币圈界报道：

Coinbase供应商遭数据泄露：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱和手机号码被非法获取。尽管涉及敏感信息，但交易所强调账户密码、私钥、交易历史及资产余额均未遭到破坏，且自身系统未检测到异常访问行为。

核心风险转向通信渠道：身份可识别性成新威胁

此次事件并非针对区块链或钱包系统的攻击，而是典型的数据供应链漏洞。攻击者通过第三方分析服务商间接获取用户联络资料，从而实现高度精准的社会工程渗透。这意味着即便账户本身安全，用户仍可能因身份暴露而成为定向诈骗目标。

事件源头指向产品分析平台Amplitude

Amplitude作为广泛部署于数字产品的用户行为分析服务提供商，依赖集成在客户端的SDK收集使用数据。为实现用户匹配，部分数据会包含电子邮件或电话等可识别信息。本次泄露即源于该类数据在供应商端的不当存储与保护不足。

泄露范围存疑：官方称“少量”，第三方称逾七万

Coinbase未公布具体影响账户数量，仅表示涉及范围有限。然而，区块链安全机构SlowMist披露一份据称来自该事件的数据集，显示超过7万名用户的信息外泄，但未确认是否包含登录凭证。目前尚无独立验证，实际规模仍处于不确定状态。

数据泄露后，信任链条面临重构

由于通知仅通过已泄露的邮箱发送，接收者无法确认消息真实性。这使得信息传播本身成为潜在风险点——攻击者可利用同一渠道伪造官方通知，诱导用户点击恶意链接。因此，任何含链接的消息都应通过官方网址核实。

社会工程攻击新形态：以真实背景制造紧迫感

攻击者常以“检测到可疑登录”为由主动致电或发信，结合已知的注册邮箱营造可信度。随后施加时间压力，要求用户转账至“安全地址”、输入助记词或提供一次性验证码。此类操作本质是诱导用户自愿交出访问权限。

两大识别特征：主动接触与索取敏感信息

真正的客服不会主动联系用户施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，拼写错误域名、链接与文本不符、过度笼统问候语以及禁止外部讨论等信号，均为高危预警。

正规支持绝不会索要这些关键信息

任何合法机构均无需助记词来解锁账户或处理提款。一次性验证码仅用于验证登录者身份，一旦提供即等于授权访问。将资金转移至对方提供的地址更是典型骗局，自我托管必须基于自主选择的钱包与地址，而非他人发起的指令。

Amplitude官方页面未提此事件，真相待澄清

截至事件通报时，Amplitude官网状态页仅列出24日至27日的技术维护与延迟问题，未提及安全事件。此前发布的关于PHP漏洞的通知也未明确关联本次泄露。因此，事件责任归属目前仅依据Coinbase单方面声明，尚缺乏供应商方的公开回应。

欧盟监管框架下：GDPR主导报告义务

尽管Coinbase持有卢森堡MiCA许可，但此次数据泄露适用《通用数据保护条例》（GDPR）。根据法规，需在72小时内向监管机构报告，并在对个人权利构成高风险时通知受影响者。交易所已履行上述义务，且责任主体仍为数据控制者，即用户直接面对的Coinbase。

双重验证机制在泄露后的防护差异

短信验证码在号码已知情况下最为脆弱，易受仿冒页面诱导或SIM卡劫持攻击。身份验证器应用虽能抵御网络传输风险，但仍无法防范钓鱼网站。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造站点无法触发有效认证。

自我托管：规避供应链风险的根本路径

采用自我托管模式，尤其是使用硬件钱包，可彻底脱离交易所及其供应商的系统。私钥由用户本地保管，即使供应商被攻破，也无法触及资产。但需承担密钥丢失或设备欺诈的风险，建议按用途分层管理资金。

后续应对策略：强化防御与保持警惕

建议立即检查账户安全设置，将短信验证升级为身份验证器或通行密钥。考虑将长期持有的资产转移至自管钱包。未来数周内，若收到提及此次事件的来电或邮件，务必保持警觉，拒绝任何形式的资金转移或信息索取。事件本质是联系信息泄露，而非资产被盗，但其衍生风险不容忽视。