币圈界报道：

交易所供应商遭入侵：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作的数据分析服务提供商Amplitude遭遇安全事件，造成部分用户联系方式（包括电子邮箱和手机号）被非法获取。尽管相关数据已流出，但账户密码、私钥、交易历史及资产余额均未在公司系统中出现异常访问迹象。

供应链漏洞成新威胁：第三方服务成数据泄露源头

此次事件并非针对区块链网络或交易所核心系统，而是源于外部服务提供商的安全缺陷。此类案例反映出当前数字生态中普遍存在的风险——企业通过集成第三方工具链提升效率，却也引入了不可控的数据暴露节点。一旦供应商防护薄弱，敏感信息便可能在未察觉的情况下外泄。

泄露内容仅限联系信息，不涉及账户凭证

据官方声明，受影响的数据范围明确限定为用户的公开联系方式，不含登录密码、助记词、一次性验证码或资金余额等关键身份与资产信息。这表明攻击者无法直接操控账户或转移资产，但可利用已知身份精准实施定向骚扰。

事件规模存争议：交易所称“少量”，安全机构指超七万

关于受影响用户数量，存在显著分歧。Coinbase方面表示影响范围有限，但未披露具体数字；而区块链安全研究机构SlowMist则声称掌握一份包含逾7万个账户信息的数据集，但未确认是否涉及密码或余额。目前尚无独立验证，事件真实影响面仍待进一步澄清。

通知渠道成双刃剑：唯一告知方式即潜在攻击入口

由于所有受影响用户将通过电子邮件接收通知，该渠道本身也成为攻击者模仿的目标。发送方可伪装成官方消息，诱导用户点击恶意链接。因此，建议用户切勿轻信邮件中的任何链接，应主动通过官网或应用端核实信息真实性。

社会工程骗局常见套路：制造紧迫感诱导授权

攻击者常以“检测到异常登录”“账户存在风险”为由，主动致电或发信，要求用户提供助记词、一次性验证码或转账至指定地址。这些操作本质上是试图绕过安全机制，获取账户控制权。真正客服不会主动发起通话，也不会索取敏感信息。

识别欺诈的核心信号：主动索要密钥即为高危行为

任何要求提供助记词、私钥或一次性验证码的请求，无论表面理由多么合理，都属于典型诈骗。此外，域名拼写错误、链接与文字不符、过度强调保密性、缺乏具体时间细节等特征，均可作为判断依据。保持警惕是防范的第一道防线。

正规支持永不索取核心凭证

合法的客户服务不会要求用户提交助记词、私钥或验证码来解决问题。这些信息是唯一能完全控制账户的权限，绝不能交予他人。同时，任何声称“代为保管资产”或“临时冻结账户”的说法均属虚假，符合自我托管原则的管理应由用户自主决策。

Amplitude状态页面未记录本次事件

公众尝试通过Amplitude官方状态页核查事件进展时发现，其列出的维护日志仅涵盖10月24日至27日的技术中断与延迟问题，未提及10月27日至28日的安全事故。此前发布的关于PHP漏洞的通知亦未指向此次事件，目前尚无法确认两者关联性。事件责任归属仍依赖于Coinbase单方面陈述。

GDPR适用：监管义务覆盖欧洲用户

尽管Coinbase持有卢森堡MiCA许可证，但本次数据泄露事件受《通用数据保护条例》（GDPR）管辖。该法规要求数据控制者在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。交易所已履行上报与通知义务，用户可向所在国数据保护机构提出申诉。

双重认证差异：短信代码最易受攻击

在联系信息泄露后，第二因素认证的安全性面临考验。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导输入的影响。相比之下，基于应用的身份验证器生成的代码虽不依赖通信链路，但仍可能被用于伪造登录场景。通行密钥因其与真实网站绑定且具备抗钓鱼能力，成为更优选择。

自我托管：脱离中心化平台的风险隔离方案

采用自我托管模式，特别是使用硬件钱包，可彻底避免因交易所供应商漏洞导致的信息泄露。私钥由用户本地保管，不经过任何第三方服务器。然而，这也意味着密钥丢失即永久损失，需建立严格的备份与存储策略。对于长期持有者而言，此举有助于实现资产分层管理，降低单一平台风险。

应对建议：强化安全设置，警惕后续接触

建议用户立即检查账户安全配置，优先将短信验证替换为身份验证器应用或通行密钥。同时，评估资金分配策略，将非交易用途的资产迁移至自行管理的钱包。未来几周内，应高度警惕任何提及此次事件的来电或邮件，凡涉及转账、输入助记词或验证码的行为，一律视为诈骗。