币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报其合作供应商发生数据安全事故。据官方邮件披露，少数用户的电子邮件地址与手机号码被非法获取，但账户密码、私钥、交易历史及资金余额均未遭到侵扰，且在核心系统中未检测到异常访问行为。

供应链漏洞成主因：第三方分析服务暴露敏感信息

此次事件的源头指向产品数据分析平台Amplitude，该服务商通过嵌入客户端的SDK收集用户行为数据。为实现精准匹配，部分数据在传输时附带了用户的电子邮件或电话号码，从而形成潜在泄露点。此操作虽提升分析能力，却也使客户信息成为外部攻击的目标。

泄露范围存争议：交易所称“少量”，安全机构称超七万

Coinbase仅表示受影响用户数量有限，未公布具体数字。然而，区块链安全公司SlowMist援引一份数据集指出，涉及账户超过7万个，尽管未证实是否包含密码或余额信息。目前尚无独立验证，实际规模仍处于模糊地带。

数据泄露后的真实威胁：从被动等待到主动诱骗

泄露的联系信息本身无法直接盗取资产，但极大提升了攻击者实施精准诈骗的可能性。他们可利用已知身份发起看似可信的电话或邮件，编造登录异常等理由制造紧迫感，诱导用户透露助记词、一次性验证码或进行转账操作。

骗局识别关键：主动来电与敏感请求是最大警示

正规支持团队不会主动联系用户施压；任何要求提供助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写错误、链接与文本不符、缺乏具体时间细节、禁止向他人咨询等特征也常出现在仿冒通讯中。

真正安全的防御策略：远离索取权限的请求

没有任何合法机构需要您提供助记词来协助解锁账户或处理提款。同样，一次性代码仅用于确认登录者身份，不应被要求输入至非官方页面。自我托管应基于自主决策，而非响应他人提供的“安全地址”。

Amplitude未公开声明：事件真实性待核实

Amplitude官网状态页面列出10月24日至27日的技术中断，但未提及此次安全事件。唯一相关公告为10月22日关于PHP漏洞的预警，但明确表示自身服务不受影响。因此，当前所有信息均来自Coinbase单方面说明，供应商尚未作出回应。

欧盟监管框架下：GDPR主导信息披露义务

尽管Coinbase持有卢森堡颁发的MiCA许可证，但本次事件适用《通用数据保护条例》（GDPR）。根据规定，数据控制者需在72小时内向监管机构报告，并在高风险情况下通知用户。交易所已履行上述义务，责任主体仍为平台本身，用户可向居住国数据保护机关投诉。

双重验证方式应对新风险：短信代码最脆弱，通行密钥更可靠

短信验证码易受SIM卡劫持或仿冒页面诱导，风险较高。相比之下，身份验证器应用生成的代码本地存储，具备更强防护力，但仍可能被钓鱼网站截获。通行密钥则具备抗钓鱼特性，仅在真实域名下有效，是当前最稳健的第二因素选择。

长期防护之道：自我托管规避中心化风险

将核心资产移至自我托管的钱包，尤其是硬件钱包，可彻底脱离交易所及其供应商的控制范围。虽然密钥管理责任转移至个人，但一旦脱离中心化系统的链条，便不再面临此类供应链攻击的威胁。

后续行动指南：以官方渠道为准，严防主动接触

受影响用户将仅通过电子邮件接收通知，且该渠道本身可能已被泄露。建议勿点击邮件内链接，应直接访问Coinbase官网核实信息。未来数周内，预计会收到大量关联此类事件的电话或邮件，所有要求转账、输入助记词或提供验证码的请求一律视为欺诈。