币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其合作供应商发生数据安全事故。据官方邮件披露，部分用户的电子邮箱地址与手机号码被非法获取，但账户密码、私钥、交易记录及资金余额均未遭到任何篡改或访问。

事件根源指向第三方分析服务商Amplitude

此次事故的源头被定位为产品行为分析平台Amplitude，该公司通过嵌入客户端的SDK收集用户交互数据。尽管匿名标识符通常足以支撑分析功能，但在某些场景下，系统会同步发送注册时提供的电子邮件或电话号码，从而形成敏感信息存储点。

Coinbase指出，该事件发生在10月27日至28日之间，并强调其他使用Amplitude服务的企业也面临相似风险，表明这不是针对单一平台的定向攻击。

泄露范围存疑：交易所称“少量”，安全机构称逾七万

Coinbase未公布具体受影响账户数量，仅以“少量”概括事件规模。然而，区块链安全公司SlowMist声称已验证一份包含超过7万个账户联系信息的数据集，但未确认是否涉及密码或资产信息。

目前尚无独立证据支持任一说法，因此事件影响面仍处于模糊区间。值得注意的是，无论实际人数多少，个人是否受害取决于是否收到通知，而非数字本身。

数据泄露后的新型威胁：精准化社会工程攻击兴起

与传统密码盗用不同，此次泄露的核心风险在于“可达性”——攻击者可利用已知的邮箱和电话号码，直接向用户发起高可信度的欺诈接触。他们能准确提及用户身份、注册平台及疑似异常登录行为，制造紧迫感并诱导执行不可逆操作。

典型套路包括要求转账至“安全地址”、在仿冒页面输入助记词，或提供一次性验证码，所有行为皆以获取账户控制权为目的。

识别骗局的两大核心特征

真正的客户服务不会主动致电施压，且绝不会索要助记词、私钥或一次性验证码——这些信息一旦提供即等同于授权访问。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据、要求保密不与他人讨论等均为典型警示信号。

合法服务不会索取这些关键信息

没有任何正规交易所或钱包厂商需要您的助记词来处理订单、解锁账户或释放提款。一次性验证码用于确认登录者本人，而非协助解决问题。任何要求您将资金转移至对方指定地址的行为，均属诈骗。

自我托管应建立在自主选择与充分准备基础上，而非被动响应外部请求。建议参考硬件钱包对比指南，关注备份机制、恢复流程与供应链透明度。

Amplitude官方未公开此事件

截至发稿，Amplitude公共状态页面未列出10月27日至28日的安全事件。其此前发布的通告仅涉及PHP漏洞修复，且声明自身服务不受影响。该通知是否与本次泄露有关尚未有明确关联。

目前所有信息均来自Coinbase单方面说明，供应商尚未就事件规模、影响范围或技术细节作出回应，存在显著信息真空。

欧盟监管框架下的责任归属

Coinbase基于卢森堡CSSF颁发的MiCA许可证运营欧洲业务，但本次事件适用《通用数据保护条例》（GDPR）而非MiCA。根据法规，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。

Coinbase已履行相关义务，但最终责任仍由其承担。用户可在居住国向当地数据保护机构提出申诉，权利不受公司注册地限制。

双因素认证形式对安全的影响差异

短信验证码因依赖移动网络而易受SIM卡交换攻击，且可能被诱导输入于仿冒页面；身份验证器应用虽更安全，但无法防范钓鱼网站诱导输入。

通行密钥则具备抗钓鱼能力，因其与真实域名绑定，伪造站点无法触发有效认证，是当前最可靠的第二因子选择。

自我托管：在数据泄露中实现真正隔离

通过自我托管，用户将私钥完全掌握于自身，即使交易所供应商被攻破，也无法触及账户资产。硬件钱包作为专用设备，可将密钥永久锁定于安全芯片内，签署过程不暴露密钥。

代价在于需自行承担密钥丢失风险。因此，多数投资者采取分层策略：日常交易使用持牌平台，长期持有部分转入自管钱包。

本次事件虽未危及资产，但凸显了供应链风险常态化趋势，促使更多人重新评估资金配置逻辑。

官方通知唯一渠道：谨防二次欺诈

Coinbase表示将通过电子邮件向受影响用户发送通知，并已向监管机构报告。但这也带来悖论：通知渠道本身正是泄露数据的载体。

因此，切勿点击邮件中的链接，所有信息应通过官方应用或直接访问官网核实。若接到来电或邮件要求转账、输入助记词或提供验证码，一律视为诈骗。

简而言之，此次事件本质为联系信息泄露，而非资产被盗。当前唯一确定的事实是：数据已外泄，攻击面扩大，防御重点应转向提升识别能力与强化身份验证机制。