币圈界报道：

Coinbase披露供应商数据泄露事件：客户联系方式遭外泄，资产安全无虞

2026年10月28日凌晨，Coinbase官方通报称，其合作的第三方分析服务提供商Amplitude遭遇安全漏洞，造成部分用户联系信息（包括电子邮箱及手机号）被非法获取。尽管交易所系统本身未发现异常访问痕迹，且账户密码、私钥、余额与交易记录均保持完整，但该事件仍暴露了依赖外部技术栈所带来的新型风险。

核心数据外泄源头：第三方分析平台存在权限过载

此次事件的根源指向Amplitude——一家专注于产品行为分析的服务商，通过集成在客户端的应用程序代码包（SDK）收集用户操作数据。为实现精准用户识别，部分数据包含可直接关联身份的电子邮件或电话号码，从而在供应商端形成敏感信息存储点。此机制虽提升分析效率，却也扩大了数据泄露的潜在边界。

泄露范围存疑：交易所称“少量”，安全机构指超七万账户

Coinbase官方回应中仅表示影响范围有限，未公布具体数量；而区块链安全公司SlowMist则声称已验证一份涉及逾7万个账户的数据集，但未确认是否包含密码或余额等关键信息。目前双方说法差异悬殊，尚无独立证据支持任一结论，事件规模仍处于不确定性状态。

风险本质转变：从账户入侵到精准社交诱骗

此次泄露并非传统意义上的黑客攻击，不涉及区块链底层或账户凭证窃取。真正威胁在于“可达性”提升——攻击者掌握目标用户的身份标识后，可实施高度定制化的诈骗行为。例如，冒充客服主动致电，虚构登录异常警告，诱导用户输入验证码或转移资产至指定地址，极大增强了欺骗成功率。

通知渠道成双刃剑：邮件既是通知也是欺诈入口

由于受影响用户将通过电子邮件接收通知，而该邮箱恰是泄露信息之一，因此消息的真实性面临严峻考验。任何含链接的邮件都可能引导用户进入伪造页面。建议用户仅通过官方应用或手动输入官网地址核实信息，切勿点击未知来源的链接。

典型骗局特征：主动来电+紧急施压+索取敏感信息

真实客服绝不会主动发起通话或发送邮件要求提供助记词、私钥、一次性验证码，也不会要求转账至“安全账户”。若出现以下情况应高度警惕：对方使用拼写错误的域名、链接目的地与显示不符、问候语泛化、制造时间紧迫感，以及禁止向第三方咨询。

安全措施再审视：通行密钥优于短信验证码

在联系信息已曝光的前提下，依赖短信验证码的双因素认证极易被攻破。攻击者可通过SIM卡劫持或诱导用户在仿冒页面输入代码完成验证。相比之下，基于身份验证器应用生成的动态码或采用通行密钥（Passkey）机制，因具备抗钓鱼能力且本地生成，能有效抵御此类攻击。

长期防护策略：自我托管降低对外部系统的依赖

将长期持有的资产移至自我托管环境，如硬件钱包，可彻底规避交易所及其供应商链路带来的风险。私钥由用户自行保管，不经过任何第三方服务器。虽然需承担密钥丢失或设备失效的风险，但一旦实现控制权自主，便不再受制于外部服务商的安全状况。

监管合规框架：GDPR主导报告义务，责任主体仍在交易所

尽管Coinbase在卢森堡持有MiCA许可证，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构通报，并在对个人权利构成高风险时通知用户。即使问题源于供应商，责任仍由交易所承担，用户有权向所在国数据保护机构投诉。

Amplitude未公开声明：事件真实性待验证

截至当前，Amplitude官方状态页面并未列出此次安全事件。其公布的维护日志仅涵盖系统中断和数据延迟，未提及任何安全相关通告。此前关于PHP漏洞的警示亦未明确指向此次泄露。因此，事件归因仍完全依赖于Coinbase单方面陈述，缺乏供应商侧的佐证。

行动建议：强化验证方式，隔离高价值资产

建议用户立即检查账户安全设置，优先启用身份验证器应用或通行密钥替代短信验证。同时，评估资金分配策略，将非交易用途的持仓迁移至自管钱包。未来几周内应提高警惕，对所有提及此次事件的通信保持怀疑态度，拒绝任何形式的资产转移或密钥索取请求。