币圈界报道：

交易所供应商遭袭：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日通报，其合作的数据分析服务提供商Amplitude遭遇安全漏洞，造成部分用户联系方式（含电子邮箱与手机号）被非法获取。尽管数据流出发生在第三方系统，但公司强调自身核心系统未被入侵，账户密码、私钥、交易历史及资产余额均保持完整。

非账户攻破，而是供应链信任链断裂

此次事件并非针对区块链网络或钱包的直接攻击，而是一起典型的供应链数据泄露案例。攻击者通过分析平台的第三方服务接口获取敏感信息，凸显现代数字生态中依赖外部工具所带来的潜在风险。即便主平台安全，一旦上游服务商存在缺陷，用户数据仍可能在无形中暴露。

泄露范围存疑：官方称“少量”，第三方称超七万

Coinbase在声明中表示受影响账户数量有限，但未提供具体数字。与此同时，区块链安全机构SlowMist披露一份据称来自该事件的数据集，涉及超过7万个账户的联系信息。目前尚无独立验证，双方说法差异显著，实际影响规模仍待进一步澄清。

数据价值不在金额，而在可接触性

泄露的信息虽不包含密码或余额，却极大提升了攻击者的精准度。掌握用户身份与联系方式后，攻击者可实施高度定制化的社交工程手段——例如伪装成客服人员，声称检测到异常登录行为，制造紧迫感并诱导用户提供助记词或验证码。此类攻击的成功率远高于广撒网式钓鱼。

虚假支持来电：骗局运作机制解析

典型骗局流程为：来电方准确报出用户注册邮箱，并提及交易所名称，随后以“账户异常”为由要求立即执行转账、输入助记词或提供一次性验证码。这些操作本质上是授权访问，而非协助解决问题。真正的客服绝不会主动发起此类请求。

三大识别特征：主动来电、索要密钥、施加压力

若对方主动联系、要求提供助记词、私钥或一次性验证码，即为高危信号。此外，域名拼写错误、链接目的地不符、问候语泛化、时间限制严苛以及禁止向他人透露情况，均为典型欺诈特征。任何索取敏感信息的行为，无论包装多么专业，皆不可轻信。

真正客服从不索要这些信息

合法交易所不会要求用户提交助记词、私钥或一次性验证码来解锁账户或处理提款。此类信息仅用于身份验证，一旦泄露即意味着完全控制权转移。自我托管是规避此类风险的有效方式，但需自行承担密钥丢失或硬件设备被盗的风险。

Amplitude官网未公布相关事件

截至当前，Amplitude的公开状态页面未列出此次事件。其最近公告聚焦于10月22日发布的PHP漏洞应对措施，与本次泄露无直接关联。因此，该事件的责任归属仍基于Coinbase单方面陈述，缺乏供应商侧的确认，构成重大不确定性。

欧盟监管框架下：GDPR优先于MiCA适用

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但本次事件适用法律为《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行这两项义务，且责任最终仍由其承担，即使问题源于第三方服务。

双重验证方式在泄露后的防御效能对比

短信验证码因依赖移动网络，在号码已知情况下最易被劫持，尤其面临SIM卡交换攻击。身份验证器应用生成本地代码，抗干扰能力更强，但仍无法防范仿冒登录页面。通行密钥则具备防钓鱼特性，仅在真实域名下有效，是当前最可靠的第二因素选择。

自我托管：让联系信息不再成为弱点

将长期持有的资产转入自我托管模式，尤其是使用硬件钱包，可彻底切断交易所供应链带来的风险路径。密钥由用户自主保管，不存储于任何第三方服务器。虽然管理责任加重，但从根本上避免了因联系信息泄露引发的间接威胁。

唯一通知渠道：邮件本身亦可能被利用

Coinbase计划通过电子邮件通知受影响用户，这一做法虽合规，却带来悖论——通知所用邮箱正是泄露数据之一。因此，邮件内容可作为背景参考，但切勿点击其中任何链接。应直接通过官方应用或手动输入官网地址核实信息，防止落入伪造界面陷阱。