币圈界报道：

Coinbase披露供应商漏洞：客户联系方式遭泄露，资产安全无虞

2026年10月28日凌晨，Coinbase正式通报一起由第三方服务提供商引发的数据安全事件。据其发出的邮件显示，一名合作供应商在数据处理过程中出现异常，致使部分用户的电子邮箱及手机号码被非法获取。尽管相关数据已暴露，但账户密码、私钥、交易记录与余额均未受损，且内部系统未检测到任何越权访问行为。

核心风险转向通信渠道：身份可识别性成新威胁

此次事件的本质并非技术入侵或资产盗取，而是典型的供应链数据外泄。攻击者利用的是分析服务商的用户追踪机制，而非直接攻破交易所平台。这意味着，即便账户本身坚如磐石，一旦您的联系方式落入他人之手，便可能成为精准社交工程攻击的目标——攻击者可基于真实信息编造可信度极高的虚假场景。

事件源头锁定：产品分析平台Amplitude被指涉事

调查指向一家名为Amplitude的用户行为分析服务商。该公司通过嵌入客户端的SDK收集应用使用数据，以帮助客户优化产品体验。为实现用户区分，部分集成会同步发送电子邮件或电话号码，用于匹配内部客户档案。这一设计正是本次泄露的起点。Coinbase明确表示，该事件发生在2026年10月27日至28日之间，且影响范围波及多个其他客户，非孤立个案。

泄露范围存疑：官方称“少量”，第三方称超七万

Coinbase未公布具体受影响账户数量，仅以“少量”概括。然而，区块链安全机构SlowMist援引一份数据集指出，涉及用户超过7万个，虽未确认是否包含敏感凭证，但其真实性尚未被验证。目前，两方说法存在显著差异，尚无独立证据支持任一数字。对于个体用户而言，关键不在于规模大小，而在于是否收到通知——唯一官方通知渠道即为注册邮箱。

通知渠道成双刃剑：泄露信息亦为骗局载体

Coinbase将通过电子邮件向受影响者发送通告，并已履行向监管机构报告的义务。然而，这一路径本身构成悖论：通知所用邮箱恰是已被泄露的信息；攻击者同样可借此伪造权威信件。因此，任何含链接的邮件都应保持高度警惕。建议用户直接访问官网或使用官方应用核实信息，切勿点击来源不明的链接。

社会工程套路再现：伪装客服实施定向诱骗

此类事件催生了新型诈骗模式：攻击者主动致电或发信，自称来自交易所支持团队，提及您注册邮箱并声称发现可疑登录活动，制造紧迫感，诱导您进行转账、输入助记词或提供一次性验证码。这些操作均指向同一目的——获取账户控制权。

真正客服从不主动联系用户施压；所有要求提供助记词、私钥或一次性验证码的行为，无论包装如何，均为非法请求。次要警示信号包括域名拼写错误、链接与文字不符、缺乏具体时间依据、强制保密等。这些特征共同构成判断标准。

绝对不可透露的信息：助记词与验证码的唯一用途

没有任何合法机构会要求您提供助记词来“解锁账户”或“解冻资金”。一次性验证码仅用于验证登录者身份，一旦提交即等于授权访问。更不存在“安全保管地址”的说法——任何要求您将资产转移至对方提供的地址，皆属欺诈。自我托管需自主决策，不应依赖于外部沟通中提出的所谓“安全方案”。

Amplitude状态页面未记录该事件，责任归属仍模糊

截至当前，Amplitude的公开状态页未提及此次泄露事件。其列出的维护记录集中于10月24日至27日的技术中断，包括数据中心调整与数据摄入延迟，但无安全事件通报。此前发布的关于PHP漏洞的通知也未关联此事件。目前，所有指控均来自Coinbase单方面声明，供应商尚未回应，事件真相有待其后续披露。

法律框架适用：GDPR主导数据泄露响应

Coinbase在欧盟运营依托卢森堡颁发的MiCA许可，但本次事件受《通用数据保护条例》（GDPR）管辖。根据该法规，数据控制者须在72小时内向监管机构报告，并在高风险情形下通知用户。交易所已完成两项义务。值得注意的是，即使漏洞源于供应商，责任仍由数据控制者承担。用户可在居住国向当地数据保护机构提出申诉，权利不受公司注册地影响。

多重验证方式应对不同风险：短信代码最脆弱

在联系信息泄露背景下，第二因素的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持与仿冒页面诱导攻击，是最薄弱环节。身份验证器应用生成的代码虽不经过网络传输，但仍可能被诱导输入于钓鱼页面。通行密钥则具备抗钓鱼能力，因其与真实网站域名绑定，伪造域名无法触发验证，是当前最安全的选项。

自我托管：切断供应链风险的终极手段

当私钥由个人持有时，资产不再受制于交易所及其供应商体系。硬件钱包通过专用芯片存储密钥，确保即使设备被接入网络，密钥也不会暴露。这种模式将风险转移至用户自身——遗失助记词无法恢复，劣质设备亦有安全隐患。因此，许多用户采用分层策略：日常交易留于合规平台，长期持有则转入自管钱包。

通知形式单一：仅限邮件送达，需警惕仿冒

加强账户防护措施刻不容缓。建议立即检查安全设置，将短信验证替换为身份验证器应用或通行密钥。评估资金配置策略，考虑将非交易用途的资产转移至自我托管。同时，在未来数周内提高警惕，凡涉及此次事件的来电或邮件，若要求转账、输入助记词或提供验证码，一律视为诈骗。事件核心始终明确：联系信息外泄，资产安然无恙。但实际影响范围与供应商回应仍待进一步澄清，建议等待官方公告，避免主动接触任何未经请求的沟通。