币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄，资产无损

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户联系方式（包括电子邮箱和手机号码）遭到非授权访问。尽管相关数据被泄露，但账户密码、私钥、交易历史及资金余额均未受损，且内部系统未检测到异常登录行为。

核心风险转向“可达性”而非“访问权”

此次事件并非针对区块链或交易所系统的直接入侵，而是典型的供应链攻击案例——敏感数据通过第三方服务提供商流出。攻击者虽无法凭此获取账户权限，却可精准定位用户身份，实施高度定制化的社交工程手段。

分析服务商Amplitude成为数据流转节点

Amplitude作为主流产品行为分析平台，通过集成在客户端的SDK收集用户操作数据。为实现用户画像匹配，部分数据会附加电子邮件或电话号码等标识信息，从而形成可识别的个人档案。此次泄露即源于该类信息在供应商端的存储与传输环节。

泄露范围存疑：少量客户与七万账户之争

Coinbase表示影响范围有限，未公布具体数量。然而，区块链安全机构SlowMist援引一份数据集指出，涉及超过7万个账户的联系信息，但未确认是否包含密码或余额。目前尚无独立验证，事件规模仍处模糊区间。

通知渠道本身成安全隐患

受影响用户将通过电子邮件接收通知，而该邮箱正是泄露源头之一。这导致消息真实性难以验证，同时为仿冒邮件提供了可信伪装基础。建议用户仅通过官方网址核实信息，避免点击任何链接。

伪造支持电话的典型话术套路

攻击者常以“检测到异常登录”为由主动联系用户，制造紧迫感，并诱导其提供助记词、一次性验证码或转账至指定地址。此类骗局依赖于已知的注册信息，使对话具备高度可信度。

识别骗局的两个关键信号

真正的客服不会主动来电施压；任何要求提供助记词、私钥或一次性验证码的行为均属非法索取。此外，域名拼写错误、链接跳转不符、过度强调保密性、缺乏具体时间依据等均为可疑特征。

合法支持从不索要核心凭证

正规交易所绝不会要求用户提交助记词、私钥或验证码来解决账户问题。这些信息唯一用途是控制账户访问权限。任何索取此类内容的请求，无论界面多么逼真，皆应视为诈骗。

Amplitude状态页面未记录本次事件

截至发稿，Amplitude公开状态页面仅列示了10月24日至27日的技术中断与维护事项，未提及安全漏洞。此前10月22日发布的关于PHP漏洞的通知也未明确关联本次事件。目前所有信息仍基于Coinbase单方面声明。

GDPR适用而非MiCA：监管责任归属清晰

尽管Coinbase持有卢森堡颁发的MiCA牌照，但本次事件受《通用数据保护条例》（GDPR）管辖。根据规定，数据控制者需在72小时内向监管机构报告，并在高风险情形下通知用户。交易所已履行两项义务，责任主体仍为平台本身。

双因素认证应对策略：从短信到通行密钥

短信验证码在联系信息泄露后最易被利用，面临SIM卡劫持与仿冒页面诱导双重威胁。相比之下，身份验证器应用生成的代码本地处理，更具抗攻击能力；而通行密钥则具备防钓鱼特性，仅在真实域名下有效。

自我托管：切断外部依赖的安全路径

通过硬件钱包或自建钱包实现资产自我托管，可彻底规避交易所供应商的风险。私钥由用户掌控，即使平台数据泄露也无法触及资产。但需注意，一旦丢失助记词或设备，恢复将极为困难。

强化防护：从设置调整到行为预警

建议用户立即检查账户安全设置，将短信验证升级为身份验证器或通行密钥；评估长期持仓需求，将非交易资产转移至自我托管环境；未来数周内对任何提及此次事件的来电或邮件保持高度警惕，拒绝一切转账或信息索取要求。