币圈界报道：

Coinbase披露供应商漏洞：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户的电子邮件地址和联系电话被非法获取。尽管相关数据已流出，但账户密码、私钥、交易历史及资产余额均未遭侵入，且公司系统内部未检测到异常访问行为。

核心风险转向通信渠道，非账户本身

此次事件的实质威胁不在于账户被攻破，而在于攻击者可利用已知的联系方式精准定位用户。拥有目标身份信息的第三方能够以高度可信的背景开展定向骚扰，包括伪造支持来电或邮件，从而诱导用户采取危险操作。

供应链漏洞成新风险源：分析服务商成数据中转站

涉事方为Amplitude——一家提供产品行为分析服务的技术提供商。该类平台通常通过嵌入式SDK收集用户使用数据，用于优化应用体验。当分析过程中关联了真实邮箱或手机号码，这些敏感信息便被存储于第三方服务器上，形成潜在泄露节点。

泄露范围存疑：交易所称“少量”，安全机构称超七万

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全团队SlowMist援引数据集指出，涉及用户超过70,000名，虽未确认是否包含密码或余额，但该数字与交易所说法存在显著差异。目前尚无独立验证，事件规模仍处于不确定状态。

通知渠道成双重困境：唯一合法路径即可能被滥用

受影响用户将通过电子邮件接收通知，这既是合规义务，也构成了安全隐患。因邮件地址已被泄露，攻击者可模仿官方信函进行诈骗。因此，任何来自该渠道的链接均不可轻信，应直接访问官网核实信息。

社会工程攻击模式固化：虚构登录异常诱导信任

攻击者常以“检测到可疑登录”为由主动联系用户，制造紧急氛围，并要求提供助记词、一次性验证码或转账至所谓“安全账户”。此类手法依赖于已知的用户身份与联系方式，使骗局更具说服力。

识别骗局的关键信号：主动联系与索取敏感信息

正规客服从不主动发起通话或邮件施压。若对方要求提供助记词、私钥或一次性验证码，即表明其意图获取账户控制权。其他警示特征包括域名拼写错误、链接显示内容与文字不符、缺乏具体时间细节、要求保密等。

真正支持团队绝不会索要的核心凭证

任何合法机构均无需助记词来解冻账户、取消订单或释放资金。一次性验证码仅用于确认登录身份，一旦提交即等于授权访问。此外，任何建议将资产转移至他人提供的地址的行为，皆属欺诈。自我托管需基于自主决策，而非在对话中接受外部指定地址。

Amplitude未公开声明：事件真实性待验证

Amplitude官方状态页面未记录此次安全事件，仅列出此前数日的服务中断与维护情况。其10月22日发布的关于PHP漏洞的公告亦未明确指向本次泄露。目前所有信息均来自Coinbase单方面说明，供应商尚未作出回应，事件真实性与责任归属仍存疑。

GDPR主导监管框架：数据控制者担责不变

尽管Coinbase持有卢森堡MiCA许可，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求72小时内向监管机构报告，并在高风险时通知用户。由于数据处理商（Amplitude）无法免除控制者责任，用户仍可向所在国数据保护机构投诉，权利不受注册地限制。

双因素认证选择决定防御强度

短信验证码在联系信息泄露后最易被攻破，面临仿冒页面诱导与SIM卡劫持双重风险。身份验证器应用虽能抵御网络拦截，但对钓鱼网站无效。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造页面无法生效，是当前最强防护方式。

自我托管：切断供应商连接的有效策略

采用自我托管意味着私钥由用户自主保管，不受交易所及其供应商影响。硬件钱包将密钥固化于专用芯片中，签署过程不暴露私钥，实现物理隔离。虽然管理责任转移至个人，但长期持有者可通过分层策略实现安全与便利平衡。

后续行动指南：强化安全设置，严防主动接触

建议用户立即检查账户安全配置，将短信验证升级为身份验证器或通行密钥；评估资金分配结构，将非交易用途资产转入自管钱包；未来几周内保持警惕，对任何提及事件的来电或邮件保持怀疑，尤其拒绝任何形式的资金转移请求。