币圈界报道：

Coinbase披露供应商数据泄露：仅客户联系方式外泄，资产安全无忧

2026年10月28日凌晨，Coinbase官方通报称，其合作的第三方分析服务提供商Amplitude遭遇安全事件，造成部分用户联系方式（包括电子邮箱与手机号）被非法获取。尽管数据外泄，但账户密码、私钥、交易历史及资产余额均未受损，且交易所系统内部未发现异常访问痕迹。

供应链漏洞成焦点：数据通过服务商渠道外流

此次事件并非针对链上系统或平台核心架构的攻击，而是典型的数据供应链风险暴露。作为产品行为分析服务商，Amplitude依赖集成在客户端的SDK收集用户操作数据，为实现精准追踪，常需绑定用户的电子邮件或电话号码以关联至客户数据库。一旦此类敏感信息存储于第三方系统，便构成潜在泄露路径。

影响范围存疑：交易所称“少量”，安全机构称超七万

Coinbase在声明中表示受影响用户数量有限，但未公布具体数字。然而，区块链安全公司SlowMist援引一份数据集指出，涉及超过7万个账户的联系信息。该数据来源尚未经官方核实，目前尚无法判断真实规模。无论具体人数如何，关键在于：一旦数据流出，即永久处于可被滥用状态。

身份识别风险高于账户入侵：社交工程攻击上升

与密码泄露不同，本次事件的核心威胁不在于账户登录权限丧失，而在于攻击者可利用已知身份信息实施高度定制化的社会工程攻击。掌握用户注册邮箱和电话后，骗子能精准伪造支持来电或邮件，编造“异常登录检测”等情境，制造紧迫感并诱导用户提供助记词、一次性验证码或进行资金转移。

骗局识别特征：主动联系与索取密钥即为高危信号

真正的客服不会主动发起通话施压；任何要求提供助记词、私钥或一次性验证码的行为均属欺诈。此外，域名拼写错误、链接显示地址与文本不符、缺乏具体时间细节、强制保密等均为典型骗术特征。需注意：即使页面外观逼真，只要输入敏感信息，即等于将控制权交予攻击者。

通行密钥优于短信验证：提升第二因素安全性

在联系信息已暴露的前提下，短信验证码成为最脆弱的双重验证方式，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码虽不能抵御钓鱼网站，但仍优于短信。而通行密钥则具备抗钓鱼能力，因其与真实域名强绑定，在伪造站点上无效，是当前最可靠的第二因素选择。

自我托管规避风险：硬件钱包保障长期持有资产

将私钥掌握在自己手中，可彻底脱离交易所及其供应商的风险敞口。硬件钱包将密钥固化于独立芯片内，签署交易时也不对外传输，极大降低被远程窃取的可能性。虽然自托管意味着责任转移，但对长期持有者而言，这是规避第三方信任风险的必要策略。

通知渠道矛盾：唯一合法通知可能已被污染

Coinbase计划通过电子邮件向受影响用户发送通知，并已向监管机构报告。然而，这一通信渠道本身正是泄露数据的载体——若邮箱已被攻破，相关通知也可能被伪造。因此，建议用户切勿点击邮件中的链接，应直接通过官网或应用入口核实信息。

Amplitude未公开声明：事件责任归属仍待澄清

截至发稿，Amplitude官方状态页面并未提及此次事件，仅列出10月24日至27日的系统维护与延迟问题。此前关于PHP漏洞的通知也未明确指向此次泄露。目前所有信息均来自Coinbase单方面声明，供应商自身尚未回应，事件真实性与影响边界仍有待其正式公告确认。

GDPR框架下合规义务：交易所承担最终责任

尽管Coinbase依据卢森堡MiCA许可运营欧洲业务，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在风险较高时通知用户。即使漏洞源于供应商，交易所作为数据控制方仍需承担法律责任，用户可向所在国数据保护机构提出投诉。

行动建议：强化防护，警惕后续接触

建议立即检查账户安全设置，将短信验证码升级为身份验证器或通行密钥；考虑将非交易用途的资产转入自我托管的钱包，尤其是硬件设备；未来几周内提高警惕，对任何提及“账户异常”“安全验证”的来电或邮件保持怀疑，拒绝任何形式的资金转移指令。