币圈界报道：

交易所供应商遭袭：用户联系方式外泄，核心资产未受损

Coinbase于2026年10月28日通报，其第三方分析服务提供商Amplitude遭遇安全漏洞，造成部分客户联系方式（含电子邮箱与手机号）被非授权获取。尽管相关数据已流出，但账户密码、私钥、交易记录及持有余额均未被波及，且平台自身系统未检测到异常访问行为。

供应链风险凸显：数据通过服务集成环节外流

此次事件并非针对区块链或交易所主系统，而是源于依赖外部技术组件的服务链路。Amplitude作为产品行为分析服务商，通过嵌入客户端的SDK收集用户使用数据。在某些场景下，为实现用户身份匹配，系统会同步发送邮箱或电话等敏感标识，从而形成潜在数据暴露点。

泄露范围存疑：官方称“少量”，第三方称超七万

Coinbase仅表示影响范围有限，未公布具体账户数量。然而，区块链安全机构SlowMist披露一份据称来自该事件的数据集，涵盖逾7万个账户的联系信息，但未确认是否包含凭证。目前尚无独立验证，事件规模仍处于模糊区间。

通信渠道成双刃剑：通知本身可能被伪造

由于受影响用户将通过电子邮件接收通知，而该邮箱正是泄露目标之一，因此消息真实性面临挑战。攻击者可利用同一渠道伪装成官方通告，诱导用户点击恶意链接。建议所有相关信息应通过官方应用或直接输入官网地址核实，避免点击邮件内任何链接。

社会工程骗局特征：主动联系+紧迫施压=高危信号

典型骗局表现为：来电者自称支持团队，知晓用户注册邮箱，并声称检测到可疑登录行为。随后制造时间压力，要求立即执行转账、提供助记词或一次性验证码。真正客服不会主动联系用户，也不会索取私密信息。凡要求提供助记词、私钥或验证码者，皆为非法访问企图。

真实支持永不索要这些信息

任何合法机构均无需助记词来解锁账户、取消订单或释放资金。一次性验证码仅用于验证登录者身份，一旦提供即等于授权访问。此外，任何要求将资产转入“安全地址”的请求均属欺诈，自我托管应基于自主决策，而非由他人指定收款方。

Amplitude未公开声明：事件责任归属待定

Amplitude的公共状态页面未列出此次事件，仅记录了10月22日至27日的技术中断与维护公告，其中10月22日提及PHP语言漏洞，但未说明与本次泄露有关。目前所有信息均来自Coinbase单方面披露，供应商尚未回应，事件真实性与影响边界仍不明朗。

欧盟监管框架适用：GDPR主导报告义务

尽管Coinbase在欧洲运营依据的是卢森堡颁发的MiCA许可，但此次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求控制者在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。交易所已履行这两项义务，但用户仍可就处理结果向居住国数据保护机构提出申诉。

多因素认证应对策略：从短信到通行密钥的升级路径

在联系信息泄露背景下，第二重验证方式的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导而失效；身份验证器应用生成本地代码，抗干扰能力更强，但仍无法防御钓鱼页面。通行密钥则具备防钓鱼特性，仅在真实域名下有效，是当前最可靠的防护手段。

自我托管：切断供应商访问路径的终极方案

将资产移至自我托管模式，如使用硬件钱包，可彻底规避交易所及其供应商层面的风险。私钥始终由用户掌控，不存储于任何第三方系统中。虽然存在遗失助记词或购买非可信设备的风险，但长期持有者可通过分层管理策略——日常交易用交易所，长期持仓自管——平衡便利与安全。

后续行动指南：强化防护，保持警觉

建议用户检查账户安全设置，将短信验证替换为身份验证器或通行密钥；评估资产配置，将非交易用途的资金转移至自行保管的钱包；未来数周内提高警惕，对任何提及此次事件的来电或邮件保持怀疑态度，拒绝一切要求转账或输入助记词的行为。当前核心结论清晰：事件本质为联系信息泄露，非资产损失，但需以高度防范意识应对衍生威胁。