币圈界报道：

Coinbase供应商遭入侵：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase对外披露其合作供应商发生信息安全事件，确认部分用户的电子邮箱及手机号码被非法获取。尽管涉及数据范围有限，但该事件凸显了现代数字服务中第三方供应链所承载的潜在风险。值得注意的是，账户密码、私钥、交易记录及资产余额均未遭到破坏，且平台系统本身未发现异常访问痕迹。

数据外泄源头指向分析服务商Amplitude

此次事件的核心责任方被归于产品行为分析公司Amplitude。该公司通过集成在客户端的SDK收集用户交互数据，用于优化平台体验。为实现精准分析，部分数据包包含可识别身份的信息，如电子邮件或电话号码，从而在存储环节形成敏感信息集中点。据Coinbase透露，该事件发生在10月27日至28日之间，影响范围不仅限于自身，其他使用相同服务的客户也面临类似风险。

泄露内容限定于联系方式，不涉及账户凭证

Coinbase明确指出，本次事件仅涉及联系信息，未包括任何登录凭据或财务数据。这意味着攻击者无法直接操控账户或转移资金。然而，此类信息的暴露显著提升了社会工程攻击的精准度——攻击者可利用已知身份信息发起高度可信的冒充行为，例如伪装成客服人员进行电话或邮件骚扰。

事件规模存疑：官方称“少量”，第三方称超七万

关于受影响用户数量，双方说法差异悬殊。Coinbase坚持表示影响范围较小，但未公布具体数字；而区块链安全机构SlowMist则声称掌握一份涵盖逾7万个账户的数据集，虽未确认是否含密钥，但强调数据真实性。目前尚无独立验证手段，因此实际规模仍处于不确定状态。无论最终数字如何，对个体用户而言，关键在于是否收到通知，而非具体人数。

信息传递渠道成双重风险：通知即可能被伪造

由于受影响用户将通过电子邮件接收通知，这一通信方式本身也成为攻击目标。攻击者可模仿官方信件，利用同一邮箱地址实施诈骗。因此，所有提及该事件的邮件都应谨慎对待，切勿点击其中链接。建议通过官方应用或手动输入官网地址核实信息，避免将访问权交予发送方。

典型骗局特征：主动来电+紧迫感+索取敏感信息

基于泄露数据的社会工程攻击通常具备两个明显特征：一是由对方主动发起，而非用户主动求助；二是要求提供助记词、一次性验证码或转账至指定地址。这些操作本质上是试图绕过安全机制，获取账户控制权。此外，域名拼写错误、链接与显示不符、缺乏具体时间细节、禁止外部讨论等均为常见预警信号。

真正的支持团队从不索要关键凭证

正规交易所不会要求用户提供助记词、私钥或一次性验证码。这些信息仅用于建立访问权限，任何索取者皆属欺诈。同样，没有任何机构会以“保管”名义要求用户将资产转入其提供的地址。自我托管需自主决策，使用经认证的钱包并自行生成密钥，而非依赖他人提供的地址。

Amplitude官方状态页未记录此次事件

公众试图通过Amplitude公开状态页面验证事件时，却发现其列出的维护记录止于10月27日，且未提及安全漏洞。此前唯一相关的公告是关于PHP语言的潜在漏洞，但该公司声明自身不受影响。目前尚无证据表明该事件与此有关，因此将问题归因于Amplitude，仍仅基于Coinbase单方面陈述，缺乏供应商自身的回应。

GDPR框架下，责任主体始终是交易所

尽管Coinbase持有卢森堡MiCA许可证服务于欧盟市场，但此次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者必须在72小时内向监管机构报告，并在高风险情况下通知用户。尽管事件源于供应商，但法律责任仍由交易所承担。用户有权向所在国数据保护机构提出申诉，不受公司注册地限制。

双重验证机制在泄露后的防御差异

面对联系信息外泄，不同形式的双因素认证表现各异。短信验证码最易受攻击，因号码已被知晓，可能遭遇SIM卡劫持或仿冒页面诱导输入。身份验证器应用虽能抵御网络传输风险，但仍无法防范钓鱼网站。相比之下，通行密钥具备抗钓鱼能力，因其与真实域名绑定，伪造站点无法触发有效验证。

自我托管：切断供应商链路的安全路径

对于长期持有者而言，自我托管是规避第三方风险的有效策略。硬件钱包将私钥隔离于专用芯片，即使设备连接网络，密钥也不会外泄。虽然管理责任完全转移至个人，存在丢失或误用风险，但其优势在于不依赖中心化平台的供应链。因此，许多用户采取分层策略：日常交易保留在合规交易所，长期资产则置于自己掌控之下。

后续行动指南：强化防护，严防主动接触

当前首要任务是审查账户安全设置，优先将短信验证替换为身份验证器或通行密钥。同时，考虑将非交易性资产迁移至自我托管环境，参考权威硬件钱包对比指南选择合适工具。未来数周内，预计会有大量以事件为由的邮件和电话骚扰，务必保持警惕，凡要求转账、输入助记词或验证码者，一律视为欺诈。