币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，资产安全无虞

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事故，确认部分用户联系信息遭到非授权访问。据发送至用户的电子邮件显示，受影响的数据仅限于电子邮箱及手机号码，账户密码、私钥、交易记录和余额均未被获取，且内部系统未检测到异常登录行为。

核心风险转向可触达性：身份可信度成新攻击入口

此次事件并非对区块链或资金系统的直接入侵，而是典型的供应链数据泄露案例。攻击者虽无法通过泄露的联系信息完成转账或登录操作，却能精准锁定加密货币用户身份，从而实施高度定制化的社交工程攻击。一旦掌握真实联系方式，诈骗者可模拟官方客服进行电话或邮件骚扰，制造紧急情境诱导用户交出敏感信息。

分析服务商Amplitude成为数据流转节点

事件源头指向产品行为分析平台Amplitude，该服务通过集成在客户端的SDK收集用户交互数据。为实现用户画像匹配，部分数据包含邮箱与电话等个人标识符，这些信息被存储于第三方服务器上。尽管匿名化处理可降低风险，但当真实身份信息被附加传输时，便形成潜在泄露窗口。Coinbase指出，此次事件影响范围波及多个使用该服务的客户，非单一机构专属。

泄露内容界定清晰：不包含认证凭据

Coinbase明确排除了密码、助记词、一次性验证码及账户余额等关键数据的外泄可能。这一区分至关重要——联系信息本身不具备转移资产的能力，但赋予攻击者极高的可信度基础。相较于传统密码泄露引发的“权限失守”，本次问题本质是“可达性失控”：即便更换密码，地址仍暴露于攻击路径中。

事件规模存争议：官方说法与第三方报告差距悬殊

Coinbase表示受影响账户数量“较少”，但未提供具体数字。与此同时，区块链安全机构SlowMist声称已验证一份涵盖逾7万个账户的数据集，其中包含注册邮箱与电话号码，但未确认是否涉及其他敏感字段。目前尚无独立第三方验证此规模，因此整体影响范围处于模糊地带。无论实际人数多少，最终判断仍依赖于是否收到官方通知。

通知渠道存在悖论：唯一合法途径即最易被仿冒

Coinbase计划通过电子邮件向受影响用户发送通告，并已向监管机构备案。然而，由于通知本身通过可能已被泄露的邮箱传递，其真实性难以自证。攻击者可利用相同渠道伪造消息，诱导用户点击恶意链接。建议用户仅通过官网直接访问或应用内通知核实信息，避免点击任何外部链接。

社会工程攻击模式重现：伪装支持来电的运作逻辑

基于已知联系方式的攻击通常遵循固定套路：来电者自称来自平台支持团队，准确提及用户姓名与注册邮箱，声称发现异常登录活动，营造紧迫感后要求执行不可逆操作，如转账至“安全地址”、在仿冒页面输入助记词或提供一次性验证码。此类攻击的核心在于心理操控而非技术突破。

识别骗局的两个关键信号

真正客户服务不会主动发起通话施压；所有请求助记词、私钥或一次性验证码的行为均属于高危操作，本质上是试图获取账户控制权。此外，域名拼写错误、链接目的地与文本不符、缺乏具体时间细节、强制保密要求等均为典型警示特征。

正规支持绝不会索取的信息

任何合法交易所或钱包服务商均无需用户助记词以解锁账户、取消订单或解冻资金。一次性验证码仅用于确认登录身份，接收方即视为本人。更不存在“代管资金”需求——将资产转至他人提供的地址，本身就是欺诈行为。自我托管应基于自主选择的钱包与生成的地址，而非对话中对方提供的任何地址。

Amplitude状态页面未公开相关事件

公众若尝试通过Amplitude官方状态页验证事件，将发现其仅列出10月24日至27日的技术中断与维护公告，包括数据摄入延迟和数据中心操作，但未提及安全事件。唯一相关的安保通知发布于10月22日，涉及PHP语言漏洞，但强调自身服务不受影响。目前尚无证据表明该漏洞与本次泄露有关，也未见Amplitude就此次事件作出回应。

法律框架适用：GDPR主导数据泄露响应

Coinbase依据卢森堡颁发的MiCA许可服务于欧盟市场，但此次事件受《通用数据保护条例》（GDPR）管辖。该法规要求在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。当前做法符合法定义务。值得注意的是，即使数据由供应商处理，责任主体仍为数据控制者——即交易所本身。用户有权向所在国数据保护机构投诉，不受公司注册地限制。

双因素认证类型差异：面对泄露后的应对策略

短信验证码因依赖移动网络，在联系信息外泄后最为脆弱，易遭SIM卡劫持或仿冒页面诱导。身份验证器应用虽能防止中间人截取，但仍无法防范用户误输代码至钓鱼网站。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法生成有效凭证，是当前最可靠的第二因素方案。

自我托管作为终极防御：脱离中心化系统

自我托管意味着私钥完全由用户掌控，不依赖任何第三方服务，因此不受供应商安全事件影响。硬件钱包通过专用芯片隔离密钥，确保即使设备被物理接触也无法提取私钥。虽然需自行承担备份与恢复责任，但长期持有者常采用分层管理策略：日常交易使用交易所账户，大额资产则转入自控钱包。

后续行动指南：强化安全设置与保持警惕

建议用户立即检查账户安全配置，将短信验证码升级为身份验证器应用或通行密钥。评估资金分配结构，将非交易用途的资产转移至自我托管环境。未来几周内应高度警惕任何提及此次事件的来电或邮件，凡要求转账、输入助记词或提供验证码者，一律视为欺诈。本次事件的本质是联系信息外泄，而非资产损失，但其衍生风险不容忽视。