币圈界报道：

Coinbase披露第三方分析平台数据泄露：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其一家关键供应商遭遇信息安全事件。根据发送给用户的电子邮件，部分客户的电子邮箱和手机号码被非法获取，但账户密码、私钥、交易记录及资金余额均未遭到破坏，且在内部系统中未发现异常访问痕迹。

核心风险转移至用户通信渠道，非账户本身

此次事件的威胁不来自对账户的直接侵入，而在于攻击者可利用已知的联系方式实施精准定向骚扰。任何掌握您身份信息并知晓您为加密资产持有者的个体，均可通过邮件或电话发起高度可信的欺诈性接触。

事件根源：分析服务商数据管理漏洞引发连锁反应

涉事方为产品行为分析公司Amplitude，其服务依赖于集成在客户端的SDK代码包，用于收集用户操作数据。为实现用户识别与业务匹配，部分数据会包含邮箱或电话等敏感标识。当此类信息被存储于第三方服务器时，便构成潜在泄露点。

泄露范围界定：仅限联系信息，不含认证凭证

Coinbase明确指出，受影响的数据仅包括电子邮件地址与电话号码，未涉及密码、私钥、交易历史或账户余额。尽管这些信息无法直接用于资金转移或登录劫持，却极大提升了攻击者实施社会工程骗局的成功率。

事件规模存疑：交易所称“少量”，安全机构指超七万条记录

关于受影响账户数量，双方说法迥异。Coinbase坚持为“少量客户”，未公布具体数字；而区块链安全公司SlowMist则声称数据集真实存在，涵盖逾7万个账户，但未确认是否包含其他敏感信息。目前尚无独立验证，实际影响范围仍待进一步澄清。

通知渠道成双重风险源：合法消息可能被伪造

由于受影响用户将通过电子邮件接收通知，而该邮箱正是泄露内容之一，因此消息的真实性难以验证。攻击者可模仿官方语气进行伪装，诱导用户点击恶意链接。建议所有信息应通过官方应用或直接访问官网核实。

典型骗局模式：制造紧迫感诱导信息暴露

攻击者常以“检测到可疑登录”为由主动联系用户，营造紧急氛围，并要求提供助记词、一次性验证码或转账至指定地址。此类行为违背正规客服原则——真正的支持团队不会主动拨打电话施压。

三大识别特征：拒绝主动联系与敏感信息索取

若对方主动来电、要求输入助记词、私钥或一次性验证码，即为高危信号。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据、禁止外部讨论等也均为常见伪装手段。

权威支持从不索取核心凭证

任何合法机构均无需助记词解锁账户、取消订单或释放提款。一次性验证码仅用于确认登录者身份，绝不可向他人提供。所谓“保管余额”的请求，本质上是引导用户将资产转入攻击者控制的地址，属于典型诈骗。

Amplitude官方状态页未记录本次事件

Amplitude公开页面列出了10月24日至27日的技术中断情况，但未提及27日至28日的安全事件。此前发布的10月22日通知涉及PHP语言漏洞，虽提及第三方协作修复，但无法证实与本次泄露存在关联。

欧盟监管框架下责任归属清晰：交易所承担最终义务

尽管服务基于卢森堡MiCA许可运营，但此次事件适用《通用数据保护条例》（GDPR）。该法规要求数据控制者在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。Coinbase已履行相关义务，且用户可向居住国数据保护机关提出申诉。

多重验证机制应对泄露后风险：选择更安全的身份验证方式

短信验证码在号码泄露后最为脆弱，易遭仿冒页面诱导或SIM卡劫持攻击。相比之下，身份验证器应用生成的代码位于本地设备，更具抗风险能力。通行密钥则具备防钓鱼特性，仅在真实域名下有效，从根本上阻断虚假网站的欺骗路径。

自我托管规避第三方风险：密钥掌控权回归用户

采用自我托管方案，如使用硬件钱包，可彻底避免因供应商问题导致的信息泄露。私钥由用户自主保管，不存放于任何中心化平台。然而，这也意味着备份丢失即永久损失，需谨慎评估风险承受能力。

官方通知仅限邮件渠道，切勿轻信主动联络

为强化账户安全，建议检查当前启用的双重验证方式，优先切换至身份验证器应用或通行密钥。同时，考虑将长期持有的资产转移至自行管理的钱包中。未来数周内应提高警惕，凡涉及转账、输入助记词或提供验证码的要求，一律视为诈骗。