币圈界报道：

交易所供应商遭袭：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱和手机号码被非法获取。尽管账户内的密码、私钥、交易记录及资金余额均未遭到破坏，且内部系统未发现异常访问痕迹，但此次泄露仍构成重大风险。

第三方分析平台成数据漏洞入口

涉事方为产品行为分析服务商Amplitude，该机构通过集成于客户端的SDK收集用户交互数据。为实现精准分析，部分数据包含可识别身份的信息，如电子邮件与电话号码。当这些信息被传输至外部服务器时，即形成潜在的数据暴露点。

泄露范围存疑：官方称“少量”，安全机构指超七万

Coinbase在声明中表示受影响用户数量有限，但未提供具体数字。与此同时，区块链安全公司SlowMist援引一份数据集指出，涉及账户超过7万个，且未确认是否包含敏感凭证。目前双方说法存在显著差异，尚无独立验证结果，事件规模仍处于不确定状态。

风险本质在于“可达性”而非“访问权”

此次事件的核心威胁并非账户被盗，而是攻击者可利用已知的联系方式实施高度精准的社会工程学欺诈。例如，冒充客服人员拨打电话或发送邮件，以“检测到可疑登录”等理由诱导用户输入验证码、助记词或转账至指定地址，从而造成经济损失。

虚假支持来电的典型套路与识别特征

真正的客户服务不会主动发起通话施压。若对方要求提供助记词、私钥或一次性验证码，即表明其意图获取账户控制权。其他警示信号包括域名拼写错误、链接目的地与文本不符、使用模糊问候语、制造紧迫感以及禁止与他人讨论此事。

合法服务请求与诈骗行为的根本区别

任何正规交易所均不会索要助记词或一次性验证码用于账户解锁、取消订单或释放提款。此类请求一律属于欺诈。同样，要求将资产转入“安全保管地址”的行为也违背自我托管的基本原则——所有资金转移必须由持有密钥的一方主动发起。

Amplitude官方页面未披露该事件

截至当前，Amplitude的公开状态页面仅列出2026年10月24日至27日的技术中断与维护公告，未提及安全事件。其此前发布的关于PHP漏洞的通知亦未明确关联本次泄露。因此，事件责任归属仍依赖于Coinbase单方面声明，缺乏供应商自身回应。

GDPR适用：欧洲用户报告义务已触发

尽管Coinbase在欧盟持有多国牌照，但本次事件适用《通用数据保护条例》（GDPR），而非MiCA法规。根据规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。目前交易所已完成相关程序，但用户仍可向居住地数据保护机关提出投诉。

双因素认证应对策略：从短信代码到通行密钥

在联系信息泄露背景下，短信验证码成为最脆弱环节，易受SIM卡劫持或仿冒页面诱导。相比之下，基于应用的身份验证器更安全，而通行密钥具备抗钓鱼能力，因其与真实域名绑定，伪造网站无法生效。

自我托管：脱离中心化风险的终极防线

采用自我托管模式，尤其是使用硬件钱包，可确保私钥完全由用户掌控，不受交易所及其供应商的影响。虽然密钥丢失将不可恢复，但此举有效规避了因第三方系统漏洞导致的资产风险。许多投资者据此采取分层策略：日常交易保留在合规平台，长期持有则转入自管钱包。

官方通知渠道唯一可靠，切勿轻信外部链接

Coinbase仅通过电子邮件向受影响用户发送通知，这既是法律义务，也是唯一可信路径。然而，由于邮件地址本身已被泄露，攻击者可能借此伪装成官方消息。因此，建议用户直接访问官网或使用官方应用核实信息，避免点击任何来源不明的链接。