币圈界报道：

交易所供应商遭入侵：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇安全事件，致使部分用户的电子邮箱及手机号码被非法获取。尽管相关数据已暴露，但账户密码、私钥、资金余额与历史交易信息均未出现异常，且平台自身系统未检测到未授权访问行为。

供应链漏洞成新威胁：第三方服务成数据泄露源头

此次事件并非针对区块链协议或交易所核心系统的攻击，而是典型的数据通过外部服务商流转时发生的泄漏。随着企业广泛依赖第三方分析工具，任何集成在客户端中的软件开发工具包（SDK）都可能成为敏感信息的传输节点。一旦用户身份标识与真实联系方式一并上传，便构成潜在风险敞口。

泄露范围存争议：官方称“少量”，安全机构指超七万

Coinbase对外披露的信息极为有限，仅表示影响范围较小，并未公布具体账户数量。然而，区块链安全公司SlowMist援引一份数据集指出，涉及用户数超过7万个，虽未证实是否包含密码或余额，但该数字已被广泛传播。目前双方说法悬殊，尚无独立验证，事件实际规模仍待进一步澄清。

联系信息的价值：从可访问性到信任操控

相较于密码泄露带来的直接权限丧失，此次事件的核心风险在于“可达性”提升。攻击者掌握确切的注册邮箱与电话后，可精准实施定向诈骗。他们能以“检测到可疑登录”等合理理由建立信任，制造紧迫感，进而诱导用户执行转账、输入助记词或提供一次性验证码等高危操作。

虚假支持电话如何运作：基于真实信息的伪装攻击

典型的骗局模式为：来电者自称客服，准确报出用户姓名、注册邮箱，并提及平台名称。随后声称账户存在异常活动，要求立即采取行动。此类攻击成功的关键，在于利用了已知的真实信息来增强可信度，使受害者难以分辨真伪。

识别骗局的两个核心信号

真正的客户服务不会主动发起通话施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接地址与文本不符、缺乏具体时间细节、强制保密等特征，也常出现在欺诈通讯中。

哪些信息绝不能透露？

没有任何合法机构会要求您提供助记词、私钥或一次性验证码。这些凭证仅用于身份验证，一旦泄露即意味着完全失去控制。同样，任何要求将资金转移至“安全地址”的请求，均属欺诈。自我托管应基于自主决策，而非在未经核实的对话中接受他人提供的地址。

Amplitude状态页面未记录本次事件

公众试图通过Amplitude官网状态页核查事件进展时，发现其仅列出10月24日至27日的技术中断和维护公告，未提及安全事件。唯一相关的安全通知发布于10月22日，涉及PHP语言漏洞，但并未说明与当前事件有关联。因此，目前所有指控均来自Coinbase单方面声明，供应商尚未作出回应。

GDPR管辖下的报告义务与责任归属

尽管Coinbase持有卢森堡MiCA牌照服务于欧盟市场，但本次事件适用《通用数据保护条例》（GDPR）。根据法规，数据控制者需在72小时内向监管机构报告，并在风险较高时通知用户。交易所已履行邮件通知义务并向相关机构报备，但最终责任仍由其承担，即使漏洞源于第三方。

双因素认证应对策略：短信代码最脆弱，通行密钥更可靠

在联系信息外泄背景下，第二重验证方式的选择至关重要。短信验证码易受SIM卡劫持或仿冒页面诱导，属于较弱防护。身份验证器应用生成本地代码，安全性更高，但仍无法抵御钓鱼网站。而通行密钥具备抗钓鱼能力，因其绑定真实域名，伪造站点无法使用，是当前最佳实践。

自我托管：切断供应风险的终极方案

将私钥掌握在自己手中，可彻底规避交易所及其供应商的风险。硬件钱包将密钥存储于专用芯片，交易签名过程不暴露私钥。虽然管理责任转移至用户，但长期持有者可通过分层策略实现平衡：日常交易保留在合规平台，大额资产则置于自管环境。

后续行动建议：警惕被动接触，强化账户防护

加强账户安全，检查并升级双重验证机制，优先采用身份验证器或通行密钥替代短信。评估资产配置，将非交易用途的持仓转移至自托管环境。未来几周内，任何提及此事件的来电或邮件，若涉及转账、输入助记词或提供验证码，皆应视为欺诈。事件本质是联系信息泄露，而非资产损失，但风险等级不容忽视。