币圈界报道：

Coinbase供应商遭数据泄露：联系信息外泄但资产未受损

2026年10月28日，Coinbase正式通报其一家第三方服务提供商遭遇安全事件，造成部分用户联系方式（包括电子邮箱与手机号码）被非法获取。尽管相关数据已暴露于外部环境，但交易所强调其核心系统未遭入侵，账户密码、私钥、交易历史及资金余额均保持完整无损。

供应链漏洞成主因：非交易所系统被攻破

此次事件并非针对区块链网络或钱包基础设施的直接攻击，而是源于第三方服务商的数据管理失当。分析公司Amplitude作为用户行为追踪工具，通过集成在客户端的SDK收集使用数据，其中包含可识别用户的敏感信息。一旦这些信息与身份标识绑定，便构成潜在泄露风险。

泄露范围存疑：官方称“少量”而安全机构指超七万

Coinbase未公布具体影响账户数量，仅表示涉及范围有限。然而，区块链安全机构SlowMist披露一份数据集，声称涵盖超过7万名用户的联系资料，且未确认是否包含密码或余额。目前尚无独立验证，因此实际规模仍处于模糊区间。

联系信息成诈骗温床：精准度提升，信任被滥用

与传统密码泄露不同，此次风险不在于账户访问权限丧失，而在于攻击者获得精确目标路径。掌握用户注册邮箱和电话后，诈骗者可发起高度定制化的社交工程攻击——以“可疑登录”为由主动致电，制造紧迫感，诱导用户转账至虚假地址或输入助记词。

伪造支持渠道：典型骗局特征与识别方法

真正的客服不会主动联系用户施压。任何要求提供助记词、私钥或一次性验证码的行为均属高危信号。此外，域名拼写错误、链接目的地与显示不符、缺乏具体时间细节、强制保密等均为常见欺诈标志。应始终通过官方渠道核实信息，切勿点击未知来源链接。

双重认证机制应对策略：从短信到通行密钥

短信验证码在号码已知情况下最为脆弱，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码虽无法防钓鱼，但安全性更高；而通行密钥则具备抗欺骗能力，因其绑定真实网站域名，伪造页面无法触发有效认证。

自我托管是根本防护：硬件钱包降低依赖风险

将长期持有的资产转移至自我托管模式，尤其是使用硬件钱包，可彻底规避交易所及其供应商的安全隐患。密钥由用户独立保管，不受第三方系统影响。尽管存在助记词丢失风险，但结合分层资产管理策略，仍是抵御供应链威胁的有效手段。

监管合规框架：GDPR主导报告义务

尽管Coinbase持有欧盟MiCA许可证，但本次事件适用《通用数据保护条例》（GDPR），要求在72小时内向监管机构通报，并在对个人权利构成重大风险时通知用户。即使责任源自供应商，交易所作为数据控制方仍需承担法律责任，用户可在居住国提起申诉。

Amplitude未公开声明：事件真实性待验证

Amplitude官网状态页面未列出此次事件，仅记录了10月24日至27日的技术维护与延迟问题。此前关于PHP漏洞的通知也未明确指向此次泄露。因此，当前所有信息均来自Coinbase单方面披露，供应商尚未作出回应，事件全貌仍有待澄清。

后续行动建议：加强防御，静待权威更新

用户应立即检查账户安全设置，将短信双因素更换为身份验证器或通行密钥；考虑将非交易性资产移入自我托管环境；提高对近期疑似通知的警惕性，拒绝任何形式的转账或信息索取。当前核心原则：信息泄露≠账户被盗，但必须防范由此衍生的社会工程攻击。