币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日凌晨，Coinbase对外披露，其合作供应商在近期遭遇网络安全事件，造成部分用户联系信息（包括电子邮箱和手机号码）被非法获取。尽管相关数据已暴露，但账户密码、私钥、交易历史及资产余额均未遭到侵入，且交易所系统内部未检测到异常访问行为。

核心数据外泄源于第三方分析服务商，非平台自身漏洞

此次事件的源头指向产品数据分析公司Amplitude，该公司通过集成于客户端的软件开发工具包（SDK）收集用户行为数据。为实现精准分析，部分数据在传输时附带了用户的电子邮件或电话号码，从而形成敏感信息存储点。该服务模式使得即使平台本身安全，仍可能因供应商环节出现风险敞口。

泄露范围存疑：交易所称“少量”，安全机构指超七万账户

Coinbase官方表示受影响用户数量有限，但未提供具体数字。与此同时，区块链安全团队SlowMist声称已验证一份涉及超过7万个账户的数据集，但未确认是否包含密码或资金信息。目前双方说法存在显著差异，尚无独立证据可作定论。对于个体用户而言，无论实际规模如何，关键在于是否收到通知以及是否采取防范措施。

联系信息泄露带来新型威胁：精准社交工程攻击兴起

与传统密码泄露不同，本次事件的核心风险并非账户访问权限，而是“可达性”——攻击者可利用已知身份信息进行高度定制化骚扰。例如，冒充客服主动致电，谎称检测到可疑登录，并施加紧迫感诱导用户执行转账、输入助记词或提供一次性验证码等操作。

识别骗局的两大关键信号：主动联系与索取敏感凭证

真正的客户服务不会主动发起通话或邮件施压。任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止向他人透露等特征，均为典型欺诈标志。

合法支持渠道绝不索取密钥类信息

所有正规交易所和钱包厂商均不会要求用户提供助记词、私钥或一次性验证码来协助处理账户问题。这些信息仅用于登录验证，一旦泄露即等于授权访问。任何建议将资金转移至“安全地址”保管的说法，皆属高危诈骗行为。自我托管应基于自主决策，而非依赖他人提供的“安全方案”。

Amplitude状态页面未公开披露事件，责任归属待澄清

截至发稿，Amplitude官网的状态监控页面并未列出2026年10月27日至28日的安全事件，仅记录了此前几日的技术中断与维护公告。其10月22日发布的关于PHP漏洞的通知，虽提及与第三方协作修复，但无法证实与当前事件存在关联。因此，该事件的责任认定仍主要依赖于Coinbase单方面声明，尚未获得供应商官方确认。

GDPR框架下报告义务履行情况明确

尽管Coinbase在欧洲运营依据的是欧盟《加密资产市场法规》（MiCA）许可，但本次数据泄露适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构通报，并在风险较高时直接通知受影响个人。交易所已履行上述义务，包括向监管方报告并发送通知邮件，符合合规要求。

双因素认证形式影响安全边界：短信代码最易受攻击

在联系信息外泄背景下，第二重验证方式的选择尤为关键。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导输入攻击；而身份验证器应用生成的代码虽更安全，但对钓鱼网站无防护能力。通行密钥则具备抗钓鱼特性，因其绑定真实域名，伪造网站无法触发有效认证。

自我托管是规避供应商风险的根本路径

采用自我托管模式，将私钥掌握在自己手中，可彻底避免因交易所或其供应商被攻破而导致资产受损。硬件钱包作为常见工具，能将密钥隔离于专用芯片中，即使设备接入网络也不暴露私钥。然而，这也意味着密钥丢失即永久损失，需承担更高管理责任。多数用户选择分层策略：日常交易使用交易所，长期持有则转入自管钱包。

后续行动指南：强化防御，警惕主动接触

建议用户立即检查账户安全设置，将短信验证升级为身份验证器应用或通行密钥；评估资产分配，将非交易用途的资金移至自我托管环境；未来数周内提高警惕，对任何提及此次事件的来电或邮件保持怀疑，切勿点击链接或提供敏感信息。目前唯一可信赖的信息来源仍是官方通知渠道，其余皆需审慎甄别。