币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，核心资产仍受保护

2026年10月28日凌晨，Coinbase正式通报，其合作供应商在近期遭遇安全事件，部分用户的电子邮件地址与联系电话被非法获取。尽管相关数据已流出，但交易所强调，用户账户的密码、私钥、交易历史及资金余额均未遭受侵入，且内部系统未检测到异常访问行为。

事件源头指向第三方分析服务商，非平台自身漏洞

此次事故的根源被归于产品数据分析公司Amplitude，该公司通过集成在客户端的SDK收集用户行为数据。为实现精准分析，其系统曾同步存储部分客户的敏感联系信息，从而构成数据暴露点。Coinbase明确指出，该事件并非针对其自身系统的攻击，且其他使用相同服务的客户亦可能受到影响。

泄露范围存争议：官方称“少量”，第三方称超七万账户

Coinbase未披露具体受影响人数，仅表示影响范围有限。然而，区块链安全机构SlowMist声称掌握一份包含逾7万个账户信息的数据集，虽未证实是否涉及密码或余额，但承认数据真实性。目前双方说法悬殊，尚无独立验证，事件实际规模仍处于不确定状态。

联系信息泄露的本质：风险在于“可达性”而非“访问权”

与传统密码泄露不同，此次事件的核心威胁不在于账户被登录，而在于攻击者可利用已知的邮箱与电话号码，精准实施社交工程攻击。他们能以“交易所客服”身份主动联系用户，编造登录异常等理由制造紧迫感，诱导用户提供助记词、一次性验证码或进行转账操作。

虚假支持电话的运作机制：伪装成官方，诱使用户交出权限

典型骗局流程包括：冒充支持人员，提及用户注册邮箱，声称检测到可疑活动，并要求立即执行“安全操作”。这些操作往往包括向指定地址转移资金、在仿冒页面输入助记词，或提供一次性验证码——所有行为皆旨在绕过身份验证，获取账户控制权。

识别骗局的两大关键信号：主动联系与索要敏感凭证

真正的客户服务从不主动发起通话或邮件施压。任何索取助记词、私钥、一次性验证码的行为，均属于高危预警。此外，域名拼写错误、链接显示地址与文本不符、缺乏具体时间细节、强制保密要求等，均为常见欺诈特征。

合法服务不会要求您提供这些信息

没有任何正规交易所或钱包厂商需要您的助记词来处理订单、解冻提款或恢复账户。一次性验证码仅用于确认登录者身份，一旦提供即等于授权访问。任何要求将资产转入“安全保管地址”的请求，皆为典型诈骗手段。自我托管应基于自主决策，而非依赖他人提供的地址。

Amplitude官方页面未记录本次事件，责任归属待澄清

截至当前，Amplitude的公共状态页仅列出10月24日至27日的技术中断与维护信息，未提及任何安全事件。其10月22日发布的关于PHP漏洞的通知也未明确关联此次泄露。因此，事件责任目前仅基于Coinbase单方面声明，尚未获得供应商方的正式回应。

欧盟监管框架下：GDPR主导信息披露义务

尽管Coinbase持有卢森堡MiCA牌照，但本次事件适用《通用数据保护条例》（GDPR）。根据法规，数据控制者须在72小时内向监管机构报告，并在对个人权利构成重大风险时通知受影响用户。交易所已履行上述义务，但用户仍有权向所在国数据保护机构提出申诉。

双因素认证类型差异：短信代码最易受攻，通行密钥更具抗钓鱼能力

在联系信息泄露背景下，双因素认证形式的安全性差异显著。短信验证码因依赖移动网络，易受SIM卡交换攻击或仿冒页面诱导；身份验证器应用虽能抵御网络传输劫持，但仍无法防范钓鱼页面；通行密钥则具备强绑定特性，仅在真实域名下有效，从根本上阻断钓鱼攻击。

自我托管是规避供应商风险的根本路径

将私钥掌握在自己手中，意味着资产不受任何第三方平台或其供应商影响。硬件钱包作为物理密钥存储设备，可在不暴露密钥的前提下完成签名操作。虽然需自行承担遗失或损坏风险，但长期持有的资金应优先考虑此类独立管理方式。

应对建议：强化安全设置，警惕未来接触

建议用户立即检查账户安全配置，将短信验证替换为身份验证器应用或通行密钥。对于长期持有的资产，应考虑移至自我托管环境，并参考硬件钱包对比指南选择合适方案。未来数周内，务必警惕任何提及此次事件的来电或邮件，切勿点击其中链接，更不可提供敏感信息。