币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄但资产未受威胁

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇安全事件，造成部分用户联系方式（包括电子邮箱与手机号码）被非法获取。尽管如此，账户密码、私钥、交易历史及资产余额均未暴露，且公司系统内部未检测到异常访问行为。

供应链漏洞成焦点：第三方分析平台成数据外泄源头

此次事件的核心责任方指向产品数据分析服务商Amplitude。该公司通过嵌入客户端的SDK收集用户行为数据，为应用提供使用模式洞察。当其采集流程中包含可识别身份的信息如邮箱或电话时，便形成敏感数据存储点，成为潜在泄露入口。

数据范围界定：仅限联系信息，不涉及登录凭证

交易所明确表示，泄露内容仅限于用户的通信方式，未包含任何登录相关要素。这意味着攻击者无法直接侵入账户，但可利用已知身份信息实施精准社交工程，通过伪造支持电话或邮件制造信任假象。

影响规模存疑：官方称“少量”与第三方称“超七万”矛盾

Coinbase坚持事件影响范围有限，拒绝公布具体数字；而区块链安全机构SlowMist则援引一份声称属实的数据集，指出约7万余名用户信息可能遭泄露。目前尚无独立验证，双方说法差异显著，实际波及人数仍待进一步澄清。

通知渠道受限：唯一合法告知途径或已失效

受影响用户将通过电子邮件接收通知，但该渠道本身正是泄露对象。这使得消息真实性难以甄别——发送者既可能是真实通知，也可能是伪装成官方的诈骗尝试。建议用户仅通过官方应用或直接输入官网地址核实信息，切勿点击可疑链接。

社会工程攻击机制：基于真实信息的定向欺骗

攻击者利用已知的邮箱和注册背景，冒充客服人员，虚构“异常登录检测”等情境，制造紧迫感并诱导用户执行转账、输入助记词或提供一次性验证码等高危操作。此类攻击不依赖技术突破，而是心理操控。

关键识别特征：主动来电与索取核心凭证即为警报

真正客户服务不会主动发起通话施压。任何要求提供助记词、私钥或一次性验证码的行为，无论包装得多么可信，本质都是试图获取账户控制权。此外，域名拼写错误、链接与文本不符、缺乏具体时间依据及禁止外部讨论等，均为典型欺诈信号。

不可接受的请求：所有正规服务均无需这些敏感信息

没有任何合规机构会要求用户提供助记词来解冻账户或取消交易，也不会索要一次性验证码以提供协助。这类请求本质上是访问权限的交换。自我托管应建立在自主选择的钱包基础上，而非依赖他人提供的地址。

Amplitude未公开声明：事件真实性待验证

Amplitude的公共状态页面列出了10月24日至27日的服务中断与维护记录，但未提及本次安全事件。其10月22日发布的关于PHP漏洞的公告虽存在关联可能，但并未说明与此事件有关。目前，事件归因仅基于Coinbase单方面陈述，尚未获得供应商官方确认。

法律框架适用：GDPR主导报告义务，非MiCA

尽管Coinbase在欧盟运营依托卢森堡颁发的MiCA许可，但数据泄露事件受《通用数据保护条例》（GDPR）管辖。该法规要求72小时内向监管机构通报，并在对个人权利构成重大风险时通知用户。交易所已履行这两项义务，且最终责任仍由其作为数据控制者承担。

双因素认证对比：短信代码最脆弱，通行密钥最具防护力

在联系信息外泄背景下，第二重验证方式的选择至关重要。短信验证码易受SIM卡劫持与仿冒页面诱导，风险最高；身份验证器应用生成本地代码，防御性更强，但仍无法抵御钓鱼网站；通行密钥具备抗钓鱼能力，因其与真实域名绑定，在伪造站点上无效，是当前最优解。

自我托管：切断中心化链条的关键路径

通过硬件钱包或自建钱包实现自我托管，可使私钥脱离交易所体系，从根本上规避供应商风险。虽然需自行承担密钥丢失风险，但长期持有者可通过分层策略——日常交易留于持牌平台，长期资产交由个人保管——平衡便利与安全。

后续行动指南：强化安全设置与保持警惕

建议立即检查账户安全配置，将短信双因素替换为身份验证器应用或通行密钥；评估资金分配结构，将非交易用途的资产转移至自我托管环境；未来数周内对任何提及此事件的来电或邮件保持高度怀疑，凡涉及转账、助记词或验证码请求，一律视为诈骗。