币圈界报道：

交易所供应商遭袭致客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户联系方式（包括电子邮箱和手机号）遭到非授权访问。尽管相关数据已流出，但账户密码、私钥、交易记录及资金余额均未被窃取，且在平台内部系统中未发现异常登录或越权操作痕迹。

核心风险转向可接触性，而非账户权限

此次事件并非对区块链网络的直接攻击，亦不涉及资产盗用。真正的威胁在于：攻击者可通过已知的用户身份信息，实施高度精准的社会工程学诱骗。一旦掌握客户的注册邮箱与电话，便能构建可信度极高的伪造沟通场景，诱导用户主动提供敏感信息。

分析服务商成数据枢纽，匿名标识与真实信息并存

本次涉事供应商为Amplitude，一家专注于产品行为分析的服务商。该类平台通常通过嵌入客户端的SDK收集用户交互数据，以实现功能优化与用户体验评估。为实现跨系统匹配，部分集成会传输电子邮件或电话号码，从而将匿名行为数据关联至真实身份，形成潜在的数据存储节点。

泄露范围存疑：交易所称“少量”，安全机构称逾七万

Coinbase仅表示影响范围有限，未公布具体账户数量。然而，区块链安全公司SlowMist援引一份数据集指出，涉及用户超过7万个，且尚未确认是否包含密码或资产信息。目前尚无独立验证，事件规模仍处于不确定区间。无论数字大小，对个体而言，唯一确定的判断标准是是否收到通知。

信息传递渠道成为信任悖论：通知本身可能已被劫持

Coinbase计划通过电子邮件向受影响用户发送通知，并已向监管机构申报。然而，这一通信路径恰好也是攻击者最易模仿的媒介。因此，任何提及此次事件的邮件或来电，均无法自证真实性——其内容虽可公开查证，但链接点击行为却可能将控制权交予发送方。

社会工程骗局运作机制：从冒充支持到诱导转账

典型的诈骗流程包括：冒充客服，准确说出用户邮箱与注册平台名称，声称检测到可疑登录行为，制造紧急氛围，进而要求执行不可逆操作——如转账至指定地址、输入助记词、提交一次性验证码等。此类攻击的核心优势在于信息精准，极大降低受害者的怀疑心理。

识别骗局的两大关键信号

真正客服不会主动发起通话施压；而任何索取助记词、私钥或一次性验证码的行为，本质上都是在请求访问权限。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间细节、强制保密要求等均为典型警示标志。

官方支持绝不会索要这些信息

正规交易所不会要求用户提供助记词或一次性验证码以解锁账户或处理提款。这些信息仅用于验证登录身份，一旦提供即等于授予他人访问权限。自我托管需基于自主决策，应使用自己生成的钱包与地址，避免接受来自外部来源的“保管”建议。

供应商未公开声明，事件责任归属仍待确认

Amplitude官网状态页面未列出此次事件，仅记录了10月24日至27日的技术中断与维护情况。其10月22日发布的关于PHP漏洞的通知，虽提及第三方协作修复，但未明确指向当前事件。目前所有信息均来自Coinbase单方面披露，供应商自身尚未回应，事件全貌仍不明朗。

GDPR主导报告义务，监管框架清晰可循

Coinbase依据卢森堡监管机构颁发的MiCA许可服务于欧盟市场，但数据泄露事件适用《通用数据保护条例》（GDPR）。根据该法规，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行这两项义务，且用户可向居住国数据保护机构提出申诉，不受公司注册地限制。

双重验证方式应对不同风险情境

在联系信息泄露背景下，双因素认证的有效性因形式而异：短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导；身份验证器应用生成代码本地化，但对钓鱼网站无防护力；通行密钥则具备抗钓鱼特性，因其绑定真实域名，伪造站点无法触发有效验证。

自我托管切断供应链风险链

采用自我托管模式，意味着私钥由用户自行保管，不受交易所及其供应商影响。硬件钱包作为常见工具，将密钥存储于专用芯片内，签署交易时不暴露密钥。虽然密钥管理责任转移至个人，存在丢失或设备欺诈风险，但长期持有者普遍选择此方式以规避平台侧风险。

通知仅限邮件，用户需保持高度警觉

当前，受影响用户仅通过电子邮件接获通知。建议立即检查账户安全设置，优先将短信验证码替换为身份验证器或通行密钥。对于长期持有的资产，应考虑移至自我托管环境。未来数周内，预计会有大量以“事件通知”为名的骚扰信息出现，任何要求转账或输入助记词的请求，皆视为诈骗。

总体而言，这是一起以联系信息为核心、未触及资产安全的事件。尽管实际影响规模尚存争议，且供应商尚未发声，但用户应坚持不主动响应任何未经请求的沟通，等待权威渠道发布进一步说明。