币圈界报道：

Coinbase披露供应商数据泄露：联系信息外泄但资产未受威胁

2026年10月28日，Coinbase正式通报其一家第三方服务提供商遭遇安全事件，涉及部分用户的电子邮件地址与联系电话被非法获取。尽管账户密码、私钥、交易历史和余额均未受损，且内部系统未发现异常访问痕迹，但此次事件凸显了现代数字生态中供应链漏洞的潜在风险。

核心风险转向“可达性”而非“访问权”

此次事件的本质并非技术入侵或资产窃取，而是数据通过非直接控制渠道流出。攻击者虽无法登录账户，却可利用已知的联系方式精准实施社会工程学欺诈——如冒充客服、虚构账户异常警报，诱导用户主动交出敏感信息或执行危险操作。

Amplitude作为分析服务商：数据采集边界模糊化

Amplitude是一家提供用户行为分析的服务商，其服务依赖于嵌入客户端的SDK收集使用数据。为实现用户身份匹配，部分集成会同步邮箱或电话号码。此类信息一旦上传至外部服务器，即成为潜在泄露源头。本次事件中，该数据流被证实存在异常访问，且影响范围波及多个客户，表明问题具有普遍性而非个案。

泄露范围存争议：官方称“少量”，第三方称逾七万

Coinbase仅表示受影响用户数量有限，未公布具体数字；而区块链安全机构SlowMist则援引一份数据集指出，涉及超过7万个账户的联系信息。尽管后者尚未获得官方验证，但两者之间的巨大差异揭示了事件真实规模的不确定性。无论实际人数多少，关键在于：个人是否收到通知，而非数字本身。

通知渠道成双重困境：唯一合法路径即最易被仿冒

由于受影响用户将通过电子邮件接收通知，而该邮箱正是泄露目标，因此消息本身可能被伪造。攻击者可利用相同邮箱发送看似合规的警示邮件，诱导用户点击恶意链接。建议所有用户不轻信来信内容，应通过官方应用或直接输入官网地址核实信息，避免将访问权限交予第三方。

典型骗局流程包括：主动来电，提及平台名称，知晓注册邮箱，并声称检测到异常登录行为，制造紧迫感后要求立即执行转账、提供助记词或验证码等不可逆操作。此类攻击的成功率极高，因其基于真实背景信息，极具迷惑性。

真正的客户服务不会主动发起通话施压。任何索要助记词、私钥或一次性验证码的行为，本质都是试图获取账户控制权。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间细节、要求保密等均为常见预警信号。

正规机构不会要求用户提供助记词以解锁账户或处理提款。一次性验证码仅用于本人登录确认，若被索取即意味着对方正试图冒用身份。所有来自外部地址的“安全建议”或“临时保管”请求，均违背自我托管原则，应视为高度可疑。

截至事件发生时，Amplitude的公开状态页仅列出了10月24日至27日的技术中断与维护事项，未提及任何安全事件。其10月22日发布的关于PHP漏洞的通告也未明确指向本次泄露。目前尚无证据表明该事件已被供应商正式承认，责任归属仍依赖于Coinbase单方面声明。

尽管Coinbase在欧盟运营依托卢森堡颁发的MiCA许可，但本次数据泄露适用《通用数据保护条例》（GDPR）。该法规规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。即便事件源于供应商，交易所仍需承担法律责任，用户可在居住国提起投诉。

当手机号码已暴露，短信验证码极易被劫持——无论是通过诱导输入还是SIM卡交换攻击。相比之下，身份验证器应用生成的代码位于本地设备，不受网络传输影响，但仍无法防范仿冒登录页面。唯有通行密钥（Passkey）具备抗钓鱼能力，因与真实网站域名绑定，伪造域名下无效，是当前最可靠的第二因子。

将资产转移至自我托管钱包，尤其是硬件钱包，可彻底规避交易所及其供应商的数据风险。私钥由用户独立保管，不存储于任何第三方服务器。然而，这也意味着密钥丢失即永久损失，因此建议按用途分层管理：日常交易保留在合规平台，长期持有则置于自主控制环境。

建议用户立即检查账户安全设置，将短信双因素替换为身份验证器应用或通行密钥；评估资金分配策略，将非交易型持仓迁移至自管钱包；未来数周内保持高度警觉，凡涉及转账、助记词或验证码的要求一律视为诈骗。本次事件虽未危及资产，但暴露出供应链治理的深层挑战，需持续关注官方后续声明。