币圈界报道：

Coinbase披露第三方服务商数据泄露：客户联系方式遭外泄，核心资产完好

2026年10月28日，Coinbase正式通报一起由其合作供应商引发的安全事件。据官方邮件声明，部分用户的电子邮箱与手机号码在未经授权的情况下被暴露，但账户密码、私钥、交易明细及资金余额均未受到波及，且交易所系统内部未检测到异常登录行为。

供应链漏洞成焦点：非平台直接攻破，而是外部服务端失守

此次事件并非针对区块链网络或交易所核心系统的攻击，而是典型的数据通过第三方技术服务商流出案例。此类风险正日益成为数字生态中的普遍隐患，即便主平台自身防御严密，一旦其依赖的分析工具或开发组件出现纰漏，便可能造成大规模敏感信息扩散。

数据范围明确：仅限通信渠道信息，不涉及身份验证凭证

Coinbase强调，本次泄露内容严格限定于联系信息，包括注册邮箱与联系电话，不包含任何密码、助记词、一次性验证码或账户余额数据。尽管这些信息无法直接用于转账或登录，却极大提升了诈骗者实施精准社会工程攻击的可能性。

影响规模存疑：交易所称“少量”，安全机构指超七万账户

关于受影响用户数量，双方说法差异显著。Coinbase表示仅涉及有限客户，未公布具体数字；而区块链安全公司SlowMist则援引一份据称真实的数据库文件，指出涉及超过7万个账户。目前尚无独立验证，该数据真实性有待进一步澄清。

通知渠道成双刃剑：唯一告知方式或已暴露

受影响用户将通过电子邮件接收通知，这既是合规义务的体现，也构成了新的风险点——因为该邮箱本身正是泄露目标。这意味着，所有声称来自官方的通知都可能已被伪造，用户应避免点击其中链接，转而通过官网或应用直接核实信息。

骗局运作机制：利用已知身份制造可信度

攻击者可凭借已知的邮箱和账户关联背景，冒充客服人员，声称检测到可疑登录行为，并以紧急状态施压，诱导用户在仿冒页面输入验证码、提供助记词或进行资金转移。此类攻击的核心在于“可达性”而非“访问权”。

识别欺诈的两大关键信号

真正的客户服务不会主动发起通话施压；任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，拼写错误的域名、不符的链接地址、缺乏具体细节的问候语以及强制保密条款，均为高危预警。

绝对不可透露的信息：助记词与验证码的用途本质

没有任何合法机构会要求用户提供助记词来解锁账户或处理提款请求。一次性验证码仅用于确认登录者身份，若被提供即等于放弃访问权限。任何以“资金保管”为名引导转账至指定地址的请求，皆属典型欺诈手段。

Amplitude未公开披露事件，责任归属仍待确认

Amplitude的公共状态页面列出了10月24日至27日的技术中断与维护事项，但并未提及27日和28日发生的数据泄露事件。其此前发布的关于PHP漏洞的通告，虽与安全相关，但未明确指向此次事件。目前所有信息均源自Coinbase单方面声明，供应商尚未作出回应。

法律框架适用：GDPR主导报告义务，非MiCA

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但本次事件受《通用数据保护条例》（GDPR）管辖。该法规要求数据控制方在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。交易所已履行上述义务，用户可向所在国数据保护机构提出申诉。

双重认证选择：短信代码最脆弱，通行密钥最具抗钓鱼能力

在联系信息外泄背景下，第二因素的选择至关重要。短信验证码易受SIM卡劫持与仿冒页面诱导，风险最高；身份验证器应用生成的代码虽更安全，但仍可能被输入虚假登录页；而通行密钥因绑定真实域名且具备防钓鱼特性，是当前最可靠的防护方案。

自我托管：脱离中心化服务，从根本上规避供应商风险

将私钥完全掌握在自己手中，意味着资产不再依赖交易所及其合作伙伴。硬件钱包作为物理存储设备，能有效防止密钥在联网环境中暴露。虽然需承担丢失或损坏的风险，但对长期持有者而言，这是规避第三方漏洞的最佳策略。

后续行动建议：强化安全设置，保持警惕

建议用户立即检查账户安全配置，将短信双因素更换为身份验证器应用或通行密钥。同时评估资金分配结构，将非交易用资产移至自我托管环境。未来数周内应高度警惕任何提及此事件的来电或邮件，凡涉及转账、输入助记词或验证码的要求，一律视为诈骗。