币圈界报道：

Coinbase披露供应商数据泄露事件：客户联系方式外泄但资产未受损

2026年10月28日，Coinbase对外通报其合作供应商遭遇安全漏洞，部分用户的电子邮箱和手机号码被非法获取。尽管此次事件波及范围尚存争议，但交易所明确表示，账户密码、私钥、交易记录及资金余额均未遭窃取，且自身系统未发现异常访问痕迹。

核心风险转向通信渠道：身份可识别性成新威胁

此次事件的本质并非技术入侵或资产盗用，而是供应链环节中的数据暴露。攻击者虽无法直接操控账户，却能利用已知的用户身份信息实施精准的社交工程攻击。这意味着，任何知晓您为加密货币用户并掌握您的联系方式的人，都可能以高度可信的方式主动接触您，诱导其提供敏感信息。

涉事方为分析服务提供商Amplitude：数据采集机制成隐患

Amplitude是一家专注于产品行为分析的服务商，通过嵌入客户端的SDK收集用户交互数据。为实现用户画像匹配，部分集成会同步电子邮件或电话号码。一旦此类信息被存储于第三方平台，便构成潜在泄露点。此次事件中，Coinbase将责任归于Amplitude，指出其系统在10月27日至28日期间出现异常，并称其他客户也受到波及，非单一机构特例。

泄露范围模糊：官方称“少量”而第三方称超7万

Coinbase未公布具体受影响账户数量，仅强调影响有限。然而，区块链安全机构SlowMist声称已验证一份包含逾7万个账户联系信息的数据集，但未确认是否涉及密码或余额。目前双方说法悬殊，尚无独立证据支持任一数字，事件规模仍处于不确定状态。

通知渠道即风险源：邮件成为信任与欺诈的双重载体

Coinbase计划通过电子邮件向受影响用户发送通知，这一做法本身构成矛盾：若邮箱地址已被泄露，则该通信路径可能已被监控。因此，任何提及此事件的邮件内容虽可作为参考，但切勿点击其中链接——真正的安全操作应通过官方应用或手动输入官网地址进行核实。

诈骗套路再现：伪装客服诱导信息泄露

攻击者常以“检测到可疑登录”为由主动联系用户，制造紧迫感，要求提供助记词、一次性验证码或转账至所谓“安全地址”。这类行为的核心特征是主动发起、索取权限类信息，且往往伴随域名拼写错误、链接不符、缺乏具体细节等异常信号。

真正客服绝不会索要这些信息

合法支持团队从不主动致电，也不会要求用户提供助记词、私钥或一次性验证码。这些信息一旦交出，等于完全授权他人访问您的账户。此外，任何建议您将资金转移至对方提供的地址的行为，均属高危欺诈，无论界面多么逼真。

Amplitude官网未披露该事件，真相待解

截至当前，Amplitude公开的状态页面仅列出10月24日至27日的技术中断与维护情况，未提及安全事件。此前10月22日发布的关于PHP漏洞的通知也未明确指向本次泄露。因此，该事件的责任归属仍依赖于Coinbase单方面声明，供应商尚未作出回应，存在显著信息真空。

法律框架适用GDPR而非MiCA：报告义务明确

Coinbase基于卢森堡CSSF颁发的MiCA许可运营欧洲业务，但数据泄露事件受《通用数据保护条例》（GDPR）约束。根据规定，需在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。目前其已履行两项义务，且用户可向居住地数据保护机构投诉，不受公司注册地限制。

多重验证方式应对泄露后风险：通行密钥最可靠

短信验证码因依赖移动网络，易受SIM卡劫持与仿冒页面诱导，防护能力最弱。身份验证器应用生成本地代码，抵御远程截获，但仍可能被钓鱼页面欺骗。通行密钥则具备抗钓鱼特性，与真实网站域名绑定，伪造域名下无效，是当前最稳健的第二因子选择。

自我托管可规避供应商风险：硬件钱包提升安全性

将私钥掌握在自己手中，即可彻底脱离交易所供应商体系的影响。硬件钱包将密钥隔离于专用芯片中，即使设备被接入网络也无法提取。尽管自托管意味着风险转移，但许多用户选择分层管理：日常交易使用交易所账户，长期持有资产则转入自行控制的钱包。

后续行动建议：强化安全设置并保持警惕

建议立即检查账户安全配置，将短信验证替换为身份验证器或通行密钥；评估资金分配策略，将非交易用途的资产移至自我托管环境；未来几周内提高警觉，对任何要求转账或输入助记词的请求一律视为诈骗。目前事件核心结论一致：联系信息外泄，资产安全无虞。但实际影响范围与供应商回应仍待进一步澄清。