币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase官方通报其一家第三方服务提供商遭遇安全事件，造成部分用户联系方式（包括电子邮箱与手机号）被非法获取。尽管数据暴露范围存在争议，但交易所明确表示，用户的密码、私钥、资金余额及交易历史均未遭入侵，其内部系统亦未发现异常访问痕迹。

供应链漏洞成隐患：数据通过分析服务商外泄

此次事件根源指向产品分析平台Amplitude，该企业为多个数字服务提供用户行为追踪工具。其技术实现依赖于集成在客户端的应用程序开发工具包（SDK），用于收集并存储用户交互数据。当这些数据包含可识别身份的信息如邮箱或电话时，便形成敏感信息存储点，成为潜在泄露源头。

数据泄露范围存疑：交易所称“少量”，安全机构称超七万

Coinbase在声明中仅描述受影响账户数量为“少量”，未公布具体数字。然而，区块链安全公司SlowMist援引一份据称属实的数据集，指出涉及用户超过7万个，且尚未确认是否包含密码或资产详情。目前双方说法差异显著，尚无独立验证，事件真实规模仍处于不确定状态。

信息泄露后的新型威胁：精准化社会工程攻击兴起

联系信息外泄的核心风险不在于账户被攻破，而在于攻击者可利用已知身份信息发起高度定制化的欺诈行为。例如，冒充客服主动致电，提及注册邮箱并虚构登录异常警报，制造紧迫感诱导用户输入助记词、转账至指定地址或提供一次性验证码。

识别骗局的关键信号：被动响应与权限索取

真正的客户服务不会主动联系用户施压；任何要求提供助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写错误、链接目的地与显示不符、缺乏具体时间依据、禁止向他人透露情况等特征也常出现在伪造通信中。

合法支持渠道不可替代：警惕诱导性链接

Coinbase通过电子邮件向受影响用户发送通知，符合其法律义务。但由于邮件地址本身可能已被泄露，此类消息的真实性难以验证。建议用户避免点击其中链接，应直接访问官网或使用官方应用核实信息，以防止将访问权交予恶意方。

Amplitude未公开披露：状态页面无相关事件记录

截至当前，Amplitude的公共状态页面未列出10月27日至28日的安全事件，仅显示此前几日的系统维护和延迟问题。其10月22日发布的关于PHP漏洞的公告也未明确关联本次事件。因此，该事件的责任归属仍仅基于Coinbase单方面陈述，供应商自身尚未作出回应。

欧盟监管框架下的责任归属：GDPR主导报告义务

Coinbase依托卢森堡颁发的MiCA许可证运营欧洲业务，但本次事件适用《通用数据保护条例》（GDPR）。根据规定，数据控制者需在72小时内向监管机构通报，并在对个人权利构成重大风险时通知用户。交易所已履行上述义务，且用户有权向居住地数据保护机构提出申诉，无论其所在国是否为注册地。

多重验证机制应对泄露风险：从短信码到通行密钥

在联系信息已知的情况下，短信验证码安全性大幅下降，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码虽无法防御钓鱼网站，但至少不依赖网络传输。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法触发有效认证。

自我托管：绕过供应商风险的终极方案

将私钥掌握在自己手中可彻底规避交易所供应链漏洞。硬件钱包将密钥存储于专用芯片内，即使设备连接网络，也不会泄露原始密钥。虽然管理责任转移至用户，但长期持有者可通过分层策略——日常交易保留在交易所，大额资产自管——平衡便利与安全。

后续行动建议：强化防护，保持警惕

建议用户立即检查账户安全设置，将短信双因素替换为身份验证器应用或通行密钥；评估是否将非交易用途的资金转入自我托管环境；未来数周内对所有提及此事件的来电或邮件保持高度戒备，凡涉及转账、输入助记词或验证码者一律视为诈骗。尽管事件本质是联系信息泄露而非资产损失，但实际影响取决于用户防范意识。