户，但这一通信方式本身也面临被利用的风险。攻击者可模仿相同邮件内容进行钓鱼。因此，建议用户直接访问官方网址核实信息，避免点击邮件中的任何链接，以防将身份验证权交予恶意方。

Amplitude未公开声明，事件责任归属待定

Amplitude的公共状态页面列出了10月24日至27日的技术中断与维护记录，但未提及此次安全事件。唯一相关的公告是10月22日关于PHP语言漏洞的预警，但该公司明确表示自身服务不受影响。因此，目前所有关于事件的描述均来自Coinbase单方面披露，供应商尚未发布独立声明，真实性与责任边界仍不明朗。

GDPR框架下的合规义务与用户权利

由于Coinbase通过卢森堡监管机构获得MiCA许可，服务于欧盟全境，故本次事件适用《通用数据保护条例》（GDPR）。该法规要求数据控制者在72小时内向监管机构报告泄露事件，并在对个人权利构成高风险时通知用户。交易所已履行上述义务，但用户仍保有向居住国数据保护机关投诉的权利，无论其所在国家是否为欧盟成员国。

第二因素选择决定防御强度

在联系信息已暴露的前提下，第二重验证方式的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导，风险最高。使用身份验证器应用生成的代码虽更安全，但仍可能在虚假登录页上被截获。通行密钥则具备抗钓鱼能力，因其绑定真实网站域名，伪造页面无法触发有效验证，是当前最可靠的防护选项。

自我托管：脱离中心化系统的根本解法

对于长期持有者而言，自我托管意味着私钥完全由用户掌控，不依赖任何第三方平台。硬件钱包作为专用设备，能将密钥隔离于安全芯片内，即便在签名过程中也不会泄露。虽然这将密钥管理责任转移至个人，存在遗失或误购风险，但能彻底规避供应商层面的安全隐患。

应对策略：强化安全设置，警惕后续接触

建议用户立即检查账户安全配置，将短信验证码升级为身份验证器应用或通行密钥。同时，考虑将非交易用途的资产转移至自我托管环境，参考硬件钱包比较指南，关注备份机制、恢复流程与供应链透明度。未来几周应提高警觉，任何要求转账、输入助记词或提供验证码的请求均应视为诈骗。当前核心结论一致：此次事件仅涉及联系信息，未波及资产本身，但实际影响范围与供应商回应仍待进一步澄清。