币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄但资产无虞

2026年10月28日，Coinbase对外通报其一家第三方服务提供商遭遇安全事件，部分用户的电子邮件地址与手机号码被非法获取。尽管此次事件波及范围尚存争议，但交易所明确表示，账户密码、私钥、交易历史及资产余额均未遭侵入，系统内部亦未发现异常访问痕迹。

核心风险转向通信路径而非账户本身

本次事件的关键影响不在于账户被盗或资金损失，而在于攻击者获得了精准的目标联络方式。掌握用户身份与联系方式后，诈骗者可实施高度定制化的社交工程攻击，通过伪造支持电话或邮件制造可信度，诱导用户主动提供敏感信息。

Amplitude作为分析工具：数据采集机制成隐患源头

Amplitude是一家为数字产品提供用户行为分析的服务商，其功能依赖于集成在客户端的SDK收集使用数据。为实现用户识别与业务对接，部分数据会包含邮箱或电话等个人标识信息，一旦这些字段被传输至供应商服务器，便构成潜在泄露点。此次事件正是由此类数据流转环节触发。

泄露范围存疑：从“少量”到逾七万的悬殊说法

Coinbase官方称受影响用户数量有限，未公布具体数字；然而，区块链安全机构SlowMist声称已核实一份涉及超7万个账户的数据集，虽未确认是否包含密码或余额，但该规模远超交易所表述。目前双方说法尚未统一，事件真实影响仍需进一步验证。

数据泄露后的信任危机：通知渠道即风险载体

受影响用户将通过电子邮件接收通知，但这恰恰构成了悖论——唯一合法的信息传递路径，同时也是欺诈者最常使用的工具。因此，任何来自同一邮箱的后续沟通都应保持高度怀疑，切勿点击其中链接，所有信息应通过官方应用或直接输入官网域名进行核实。

攻击者常以“检测到可疑登录”为由主动致电或发信，利用已知的注册信息建立信任，并施加时间压力，诱使用户执行转账、输入助记词或提供一次性验证码等不可逆操作。此类行为本质上是心理操控，而非技术突破。

真正的客户服务不会主动发起通话施压；若对方要求提供助记词、私钥或一次性验证码，则必定意图获取账户控制权。此外，域名拼写错误、链接显示与文本不符、缺乏具体事实依据的时间限制、禁止与他人讨论等特征也应引起警觉。

没有任何正规平台会要求用户提供助记词或私钥来解决账户问题。一次性验证码仅用于确认登录者身份，一旦提交即等于授权访问。任何要求将资金转移至“安全地址”的请求，皆属高危诈骗。自我托管应基于自主决策，而非响应外部指令。

截至当前，Amplitude官方状态页仅列出10月24日至27日的技术中断和维护记录，包括数据摄入延迟与数据中心运维，但未提及10月27日至28日的安全事件。此前发布的关于PHP漏洞的通告也未明确指向此次泄露，因此事件责任归属仍取决于未来供应商的正式回应。

Coinbase在欧盟市场运营依托卢森堡颁发的MiCA许可证，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告泄露，并在对个人权利构成高风险时通知用户。交易所已履行上述义务，且用户可向所在国数据保护机构提出申诉。

在联系信息外泄背景下，第二因素的安全性面临严峻考验。短信验证码因依赖移动网络，易受SIM卡交换攻击或仿冒页面诱导；而身份验证器应用生成的代码虽更安全，但仍无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造页面无法调用。

将私钥完全掌握在自己手中，可彻底规避交易所供应商的风险。硬件钱包通过专用芯片隔离密钥，即使设备连接网络也不暴露私钥。尽管存在丢失助记词或购买假冒设备的风险，但长期持有者普遍采用“分层管理”策略：日常交易使用持牌平台，长期资产则自行保管。

建议用户检查账户安全设置，将短信双因子替换为身份验证器或通行密钥；评估资金分配策略，考虑将非交易用途资产移至自我托管环境；未来数周内提高警惕，凡涉及转账、输入助记词或提供验证码的请求一律视为诈骗。尽管事件本质为联系信息泄露，但实际影响范围与供应商声明仍待官方确认，现阶段应避免被动接触。