币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日凌晨，Coinbase正式通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱及手机号码被非法获取。尽管相关数据已暴露于外部环境，交易所强调其核心系统未遭侵入，账户密码、私钥、交易历史和资金余额均保持完整，未出现异常访问痕迹。

供应链漏洞成焦点：第三方分析工具成为数据外泄源头

此次事件的根源指向产品行为分析服务商Amplitude。该公司通过集成在客户端的SDK收集用户交互数据，为平台提供使用模式洞察。当分析服务需关联真实身份时，便会同步存储注册邮箱或电话号码，从而形成敏感信息集中点。本次泄露即源于此数据链路的薄弱环节。

泄露范围存争议：官方称“少量”，安全机构指超七万账户

Coinbase表示受影响用户数量有限，但未公布具体数字。与此相对，区块链安全公司SlowMist声称已验证一份包含逾7万个账户联系信息的数据集，但未确认是否涉及密码或余额。目前尚无独立证据支持任一说法，事件规模仍处于模糊区间。

风险本质转变：从账户入侵到精准社交诱骗

此次泄露的核心威胁并非技术突破，而是社会工程学攻击的温床。攻击者可利用已知的邮箱与号码，定向发起高可信度的诈骗通话或邮件，虚构“异常登录检测”等场景，诱导用户主动交出助记词、一次性验证码或进行转账操作。

虚假支持电话的运作机制与识别特征

典型骗局表现为：对方主动联系用户，知晓其注册信息，并以紧急安全警报为由施加压力，要求执行不可逆操作。关键识别信号包括：主动来电而非响应请求、索取助记词或验证码、链接域名拼写错误、时间紧迫性缺乏事实依据，以及禁止与第三方沟通。

真正的客服从不索要敏感凭证

任何合法机构均不会要求用户提供助记词、私钥或一次性验证码。这些信息仅用于授权访问，一旦泄露即意味着控制权丧失。同样，也不存在将资金转移至“安全地址”保管的正规流程。自我托管应基于自主选择的钱包与地址，而非依赖他人提供的链接或指令。

Amplitude状态页面未披露事件，责任归属待澄清

Amplitude的公开状态页面仅列出10月24日至27日的技术中断与维护记录，未提及安全事件。其10月22日发布的关于PHP漏洞的通告亦未明确关联此次泄露。当前所有信息均来自Coinbase单方面声明，供应商自身尚未作出回应，事件真实性与影响范围仍存疑。

GDPR框架下责任归属清晰：交易所承担最终报告义务

尽管Coinbase持有卢森堡MiCA许可证运营欧洲市场，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求数据控制者在72小时内向监管机构通报泄露情况，并在高风险时直接通知用户。交易所已履行上述义务，且用户可向居住地的数据保护机构提出申诉，不受公司注册地限制。

双重验证方式应对泄露后的风险升级

短信验证码因依赖移动网络而最易受控，面临仿冒页面输入与SIM卡劫持双重威胁；身份验证器应用虽能抵御网络拦截，但仍可能被诱导在钓鱼页面输入代码；通行密钥则具备抗钓鱼能力，因其与真实域名绑定，伪造网站无法触发。

自我托管是规避第三方风险的根本路径

将私钥掌握在自己手中可彻底切断供应商端的访问可能。硬件钱包作为物理隔离设备，将密钥固化于专用芯片中，即使在签名过程中也不会暴露。虽然自托管带来密钥丢失风险，但多数用户采用分层策略：日常交易使用交易所，长期持有资产则转入自管钱包。

官方通知唯一可信渠道：切勿轻信未经请求的联络

Coinbase将通过电子邮件向受影响用户发送通知，但该渠道本身亦可能被滥用。因此，所有相关信息应通过官方应用或直接输入官网网址核实，切忌点击邮件中的链接。未来数周内，针对此次事件的骚扰性电话与邮件预计将持续增加，任何要求转账或输入助记词的行为均为欺诈。