币圈界报道：

交易所供应商遭袭：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase对外披露，其合作的数据分析服务商Amplitude遭遇安全漏洞，造成部分用户联系方式（包括电子邮箱与手机号）被非法获取。尽管相关数据已流入外部渠道，但公司强调自身系统未被入侵，账户密码、私钥、交易历史及资金余额均保持完整，未出现异常变动。

供应链风险凸显：第三方服务成数据外泄新缺口

此次事件并非传统意义上的黑客攻击或区块链层面的渗透，而是典型的“供应链攻击”——攻击者绕过直接目标，转而利用服务提供商的安全薄弱环节获取敏感信息。此类模式近年来频繁出现，尤其在依赖第三方工具链的数字服务中愈发普遍。

泄露范围存疑：官方称“少量”，第三方声称超七万条

Coinbase表示受影响用户数量有限，但未公布具体数字；与此同时，区块链安全机构SlowMist援引一份疑似真实数据集，指出涉及超过70,000个账户的联系信息。目前该数据来源尚未获得交易所验证，事件规模仍处于模糊区间，仅能确认存在显著差异。

数据泄露的本质：从“访问权”到“可达性”的转变

不同于密码泄露带来的直接账户接管风险，本次事件的核心威胁在于“可达性”提升。攻击者可凭借已知邮箱和号码，精准定位加密货币用户并实施定向诈骗。这类攻击不再依赖大规模撒网，而是基于真实身份背景进行心理操控，极大增加了欺骗成功率。

虚假支持电话的运作逻辑：以信任为诱饵的社交陷阱

攻击者常伪装成平台客服，通过已知的注册信息建立可信关系，声称检测到可疑登录行为，并制造紧急情境，诱导用户执行转账、输入助记词或提供一次性验证码等操作。此类骗局的关键在于利用用户对平台权威的信任，而非技术漏洞。

识别骗局的两大铁律：主动联系与索取密钥

正规支持团队绝不会主动发起通话或邮件施压。任何要求提供助记词、私钥或一次性验证码的行为，均属于高危信号。此外，域名拼写错误、链接目的地不符、缺乏具体时间依据、禁止向他人透露情况等，均为典型欺诈特征。

真正安全的保障：拒绝一切非必要信息索取

没有任何合法机构会要求您提供助记词或一次性验证码来解决问题。这些信息一旦泄露，即意味着完全控制权的丧失。自我托管虽需承担更多责任，但能有效规避平台侧风险。建议将长期持有资产转移至硬件钱包，实现物理隔离与自主管理。

Amplitude未公开通报：事件真实性存疑

截至发稿，Amplitude官网状态页面未列出此次事件，仅显示此前数日的系统维护与延迟通知。其10月22日发布的关于PHP漏洞的公告也未明确指向本次事故。因此，事件责任归属仍仅基于Coinbase单方面陈述，缺乏独立佐证。

欧盟监管框架下的合规路径：GDPR主导报告义务

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但本次数据泄露适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在评估风险较高时通知用户。交易所已履行通知义务，且用户有权向所在国数据保护机关提出申诉。

多因素认证的防御层级：短信代码最脆弱，通行密钥最可靠

在联系信息暴露背景下，双因素认证形式的选择至关重要。短信验证码易受SIM卡劫持与仿冒页面诱导影响；身份验证器应用虽避免了网络传输风险，但仍无法防范钓鱼攻击；唯有通行密钥具备抗钓鱼能力，因其绑定真实域名，伪造站点无法生效。

自我托管：切断供应商链条的终极防御

当资产由用户自行保管，私钥不存储于中心化平台，便从根本上摆脱了因第三方服务商失守而导致的信息外泄风险。硬件钱包作为主流选择，将密钥固化于专用芯片中，即使设备接入网络也不暴露私钥。然而，这也意味着备份与保管责任完全由个人承担。

应对策略：强化防护，静待官方回应

建议用户立即检查账户安全设置，将短信验证替换为身份验证器或通行密钥；评估是否将长期持仓移至自我托管环境；未来几周内提高警惕，凡涉及转账、输入助记词或验证码的请求一律视为诈骗。当前关键点在于：事件本质是联系信息泄露，而非资产损失，所有行动应围绕“不可信接触”展开。