币圈界报道：

交易所供应商遭袭：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase披露其合作供应商在运营过程中遭遇安全漏洞，造成部分用户联系方式（包括电子邮箱与手机号）被非授权获取。尽管涉及数据敏感性，但公司强调其系统内部无异常登录行为，账户密码、私钥、交易历史及资金余额均未受损。

供应链风险凸显：第三方分析服务成数据外泄关键节点

此次事件源头指向产品数据分析平台Amplitude，该服务商通过嵌入客户端的SDK收集用户行为数据。为实现精准分析，部分数据集包含可识别身份的信息，如注册邮箱或电话号码，从而形成潜在泄露路径。尽管此类数据通常用于优化用户体验，一旦流入外部环境，便可能被恶意利用。

泄露范围存疑：官方称“少量”，安全机构指超七万账户

Coinbase仅表示受影响用户数量有限，未提供具体数字。然而，区块链安全团队SlowMist援引数据集指出，实际影响可能覆盖逾7万个账户，且该数据未经验证。目前尚无独立机构能确认规模，只能判断事件影响处于“极小至广泛”之间，具体取决于后续信息披露。

信息泄露本质：从“访问权”到“可达性”的风险转变

区别于传统密码被盗引发的直接账户入侵，本次事件的核心威胁在于“可达性”提升——攻击者掌握目标身份信息后，可发起高度定制化的社交工程攻击。即便无法绕过登录机制，仍可通过伪造支持电话、虚假预警等方式诱导用户主动交出敏感凭证。

欺诈信号识别：主动来电与索要密钥即为高危征兆

真正客服不会主动联系用户施压；任何要求提供助记词、一次性验证码或转账至指定地址的行为，均属典型诈骗。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止向他人透露等特征，也应引起警惕。

双重认证策略应对：短信代码最脆弱，通行密钥更具抗钓鱼能力

在联系信息暴露背景下，第二因素安全性面临考验。短信验证码因依赖移动网络而易受SIM卡劫持攻击；身份验证器应用虽更安全，但仍可能被仿冒页面诱导输入。相比之下，通行密钥具备与真实网站绑定的特性，在伪造域名下自动失效，是当前最强防御手段。

自我托管：切断供应商链条的终极防线

将私钥完全掌握于自身手中，可彻底规避第三方风险。硬件钱包作为主流方案，将密钥隔离于专用芯片中，即使设备被侵入也无法提取原始助记词。虽然需承担遗失或损坏风险，但对长期持有者而言，仍是降低整体暴露面的有效选择。

通知渠道悖论：唯一合法告知方式或已沦陷

Coinbase通过电子邮件向受影响用户发送通知，但这恰恰构成信任危机：若邮箱已被泄露，那么邮件本身也可能成为伪造工具。因此，所有信息应通过官方网址手动核实，切勿点击邮件内任何链接，以防止二次受骗。

监管合规框架：GDPR主导报告义务，责任归属不因外包转移

尽管Coinbase依托卢森堡MiCA许可服务欧盟市场，但此次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，控制者须在72小时内向监管机构通报，并在高风险时通知用户。即使问题源于供应商，责任仍由交易所承担，用户有权向居住地数据保护机构投诉。

Amplitude未公开声明：事件真实性待官方确认

Amplitude官网状态页面未列出本次安全事件，仅显示此前数日的技术维护与延迟问题。其10月22日发布的关于PHP漏洞的通知，亦未明确关联此次泄露。目前所有信息均来自Coinbase单方面说明，尚未获得供应商方的正式回应，真实性仍存疑。

行动建议：强化验证机制，审慎规划资产布局

建议立即检查账户安全设置，将短信双因素升级为身份验证器或通行密钥；对长期持有的资产考虑迁移至自我托管环境；未来几周内对所有提及此事件的来电或邮件保持高度戒备，凡涉及转账、输入助记词或提供验证码者，一律视为欺诈。