币圈界报道：

Coinbase披露供应商数据泄露：仅联系信息外泄，核心资产完好

2026年10月28日，Coinbase正式通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱及手机号码被非法获取。尽管数据暴露范围涉及特定客户群体，但交易所强调，所有账户密码、私钥、资金余额及历史交易均未遭到侵入，其内部系统亦未发现异常访问痕迹。

供应链漏洞成导火索：第三方分析平台成数据出口

此次事件的源头指向产品行为分析服务商Amplitude。该平台通过集成于客户端的SDK收集用户操作数据，为应用提供使用模式分析服务。在某些场景下，为实现用户身份匹配，系统会同步传输注册时提供的邮箱或电话号码，从而形成敏感信息存储点。

Coinbase将事件时间定位在2026年10月27日至28日，并指出此非孤立案例，其他使用Amplitude服务的企业亦可能受到波及，表明问题源于整个技术生态链的安全管理疏漏。

泄露范围存争议：官方称“少量”，安全机构指超七万账户

交易所未公布具体受影响人数，仅以“少量”描述事件规模。然而，区块链安全研究团队SlowMist援引一份数据集，声称其中包含超过7万名用户的联系方式，且未确认是否牵涉密码或余额信息。

目前尚无独立验证支持任一说法，因此事件影响面仍处于模糊区间。对于个体用户而言，关键不在于数字大小，而在于是否收到官方通知——且该通知仅通过已泄露的邮箱渠道发送。

风险本质转变：从“访问权限”到“可接触性”的升级

本次泄露的核心威胁并非账户被登录，而是攻击者获得精准目标名单。掌握用户所属平台及联系方式后，攻击者可实施高度定制化的社交工程攻击，如伪装技术支持来电，编造“异常登录检测”等理由诱导用户执行转账、输入助记词或提供一次性验证码。

区别于传统密码泄露带来的“权限失控”，此类事件的本质是“可达性提升”。更换密码无法消除风险，因为联系方式本身并未改变。

虚假支持电话的运作机制与识别特征

典型的欺诈话术通常包括：主动拨打电话、提及具体平台名称、知晓用户注册邮箱、制造紧急情境，最终要求完成不可逆操作。真正的客服不会主动发起联络，更不会索取助记词、私钥或一次性验证码。

额外警示信号包括：域名拼写错误、链接显示地址与文本不符、问候语泛化、施加时间压力、禁止向他人咨询等。任何索取敏感信息的行为，无论界面多么逼真，均为高危诈骗。

合法服务背后的陷阱：自我托管才是根本防御

没有任何正规金融机构需要用户提交助记词或一次性代码来处理账户问题。这些信息仅用于身份验证，一旦泄露即意味着完全控制权转移。因此，将长期持有的资产移至由自己掌控的钱包中，尤其是硬件钱包，是规避此类风险的有效策略。

尽管自托管需承担密钥丢失的风险，但其优势在于脱离中心化平台的供应链依赖。当前事件中，由于无密钥与余额泄露，这一决策更多出于对持续性风险的预判，而非即时应急。

Amplitude状态页空白，责任归属仍待澄清

公众试图通过Amplitude官方状态页面核实事件进展时，却发现该平台仅列出10月24日至27日的技术中断与维护公告，未提及任何安全事件。唯一相关的安保通告发布于10月22日，内容为针对PHP语言漏洞的防范措施，但未说明与本次泄露存在关联。

目前所有信息均来自Coinbase单方面声明，供应商自身尚未就事件性质、影响范围及应对措施作出回应，使得责任界定和事实真相仍悬而未决。

欧盟监管框架下的合规义务与法律责任

Coinbase依据卢森堡颁发的MiCA许可证服务于欧洲市场，但此次数据泄露适用《通用数据保护条例》（GDPR）。根据该法规，数据控制者须在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。

交易所已履行通知义务，但值得注意的是，即使事件源于第三方，其作为数据控制者的法律责任不可转移。用户有权向所在国的数据保护机构提出申诉，不受公司注册地限制。

双因素认证选择策略：从短信到通行密钥的演进

在联系信息泄露背景下，第二重验证方式的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导，防护能力最弱。身份验证器应用虽能本地生成代码，但对钓鱼页面无抵抗力。

通行密钥则具备抗钓鱼特性，其绑定真实网站域名，仅在正确环境下生效。即便在伪造页面输入，也无法完成验证，是当前最可靠的第二因素形式。

自我托管：让联系信息不再成为弱点

当私钥由用户自行保管，资产便脱离了交易所及其供应商的链条。硬件钱包将密钥隔离在专用芯片中，签署过程无需暴露完整助记词，从根本上切断了外部渗透路径。

尽管需承担备份管理与设备安全的责任，但该方案在面对供应链攻击时展现出更强韧性。此次事件再次凸显分层资产管理的重要性：日常交易保留于交易所，长期持有则置于用户可控环境。

官方通知唯一可信来源，切勿点击未知链接

Coinbase表示，受影响用户将通过电子邮件接收通知，这既是法律义务，也是唯一合法沟通渠道。然而，这也构成了悖论——通知所用邮箱正是泄露源头之一，使消息真实性难以验证。

建议用户通过官方应用程序或直接输入官网地址核实信息，切勿点击邮件中的任何链接。若遭遇可疑来电或邮件，应立即终止对话，避免任何形式的信息交换。