币圈界报道：

Coinbase披露供应商数据泄露：客户联系方式外泄，核心资产完好

Coinbase于2026年10月28日凌晨通报，其合作供应商系统遭遇安全漏洞，造成部分用户联系信息（含电子邮箱与手机号）被非授权获取。尽管相关数据已流出，但账户密码、私钥、交易明细及资金余额均未遭侵入，且平台自身系统未检测到异常访问行为。

供应链风险成焦点：数据通过第三方分析服务外泄

此次事件源头指向产品分析服务商Amplitude，该公司通过嵌入客户端的SDK收集用户行为数据，以支持应用优化。在部分集成场景中，为实现用户身份匹配，系统会同步发送电子邮件地址或电话号码，从而形成敏感信息存储点。该操作流程成为本次数据暴露的关键节点。

泄露范围界定：仅限联系方式，不涉及登录凭证

Coinbase明确指出，涉事数据仅为通信渠道信息，不含任何登录凭据或资产详情。这意味着攻击者无法直接操控账户或转移资金。然而，此类信息可被用于精准实施社会工程攻击——攻击者可利用已知身份特征，伪造可信背景进行定向诱骗。

事件规模存疑：交易所称“少量”，安全机构称超7万账户

关于受影响人数，双方说法差异显著。Coinbase仅表示影响范围有限，未公布具体数字；而区块链安全公司SlowMist则援引一份数据集，声称涉及逾7万个账户，但未证实是否包含密码或余额信息。目前尚无独立验证，事件真实影响仍处于待定状态。

通知渠道矛盾：唯一合法告知方式或已失密

Coinbase计划通过电子邮件向受影响用户发送通知，并已向监管机构报备。然而，这一通信路径本身即存在风险——若邮箱已被泄露，消息可能落入攻击者之手。因此，邮件内容虽可作为参考，但切勿点击其中链接，应直接访问官方站点核实信息。

社会工程攻击模式：伪装支持来电诱导信任

攻击者常以“检测到异常登录”为由主动致电或发信，利用已知的注册邮箱制造真实感，营造紧迫氛围，进而诱导用户提供助记词、一次性验证码或执行转账操作。此类骗局的核心在于利用已知身份建立可信度，而非技术突破。

识别欺诈的两大关键信号

真正客服从不主动联系用户施压；所有要求提供助记词、私钥或一次性验证码的行为，本质上都是试图获取账户控制权。此外，域名拼写错误、链接目的地不符、过度时间压力以及禁止外部讨论等，均为典型欺诈特征。

绝对不可透露的信息：助记词与验证码的用途本质

任何正规机构均无需助记词来解锁账户或处理提款请求。一次性验证码仅用于确认登录者身份，一旦提供即等于授权访问。所谓“安全保管”或“临时冻结”等说法，皆为虚构情境。自我托管应基于自主决策，而非依赖他人提供的地址。

Amplitude未公开声明：事件责任归属尚未澄清

截至当前，Amplitude官网的状态页面仅列出2026年10月24日至27日的技术中断与维护记录，未提及安全事件。其此前发布的关于PHP漏洞的通告也未明确关联此次泄露。因此，事件责任完全依赖于Coinbase单方面说明，缺乏供应商方的直接回应。

法律框架适用：GDPR主导数据泄露响应义务

尽管Coinbase持有欧盟MiCA许可证，但本次事件受《通用数据保护条例》（GDPR）管辖。该法规要求72小时内向监管机构报告，并在高风险情形下通知用户。交易所已履行两项义务，但最终责任仍由其承担，用户可向居住国数据保护机关提出申诉。

双重验证机制应对策略：短信代码最脆弱，通行密钥更安全

在联系信息外泄背景下，第二因素安全性面临考验。短信验证码易受SIM卡劫持或仿冒页面诱导，风险最高；身份验证器应用虽能抵御网络传输拦截，但仍需防范钓鱼页面；通行密钥因与真实域名绑定，具备抗钓鱼能力，是当前最优选择。

自我托管：切断数据链条的终极防护手段

将私钥掌握在自己手中，可彻底规避交易所及其供应商的风险敞口。硬件钱包通过专用芯片隔离密钥，即使设备被使用，也不会暴露私钥。虽然管理责任随之转移，但长期持有者可通过分层策略实现平衡：日常交易用交易所，长期资产交由自托管。

后续行动指南：强化安全配置，拒绝未经请求接触

建议立即检查账户第二因素设置，优先切换至身份验证器应用或通行密钥。对于非交易用途的资金，考虑迁移至自托管环境。未来数周内，务必警惕所有提及此事件的通讯，凡要求转账、输入助记词或提供验证码者，一律视为诈骗。