币圈界报道：

Coinbase披露供应商数据泄露：仅联系信息外泄，核心资产完好

2026年10月28日，Coinbase正式通报其一家第三方服务提供商遭遇安全事件，涉及部分用户的电子邮件地址与手机号码被非法获取。尽管信息已流出，但账户密码、私钥、交易历史及资金余额均未遭篡改或访问，且公司系统内部未检测到异常登录行为。

数据泄露源头锁定为分析服务商Amplitude，非平台自身漏洞

此次事件的起因被归于产品分析工具提供商Amplitude，该公司通过集成在客户端的SDK收集用户行为数据。为实现精准分析，部分数据包含可识别身份的联系信息，如邮箱与电话号码，从而形成敏感数据存储点。该事件波及多家使用相同服务的客户，表明其影响范围超出Coinbase单一场景。

泄露内容限于联系方式，不涉及账户权限凭证

Coinbase明确指出，本次事件中未有密码、助记词、一次性验证码或财务明细外泄。尽管这些信息无法直接用于转账或登录，但其存在显著提升了攻击者实施精准社会工程攻击的可能性。掌握真实用户身份的攻击者可制造高度可信的冒充场景，诱导目标提供进一步敏感操作。

事件规模存疑：交易所称“少量”用户，安全机构称超7万账户

关于受影响人数，双方说法差异巨大。Coinbase表示影响范围有限，未公布具体数字；而区块链安全团队SlowMist则声称数据集覆盖超过7万个账户，但未确认是否包含其他敏感字段。目前尚无独立验证，实际规模仍处于不确定状态。对于个体用户而言，无论数量多少，唯一判断依据是是否收到官方通知。

通知渠道成隐患：泄露邮件可能成为诈骗入口

受影响用户将通过电子邮件接收通知，这既是合规义务所在，也构成双重风险——既可能是真实消息来源，也可能被伪造用于钓鱼。因此，建议用户避免点击邮件中的任何链接，应直接访问官网或通过应用内通知核实信息。任何要求提供助记词、验证码或转移资产的请求均属高危行为。

社会工程骗局的核心特征：主动接触与权限索取

典型的欺诈模式包括主动来电或发信，谎称检测到异常登录，并以紧急处理为由诱导用户执行不可逆操作。真正客服不会主动联系用户施压，也不会索要助记词、私钥或一次性验证码。若出现域名拼写错误、链接与文本不符、时间压力过强等现象，极可能是伪装。

合法支持绝不索取关键凭证

任何正规机构均无需用户助记词来解锁账户或处理提款。一次性验证码仅用于验证登录者身份，一旦提供即等于授权访问。更不存在“代管资金”的合理需求。自我托管应基于自主决策，而非依赖他人提供的地址或指令。选择硬件钱包前，需评估芯片安全性、恢复机制及供应链透明度。

Amplitude官方页面未记录此次事件，责任归属待澄清

Amplitude的公开状态页面列出了10月24日至27日的技术中断与维护公告，但并未提及此次数据泄露。其10月22日发布的关于PHP漏洞的通告，虽与安全相关，但未明确指向本次事件。当前所有信息均来自Coinbase单方面声明，供应商尚未作出回应，事件真相有待进一步披露。

GDPR框架下监管义务履行，用户可跨国申诉

由于服务覆盖欧盟地区，本次事件受《通用数据保护条例》（GDPR）管辖。Coinbase已履行向监管机构报告及通知用户的法定责任，符合72小时上报要求。即便问题源于供应商，控制者仍需承担法律责任，用户可在居住地向数据保护机构提出投诉，不受公司注册地限制。

双因素认证形式影响防御能力，通行密钥更具抗骗性

短信验证码因依赖移动网络，易受SIM卡劫持和仿冒页面诱导攻击。相比之下，身份验证器应用生成的代码本地存储，具备更高安全性。而通行密钥作为与真实网站绑定的加密凭证，在伪造域名上无效，能有效抵御钓鱼攻击，是当前最可靠的第二因素选择。

自我托管可规避供应商风险，但需承担保管责任

采用自我托管模式，将私钥完全掌控于自身，可彻底规避交易所及其供应商的数据风险。硬件钱包通过专用芯片隔离密钥，即使设备接入网络也无法导出原始助记词。然而，一旦丢失或误用，将无法恢复。因此，建议用户根据用途划分资产：日常交易保留在合规平台，长期持有部分转入自主管理。

后续行动指南：强化防护，防范新型骚扰

建议立即检查账户安全设置，将短信双因素替换为身份验证器应用或通行密钥；评估是否将部分资产转移至自我托管环境；在未来数周内保持高度警觉，对任何提及此次事件的来电或邮件保持怀疑态度。核心原则不变：无账户余额泄露，但需防范以信任为突破口的社交诱骗。