币圈界报道：

Coinbase披露供应商数据外泄：客户联系方式遭曝光，核心资产完好

2026年10月28日，Coinbase正式通报旗下一家第三方服务提供商遭遇安全事件，导致部分用户联系方式（包括电子邮箱和手机号）被非法获取。尽管相关数据已流出，但平台强调其内部系统未被入侵，账户密码、私钥、交易历史及资产余额均未受到波及。

数据泄露源头指向分析服务商Amplitude，非交易所自身系统受损

此次事件的根源被定位在产品行为分析平台Amplitude。该服务通过集成于客户端的SDK收集用户操作数据，为应用优化提供支持。在某些配置下，其服务器会存储用户的电子邮件或电话号码，以便与客户内部数据库匹配。此次泄露正是由此类敏感信息在第三方平台上的不当留存所引发。

泄露范围存疑：交易所称“少量”，安全机构指超七万账户

Coinbase未公布具体影响人数，仅表示涉及范围有限。然而，区块链安全公司SlowMist援引一份数据集指出，受影响账户数量可能超过7万个，且该数据集未经官方验证。目前双方说法存在显著差异，实际规模尚待进一步澄清，但无论数字如何，用户需意识到数据一旦外泄即无法收回。

联系信息泄露本质：风险在于“可触达性”而非“访问权限”

与传统密码泄露不同，此次事件的核心威胁并非账户被登录，而是攻击者可利用已知身份精准实施社会工程攻击。例如，冒充客服致电用户，谎称检测到异常登录，诱导其点击伪造链接或提供助记词等敏感信息。此类攻击不依赖技术漏洞，而依赖信任与紧迫感的操控。

虚假支持电话的运作机制与典型特征识别

诈骗者通常以“账户异常”为由主动联系用户，制造紧急情境，要求立即执行转账、输入一次性验证码或透露助记词。真正客服绝不会主动发起通话，也不会索取私钥、助记词或一次性代码。此外，拼写错误的域名、不符的链接地址、模糊的称呼以及强制保密要求，均为高危信号。

双重验证方式应对策略：从短信码到通行密钥的安全升级

短信验证码因依赖移动运营商，易受SIM卡劫持攻击，安全性较低；而基于应用的身份验证器虽能抵御网络截获，但仍可能被钓鱼页面诱骗使用。通行密钥则具备抗钓鱼能力，因其绑定真实网站域名，伪造站点无法生成有效凭证，是当前最可靠的第二因素选择。

自我托管成为关键防护手段：硬件钱包保障密钥独立控制

将长期持有的资产转移至自我托管钱包，尤其是使用硬件设备保存私钥，可彻底规避交易所及其供应商带来的链式风险。虽然此举意味着密钥管理责任完全由个人承担，但能有效隔离外部攻击面。建议采用分层策略：日常交易保留在合规平台，大额长期持有则交由自控钱包保管。

通知渠道成双刃剑：唯一合法告知途径亦为攻击入口

Coinbase通过电子邮件向受影响用户发送通知，这既是法律义务，也构成了潜在风险点——因为邮件地址本身已被泄露。因此，收到相关消息后不应轻信其中链接，应直接访问官网核实，避免将访问权让渡给发件人。

监管框架适用：GDPR主导报告义务，责任归属仍属交易所

尽管Coinbase在欧盟运营依托卢森堡颁发的MiCA许可，但本次事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构通报，并在对个人权利构成高风险时通知用户。即使问题出在供应商端，交易所作为数据控制方仍需承担法律责任，用户可向所在国数据保护机构提出申诉。

Amplitude状态页未记录事件，供应商尚未发声

截至当前，Amplitude官方状态页面仅列出此前数日的技术维护与延迟问题，未提及10月27日至28日的安全事件。其10月22日发布的关于PHP漏洞的通知也未明确关联此次泄露。因此，事件是否属实、影响范围如何，仍取决于该供应商后续是否发布正式声明。

行动建议：强化安全设置，防范未来接触风险

建议用户立即检查账户安全设置，将短信双因素认证替换为身份验证器应用或通行密钥；评估资金分配策略，将非交易型持仓迁移至自托管环境；在未来几周内保持高度警惕，凡涉及转账、助记词或验证码请求，一律视为欺诈行为，不予回应。