币圈界报道：

Coinbase披露供应商安全漏洞：客户联系方式遭泄露，资产安全无虞

2026年10月28日凌晨，Coinbase正式通报，其合作供应商在系统操作中遭遇安全异常。据内部邮件显示，部分用户的电子邮箱及手机号码被非法获取，但账户密码、私钥、交易记录与余额均未受损，且平台核心系统未检测到越权访问行为。

核心数据外泄源于第三方分析服务链路

此次事件的源头指向产品行为分析服务商Amplitude。该类公司通过嵌入客户端SDK的方式收集用户交互数据，以优化应用体验。为实现用户识别，部分数据包含可关联至个人的身份信息，如电子邮件与电话号码，从而形成敏感数据存储节点。

泄露范围存疑：交易所称“少量”，安全机构指超七万

Coinbase表示受影响账户数量有限，未公布具体数字，同时强调未涉及任何账户凭证或资金信息。然而，区块链安全机构SlowMist援引一份数据集指出，涉事信息覆盖逾7万个账户，尽管尚未确认是否含密码或余额。目前双方说法悬殊，尚无独立验证，实际影响面仍待厘清。

信息泄露后的新威胁形态：精准化社会工程攻击兴起

与传统密码盗取不同，本次事件的核心风险在于“可达性”而非“可访问性”。攻击者掌握确切的用户身份信息后，可发起高度定制化的欺诈通信——冒充客服声称检测到异常登录，制造紧迫感并诱导转账、输入助记词或提供一次性验证码。

虚假支持渠道的典型特征识别指南

真实客服从不主动致电施压；任何要求提供助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写偏差、链接地址与文本不符、缺乏具体时间依据、禁止外部讨论等均为常见骗局特征。应始终通过官方渠道核实信息，避免点击不明链接。

双重认证机制应对策略：从短信代码到通行密钥

在联系信息外泄背景下，双因素认证形式差异显著。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导，防御力最弱。基于身份验证器应用生成的代码虽能抵御中间人攻击，但仍可能在钓鱼页面上被窃取。通行密钥则具备抗钓鱼能力，仅在真实域名下有效，是当前最优解。

自我托管作为终极防护：硬件钱包规避平台风险

将私钥交由自身保管，可彻底脱离交易所及其供应商体系。硬件钱包通过专用芯片隔离密钥，即使设备连接网络也不泄露原始私钥。但需注意，助记词丢失即永久失去资产，且非正规渠道购买的设备存在供应链风险。建议按用途分层管理：日常使用保留于交易所，长期持有则转入自管钱包。

通知渠道成信任盲区：邮件本身可能已被污染

Coinbase承诺通过电子邮件向受影响用户发送通知，并已履行向监管机构报告义务。然而，该渠道正是攻击者最可能利用的路径。因此，收到相关邮件时须保持警惕，切勿点击其中链接，所有信息应直接通过官网或应用程序核实。

Amplitude状态页空白：责任归属仍存不确定性

截至发稿，Amplitude官方状态页面未列出此次事件，仅显示此前数日的技术维护与数据延迟情况。其10月22日发布的关于PHP漏洞通告，虽提及第三方协同修复，但无法证实与本次泄露有关。目前所有信息均来自Coinbase单方面声明，事件真相仍有待供应商后续回应。

欧盟法规框架下的责任划分：控制者不可推诿

尽管Coinbase依托卢森堡MiCA许可服务欧洲市场，但本次事件适用《通用数据保护条例》（GDPR）。根据规定，数据控制者必须在72小时内向监管方通报，并在对个人权利构成高风险时通知用户。即便漏洞发生在供应商端，交易所仍负有法律责任。用户可在居住国向数据保护机构提出投诉，不受公司注册地限制。

综上所述，本次事件虽未波及账户资产，但暴露了现代数字生态中供应链安全的深层脆弱性。建议用户立即审查账户安全设置，升级至通行密钥，并考虑将长期持仓转移至自我托管环境。未来几周内，针对此类事件的针对性骚扰预计将显著增加，务必保持高度警觉。