币圈界报道：

Coinbase确认第三方服务商数据泄露事件：客户联系方式外泄但资产安全

2026年10月28日，Coinbase正式通报其合作供应商发生信息安全事件，确认部分用户的电子邮箱及手机号码被非法获取。尽管涉及数据未包含密码、私钥或资金余额，但该类信息一旦暴露，可能成为精准诈骗的基础。

供应链漏洞成焦点：分析服务商成数据泄露源头

此次事件的核心责任方指向产品行为分析平台Amplitude，该公司通过嵌入客户端应用的SDK收集用户使用数据。为实现用户身份匹配，部分数据在传输过程中附带了可识别个人的联系方式，从而形成敏感信息存储点。

泄露范围存疑：交易所称“少量”与第三方称“超七万”并行

Coinbase未公布具体受影响账户数量，仅表示影响范围有限；而区块链安全机构SlowMist则披露一份涉及逾7万名用户的数据集，虽未证实是否包含密钥，但其真实性尚未被官方验证。目前事件规模仍处于模糊地带。

通知渠道成隐患：唯一告知方式即潜在伪造目标

Coinbase将受影响者通知统一通过电子邮件发送，此举虽符合监管要求，却也使通信渠道本身成为攻击者模仿的对象。任何来自同一邮箱地址的后续联络，均需谨慎甄别，避免点击未知链接或提供敏感信息。

社会工程攻击升级：利用已知身份实施精准诱骗

攻击者可利用已知的邮箱和电话，冒充客服声称检测到异常登录，制造紧迫感诱导用户执行转账、输入助记词或提供一次性验证码等高危操作。此类攻击不依赖技术突破，而是基于信任操控。

识别骗局的关键特征：主动联系与索取核心凭证

正规支持团队从不主动致电施压，也不会要求用户提供助记词、私钥或一次性验证码。这些信息一旦泄露，即意味着账户完全失控。此外，域名拼写错误、链接跳转不符、缺乏具体时间细节、禁止外部讨论等均为典型欺诈信号。

真正支持不会索要的三类信息

任何合法服务均无需用户助记词解锁账户、取消订单或释放提款。一次性验证码仅用于验证登录者本人，绝不可用于其他用途。所有要求转移资金至“安全地址”的请求，皆属诈骗行为。自我托管应建立在自主决策基础上，而非被动接受他人提供的“保管方案”。

Amplitude官方未公开承认：状态页面无相关警报

Amplitude的公共状态页面列有10月24日至27日的技术中断记录，但未提及本次数据泄露事件。其10月22日发布的关于PHP漏洞的通知亦未明确关联此事件。目前尚无证据表明该事件已由供应商自身确认，责任归属仍依赖于交易所单方面声明。

欧盟监管框架适用：GDPR驱动报告义务

尽管Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但此次数据泄露适用《通用数据保护条例》（GDPR）。根据规定，控制者须在72小时内向监管机构通报，并在风险较高时直接通知用户。当前通知流程符合法律要求，但用户仍可就处理不满向居住国数据保护机关投诉。

双因素认证应对策略：从短信代码到通行密钥的演进

短信验证码因依赖移动网络，易受SIM卡劫持攻击；身份验证器应用虽提升安全性，但仍无法防范仿冒登录页面。通行密钥作为与真实网站绑定的加密凭证，具备抗钓鱼能力，是当前最可靠的第二重验证方式。

自我托管：切断供应商访问路径的终极手段

采用自我托管模式，特别是使用硬件钱包，可确保私钥始终由用户掌控，不受交易所及其服务商影响。虽然存在助记词丢失或设备来源不明的风险，但长期持有者可通过分层管理策略——日常交易保留在合规平台，长期持仓转入自管钱包——实现风险隔离。

Coinbase后续行动建议：强化安全设置与保持警惕

建议用户立即检查账户安全配置，将短信验证替换为身份验证器应用或通行密钥。同时，评估资金分布结构，将非交易性资产移出中心化平台。未来数周内应高度警惕任何提及此次事件的来电或邮件，凡涉及转账、输入助记词或验证码的请求，一律视为欺诈。