币圈界报道：

Coinbase披露供应商数据泄露事件：客户联系方式外泄但资产无虞

Coinbase于2026年10月28日通报，其合作供应商在近期遭遇安全漏洞，部分用户的电子邮箱与手机号码被非法获取。尽管相关数据已流出，但账户密码、私钥、交易记录及资产余额均未遭篡改，且平台自身系统未检测到异常访问行为。

供应链风险暴露：第三方分析服务成数据泄露源头

此次事件的核心责任方指向产品数据分析服务商Amplitude。该机构通过集成在客户端的SDK收集用户行为数据，为客户提供使用模式洞察。当分析系统关联了真实身份标识如邮箱或电话时，这些敏感信息便被存储于第三方服务器中，构成潜在泄露点。

泄露范围存疑：官方称“少量”，安全公司指超七万账户

Coinbase对外宣称影响范围有限，未公布具体数量。然而，区块链安全机构SlowMist援引数据集指出，受影响账户可能超过7万个，且未排除其他敏感信息的外泄可能性。目前尚无独立验证，事件规模仍处于模糊区间，仅能确认存在显著差异。

通信渠道成双刃剑：通知本身亦面临仿冒风险

受影响用户将通过电子邮件接收官方通知，但这一路径正是攻击者最易模仿的入口。由于邮件地址已被泄露，任何以交易所名义发送的联络都可能为伪造。因此，建议用户仅通过官网或官方应用核实信息，避免点击未知链接。

社会工程攻击升级：利用已知身份实施精准诈骗

联系信息泄露使攻击者得以开展定向骚扰。典型手法包括冒充客服，声称检测到可疑登录，制造紧迫感，并诱导用户输入助记词、一次性验证码或转账至所谓“安全地址”。此类攻击不依赖技术入侵，而是利用信任与压力达成目的。

识别骗局的关键信号：主动联系与索取敏感信息

正规支持团队从不主动致电施压。若对方要求提供助记词、私钥或一次性验证码，无论其言辞多么可信，皆属高危行为。此外，域名拼写错误、链接目的地不符、缺乏具体细节、强制保密等均为典型欺诈特征。

真正支持不会索要这些信息

任何合法机构均无需助记词解锁账户或取消交易，也无需一次性代码来协助处理问题。此类请求本质上是试图获取访问权限。自我托管应基于自主决策，而非在对话中接受他人提供的地址。

Amplitude状态页面未提本次事件，责任归属待澄清

Amplitude的公开状态页列出的是10月24日至27日的技术中断与维护情况，但未提及27日至28日的安全事件。此前关于PHP漏洞的通知也未明确与本次泄露有关。目前所有信息均来自Coinbase单方面声明，供应商尚未作出回应。

GDPR框架下监管义务：通知与报告必须履行

尽管Coinbase持欧盟MiCA许可证运营，但此次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行两项义务，而用户可向所在国数据保护机构提出申诉。

双重验证选择影响安全性：短信代码最脆弱

在联系信息外泄后，第二因素的安全性差异显著。短信代码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导。身份验证器应用虽更安全，但仍无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，仅在真实域名下有效，是当前最佳选择。

自我托管可规避供应商风险：密钥由自己掌控

采用自我托管意味着私钥完全由用户保管，不受交易所及其供应商影响。硬件钱包作为常见工具，将密钥固化于专用芯片中，签署过程不暴露密钥。虽然管理责任转移至个人，但长期持有者可通过分层策略实现风险隔离。

后续行动建议：强化安全设置并保持警惕

建议立即检查账户安全配置，将短信验证替换为身份验证器或通行密钥；评估资金分配，将非交易用途的资产转入自托管环境；未来几周内对任何提及此事件的来电或邮件保持高度戒备，拒绝一切转账或信息索取请求。