币圈界报道：

Coinbase供应商数据泄露事件：客户联系方式外泄，资产安全未受波及

2026年10月28日，Coinbase官方通报其合作供应商发生信息安全事件，确认部分用户联系方式（包括电子邮箱和手机号码）遭到非授权获取。尽管相关数据被披露，但账户密码、私钥、交易历史及资金余额均未受损，且交易所系统内部未检测到异常访问行为。

供应链漏洞成隐患：分析服务提供商成数据外泄源头

此次事件的根源指向产品数据分析平台Amplitude。该服务商通过集成于客户端的SDK收集用户行为数据，为合作伙伴提供使用模式分析。在某些场景下，为实现用户身份匹配，系统会同步存储电子邮件地址或电话号码，从而形成敏感数据集中点。这一流程设计使得第三方服务环节成为潜在的数据泄露路径。

泄露范围存疑：官方称“少量”，第三方称逾七万账户受影响

Coinbase表示受影响用户数量有限，但未公布具体数字。与此同时，区块链安全机构SlowMist援引一份数据集指出，涉及超过7万名用户的联系信息可能已外泄。目前双方说法尚未统一，亦无独立验证。无论实际规模如何，对个体而言，关键在于是否收到正式通知，而非推测影响人数。

联系信息泄露的本质：风险来自可达性而非访问权

与密码泄露不同，本次事件的核心威胁并非账户登录权限，而是攻击者获得精准目标的沟通渠道。掌握真实邮箱与号码后，诈骗者可实施高度定制化的社交工程攻击——例如冒充客服声称检测到异常登录，制造紧迫感并诱导用户提供助记词、验证码或转账至指定地址。

虚假支持来电的运作机制：从信任建立到信息窃取

此类骗局通常以“紧急安全提醒”开场，利用已知的注册信息增强可信度。攻击者会要求立即执行不可逆操作，如将资产转移至所谓“安全钱包”或在仿冒页面输入一次性验证码。其核心策略是利用人类心理弱点，而非技术突破。

识别骗局的关键信号：主动联系与索取敏感信息

真正的客户服务不会主动发起通话或邮件施压。任何要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据、禁止向他人咨询等特征，均为高危预警。

合法服务无法索要的三类信息：助记词、验证码、资金转移

所有正规交易所均无需用户提交助记词来恢复账户或处理订单。一次性验证码仅用于确认登录者本人身份，一旦提供即等于授权访问。任何要求将资金转入对方地址进行“保管”的请求，均属欺诈。自我托管应基于自主决策，而非被动接受外部建议。

Amplitude状态页面未记录本次事件，责任归属尚待澄清

截至发稿，Amplitude官方状态页未提及10月27日至28日的安全事件。其此前公告仅涉及PHP漏洞修复及数据中心维护，未说明与当前事件存在关联。因此，目前关于事件责任的认定仍依赖于Coinbase单方面声明，供应商自身尚未回应，真实性有待进一步验证。

欧盟数据保护法规适用：GDPR强制报告义务启动

尽管Coinbase持有卢森堡MiCA许可以服务欧洲市场，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行两项义务，相关投诉可向所在国数据保护机关提出，不受运营地限制。

多因素认证应对策略：短信代码最脆弱，通行密钥最具防护力

在联系信息泄露背景下，第二重验证方式的选择至关重要。短信验证码易受SIM卡劫持或仿冒页面诱导，风险最高；身份验证器应用虽避免网络传输，但仍可能因用户误输入而失效；通行密钥则具备抗钓鱼能力，仅在真实域名下有效，是当前最优解。

自我托管：切断供应商链路的终极防御手段

当资产由用户自行保管时，其私钥不经过交易所系统，即使供应商遭攻破也无法触及。硬件钱包作为典型工具，将密钥隔离于专用芯片中，签署过程全程不暴露。虽然需承担密钥丢失风险，但对长期持有者而言，这是一种可控的风险转移策略。

后续行动建议：强化安全设置，严防主动接触

建议用户检查账户安全配置，将短信双因素替换为身份验证器或通行密钥；将非交易用途的资产移出交易所，转入自我托管环境；未来数周内警惕任何提及此次事件的通信，切勿点击链接或提供敏感信息。当前唯一确定的是：此事件关乎联系信息，而非资产本身，但防范意识必须提升。