币圈界报道：

Coinbase供应商遭安全入侵：客户联系方式外泄，资产未受波及

2026年10月28日，Coinbase正式通报，其合作供应商在近期遭遇信息安全事件，部分用户的电子邮件地址与联系电话被非法获取。尽管此次事件涉及第三方系统，但交易所强调，其核心账户体系保持完整，包括密码、私钥、交易历史和资金余额均未被访问或篡改。

数据泄露源头锁定为分析服务提供商Amplitude

事件核心指向产品行为分析平台Amplitude，该机构通过集成于客户端的SDK收集用户交互数据。为实现精准分析，部分数据包中包含可识别身份的联系信息，如邮箱与手机号码，从而形成潜在敏感数据存储点。据Coinbase披露，此次事件发生于10月27日至28日，且影响范围不仅限于自身，其他使用该服务的客户亦可能受到波及。

泄露内容限定于联系方式，不涉及账户凭证

交易所明确表示，本次泄露仅限于客户的通信方式，未包含任何登录凭据、助记词或财务明细。这一区分至关重要：虽然无法直接转移资产，但暴露的信息使攻击者具备高度精准的社交定位能力，可用于实施定向诈骗，例如伪装成官方客服发起信任诱导。

事件规模存疑：官方称“少量”，第三方称超七万账户

Coinbase未公布具体受影响账户数量，仅以“少量”描述。然而，区块链安全公司SlowMist声称已验证一份涵盖逾7万个账户的数据集，虽未确认是否含密钥，但其真实性尚未获交易所证实。目前尚无独立第三方核实该数字，因此实际影响范围仍处于不确定状态。

通知渠道本身成为风险点：邮件即潜在攻击入口

由于受影响用户将通过电子邮件接收通知，而该邮箱正是泄露信息之一，这使得消息来源的可信度面临挑战。攻击者可利用相同渠道伪造通知，诱导用户点击恶意链接。建议用户仅通过官方应用或直接输入官网网址进行信息核验，避免点击未知来源链接。

典型骗局模式：以“异常登录”为由施压执行操作

社会工程攻击常以“检测到可疑活动”为开场，结合已知的邮箱信息营造真实感。随后制造紧迫氛围，要求用户提供助记词、一次性验证码或向指定地址转账。此类行为本质是企图绕过安全机制，获取账户控制权。

识别骗局的两大关键信号

真正的客户服务不会主动致电施压；所有要求提供助记词、私钥或一次性验证码的行为均属高危，无论界面设计多么逼真。此外，域名拼写偏差、链接显示与文本不符、缺乏具体时间细节、强制保密等特征也应引起警觉。

正规支持绝不会索取这些信息

任何合法机构均无需您的助记词来处理账户问题，也不应索要一次性验证码作为帮助条件。这类请求本质上是在请求权限。同时，若对方提出“代管资产”或“安全保管”等建议，尤其是通过非官方渠道提供的地址，则极可能是欺诈行为。

Amplitude官方页面未记录此事件

截至当前，Amplitude的公开状态页面列有10月24日至27日的技术维护与延迟通知，但未提及10月27日至28日的安全事故。此前发布的关于PHP漏洞的通知亦未明确关联本次事件。因此，目前事件责任归属仍依赖于Coinbase单方面声明，供应商尚未作出回应。

欧盟监管框架下：GDPR主导报告义务

Coinbase依据卢森堡颁发的MiCA许可服务于欧盟市场，但数据泄露事件适用《通用数据保护条例》（GDPR）。根据规定，控制者须在72小时内向监管机构报告，并在风险较高时通知个人。交易所已履行上述义务，相关投诉可向所在国数据保护机构提出，不受注册地限制。

双因素认证类型差异：短信代码最易受攻

在联系信息外泄背景下，第二重验证方式的选择尤为关键。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导。相比之下，身份验证器应用生成的代码更安全，但仍无法抵御钓鱼网站。通行密钥则具备抗欺骗特性，因其绑定真实域名，伪造站点无法获取有效凭证。

自我托管：脱离中心化系统的根本防护

采用自我托管方案，特别是配合硬件钱包，可彻底规避交易所及其供应商带来的风险。私钥由用户本地保管，即使外部系统被攻破，也无法触及资产。不过，这也意味着密钥丢失将不可恢复，需谨慎管理备份与设备来源。

通知仅通过邮件发送，切勿轻信来电

为提升账户安全性，建议立即检查并更新双重验证方式，优先使用身份验证器应用或通行密钥替代短信代码。同时，考虑将长期持有的资产转移至自我托管环境，参考权威硬件钱包对比指南，评估芯片性能、恢复机制与供应链透明度。未来数周内，预计会接收到大量以此次事件为背景的骚扰信息，任何要求转账或输入助记词的请求一律视为诈骗。