币圈界报道：

交易所供应商遭入侵：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作的第三方分析服务商Amplitude遭遇安全漏洞，造成部分用户联系信息（包括电子邮箱和手机号）被非法获取。尽管数据流出发生在供应商端，但交易所强调自身系统未遭侵入，账户密码、私钥、交易历史及资产余额均保持完整。

数据泄露源头指向第三方分析平台

此次事件的核心涉事方为Amplitude——一家专注于用户行为分析的服务商。该机构通过嵌入客户端的SDK收集使用数据，以支持产品优化。在多数场景中，仅需匿名标识符即可完成分析；然而当服务集成时附加了真实身份信息（如邮箱或电话），这些敏感字段便被存储于第三方服务器，构成潜在风险点。

影响范围存疑：交易所称“少量”，安全公司称超七万

Coinbase官方表示受影响用户数量有限，但未公布具体数字。与此相对，区块链安全机构SlowMist援引一份数据集指出，涉及账户超过7万个，且数据来源为外部渠道。目前尚无独立验证，因此实际规模仍处于模糊区间。无论最终数字如何，对个体而言，唯一确定的信息来源是官方邮件通知。

信息泄露后的新型威胁：精准化社会工程攻击兴起

此次事件的关键风险并非账户被盗，而是“可达性”提升。攻击者可利用已知的邮箱与电话号码，定向发起高可信度的诈骗尝试。例如，冒充客服声称检测到异常登录，制造紧迫感，诱导用户输入助记词、一次性验证码或向指定地址转账。

识别骗局的两大核心特征

真正的客户服务不会主动致电施压，也不会要求提供助记词、私钥或一次性验证码——这些信息一旦披露即意味着完全丧失控制权。此外，若来电显示域名拼写错误、链接目的地与文本不符、问候语泛化、强制保密等，均为典型欺诈信号。

安全防护建议：从认证方式到资产分离

面对此类风险，应优先将短信双因素认证升级为身份验证器应用或通行密钥，后者具备抗钓鱼能力。对于长期持有的资产，建议转入自我托管模式，采用硬件钱包进行保管。此举虽转移密钥管理责任，但能彻底规避交易所供应链风险。

监管框架适用：GDPR主导报告义务

尽管Coinbase持有欧盟MiCA许可，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构通报，并在对个人权利构成重大风险时通知用户。交易所已履行相关义务，但责任主体仍是其自身，而非供应商。

Amplitude状态页面未披露事件详情

截至发稿，Amplitude官方状态页仅列出10月24日至27日的技术中断与维护公告，未提及任何安全事件。此前关于PHP漏洞的通知也未明确关联此次泄露。因此，当前所有信息均来自Coinbase单方面声明，供应商尚未作出回应。

警惕通知本身的真实性

由于通知通过可能已被泄露的邮箱发送，其真实性无法通过渠道本身验证。用户应避免点击邮件中的链接，转而直接访问官网或使用官方应用程序核实信息。任何引导至非官方网址的操作都存在被劫持的风险。

硬件钱包与自我托管：脱离中心化链条

将资产移至由自己掌控的钱包，尤其是配备物理芯片的安全设备，可从根本上切断供应商端的数据暴露路径。虽然这增加了密钥丢失的风险，但对于注重长期安全的用户而言，是抵御此类供应链攻击的有效策略。

后续行动指南：强化防御，静待官方更新

用户应检查账户安全设置，及时更换双因素认证方式；评估资金配置，将非交易类资产迁移至自托管环境；在未来数周内提高警觉，对任何要求转账或提供敏感信息的请求一律视为可疑。目前关键在于等待Amplitude的正式声明，同时坚持不主动响应未经请求的接触。