币圈界报道：

Coinbase披露供应商安全漏洞：客户联系方式遭外泄，资产未受波及

2026年10月28日，Coinbase正式通报一起由第三方服务提供商引发的安全事件。据其发送的官方通知，部分用户的电子邮件地址与联系电话在未经授权的情况下被暴露，但账户密码、私钥、交易记录及资金余额均未受损。公司强调，其核心系统未发现异常访问行为，此次风险源于外部供应商而非自身平台。

供应链风险显现：分析服务商成数据泄露关键节点

本次事件的源头指向产品分析平台Amplitude，该企业通过集成SDK收集用户行为数据。为实现个性化分析，其服务常需关联用户身份信息，如邮箱或手机号码。一旦此类数据被采集并存储，便构成潜在泄露点。此次事件中，数据传输路径中的薄弱环节成为攻击入口，且影响范围波及多个使用该服务的客户，非仅限于Coinbase。

泄露内容界定：仅联系方式，不涉账户凭证

Coinbase明确表示，受影响的数据仅包含联系信息，未涉及登录密码、助记词、一次性验证码或账户余额。尽管这些信息无法直接用于资金转移或账户入侵，却极大提升了社会工程攻击的成功率——攻击者可基于真实信息构建高度可信的伪装场景，诱导用户主动交出敏感操作权限。

事件规模悬而未决：交易所称“少量”，安全机构指超七万

关于受影响用户数量，双方存在显著分歧。Coinbase以“少量”概括，未公布具体数字；而区块链安全团队SlowMist则声称掌握一份涵盖逾7万个账户的数据集，但未证实是否包含密钥或余额信息。目前尚无独立验证，因此实际影响范围仍处于模糊状态。对个体而言，无论规模大小，唯一确定受害与否的方式是收到官方通知。

通知渠道困境：邮件既是通报方式，也是欺诈工具

Coinbase计划通过电子邮件向受影响用户发送通知，并已履行向监管机构报告的义务。然而，这一通信方式本身即面临信任危机：若邮箱已被窃取，那么来自同一来源的消息可能正是伪造的。因此，用户应避免点击邮件中的链接，改由直接访问官网或应用内核实信息，以防将访问权让渡给冒充者。

社会工程攻击模式：从“可疑登录”到“紧急转账”

攻击者常以“检测到异常登录”为由主动联系用户，营造紧迫氛围，诱导其执行转账、输入助记词或提供一次性验证码等不可逆操作。此类攻击的核心在于利用已知的身份信息建立信任，使骗局更具说服力。真正的客户服务不会主动发起通话，也不会要求用户提供核心安全凭证。

三大识别特征：主动来电、索要密钥、施加压力

真正客服只会响应用户发起的请求，绝不会主动致电施压。任何索取助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写错误、链接显示与文本不符、缺乏具体事实依据的时间限制，以及禁止与他人讨论的要求，均为典型骗术标志。

不可接受的请求：从未有机构需要您的核心凭证

所有正规交易所或钱包服务商均无需用户提交助记词、私钥或一次性验证码来处理问题。这些信息仅用于身份验证，一旦泄露即意味着完全控制权的丧失。自我托管虽是理想选择，但必须建立在自主管理的基础上，而非依赖他人提供的“安全地址”进行保管。

Amplitude官方未发声：状态页无相关记录

截至当前，Amplitude的公开状态页面未列出此次事件。其记录中仅有10月22日关于PHP漏洞的公告，但声明自身服务不受影响。此前的维护与延迟事件亦与本次泄露无关。因此，关于事件的责任归属，目前仅能依据Coinbase单方面陈述，尚未获得供应商方的正式回应。

法律框架适用：GDPR主导信息披露义务

尽管Coinbase在欧盟运营依托于卢森堡颁发的MiCA许可，但此次数据泄露事件受《通用数据保护条例》（GDPR）管辖。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已完成报告与通知流程，符合法定要求。即使问题出在供应商端，责任主体仍为数据控制者，即交易所本身。

双因素认证应对策略：从短信代码到通行密钥

在联系信息外泄背景下，第二因素的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导，防御力最弱。身份验证器应用生成的代码虽本地化，但仍无法抵御钓鱼网站。相比之下，通行密钥具备抗钓鱼能力，其绑定真实域名，仅在合法网站上有效，是当前最优解。

自我托管：脱离中心化系统的根本防护

采用自我托管可彻底规避交易所供应商风险，因为私钥由用户独立保管，不存放于任何第三方系统。硬件钱包作为常用工具，将密钥固化于专用芯片中，即便设备接入网络也难以提取。虽然密钥丢失将导致资产永久不可恢复，但此风险可通过规范备份流程降低。对于长期持有者而言，将非交易资金转移至自管钱包，已成为主流安全实践。

后续行动建议：警惕接触，强化防护

建议用户立即检查账户安全设置，将短信验证升级为身份验证器或通行密钥。评估资产分配策略，将长期持有的部分移入自我托管环境。未来几周内应高度警惕任何提及此次事件的通讯，凡涉及转账、输入助记词或提供验证码的请求，一律视为诈骗。目前信息一致表明：事件仅涉及联系信息，不波及资金，但风险等级取决于用户应对方式。