币圈界报道：

Coinbase披露供应商漏洞：客户联系方式外泄但资产未受威胁

2026年10月28日，Coinbase正式通报其合作供应商遭遇信息安全事件，确认部分用户联系方式（包括电子邮箱和手机号）存在数据暴露风险。尽管相关数据已流出，但账户密码、私钥、交易记录及资产余额均未被非法获取，且平台自身系统未发现异常访问行为。

核心风险转移至通信渠道，而非账户本身

此次事件并非针对区块链或账户系统的攻击，而是源于第三方服务提供商的数据管理疏漏。攻击者无法通过泄露的联系信息直接操控账户或转移资金，但可利用这些信息实施精准的社会工程学诈骗。一旦知晓用户身份及所属平台，攻击者便能以高度可信的方式发起仿冒沟通，诱导用户执行高危操作。

Amplitude作为分析服务商，承担用户行为数据聚合职能

Amplitude是一家专注于产品使用行为分析的服务商，通过集成在客户端的SDK收集用户交互数据。为实现用户识别与画像匹配，部分数据会包含邮箱或电话等可识别信息。当此类信息被同步至供应商服务器时，即构成潜在泄露点。本次事件中，数据泄露源头指向该服务链路，而非Coinbase自有系统。

仅涉及联系信息，不包含敏感凭证

Coinbase明确指出，泄露内容仅限于电子邮件地址与联系电话，未涵盖密码、助记词、一次性验证码或账户余额等关键信息。这表明攻击者无法绕过登录机制进行资产窃取。然而，这类信息的价值在于“可达性”——它使攻击者能够精准锁定目标并构建可信对话场景，从而提高欺诈成功率。

事件影响规模存争议：官方称“少量”，第三方称超七万

Coinbase对受影响账户数量保持模糊态度，仅表示“少量”。而区块链安全机构SlowMist则声称掌握一份涉及超过7万个账户的数据集，但未证实是否包含密钥或余额信息。目前尚无独立验证手段，因此事件影响范围仍处于不确定状态。无论具体数字如何，用户是否受害取决于是否收到官方通知，而非数据量大小。

通知路径成双重风险：邮件既是告知渠道也是欺骗工具

受影响用户将通过电子邮件接收通知，此为法律义务要求。然而，由于邮件地址本身已被泄露，该渠道同时成为伪造信息传播的温床。因此，任何提及此次事件的邮件都需谨慎对待，切勿点击其中链接。应主动通过官网或应用内页面核实信息，避免将访问权交予发送方。

攻击者常以“检测到可疑登录”为由，主动致电或发信，利用已知信息制造真实感。典型流程包括营造紧迫氛围，引导用户在虚假页面输入验证码、提供助记词或转账至指定地址。此类攻击的本质是诱骗而非技术突破，重点在于心理操控。

正规客服从不主动联系用户施压；所有要求提供助记词、私钥或一次性验证码的行为均属高危，因这些信息唯一用途即是授予账户访问权限。此外，域名拼写错误、链接显示与文本不符、缺乏具体时间依据、禁止向他人透露情况等，皆为常见欺诈迹象。

任何合法交易所或钱包服务商均无需助记词来解锁账户、取消交易或释放提款。一次性验证码用于确认登录者身份，而非提供帮助。所谓“将资产转至安全地址保管”的说法完全违背自托管原则。真正的安全策略应基于用户自主选择的钱包，而非依赖外部人员提供的地址。

Amplitude公开的状态页面列出了2026年10月24日至27日的技术中断与维护事项，包括数据中心操作与数据延迟问题，但未提及安全事件。其此前发布的10月22日通告涉及PHP漏洞，虽声明自身不受影响，但未说明是否与当前事件有关。目前，事件责任归属仍仅来自Coinbase单方面陈述，供应商尚未作出回应。

Coinbase依托卢森堡CSSF颁发的MiCA许可服务于欧盟市场，但本次事件适用《通用数据保护条例》（GDPR）。根据规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行报告与通知义务，符合合规要求。值得注意的是，即使问题出在供应商环节，责任主体仍为数据控制者，用户可向所在国数据保护机构提出申诉。

在联系信息泄露背景下，第二重验证方式的选择至关重要。短信验证码因依赖移动网络，易受SIM卡交换攻击或仿冒页面诱导。相比之下，身份验证器应用生成的代码在本地运行，安全性更高，但仍无法防范钓鱼页面。通行密钥则具备抗钓鱼能力，因其绑定真实域名，伪造网站无法触发有效响应，是目前最可靠的防御手段。

自我托管意味着私钥由用户独立持有，不受交易所及其供应商影响。硬件钱包将密钥存储于专用芯片中，签署过程不暴露密钥，从根本上规避了云端泄露风险。虽然需自行承担备份与保管责任，但长期持币者常采用此策略。就本次事件而言，因无密钥或余额泄露，资金迁移决策更多源于对第三方服务频繁暴露的关注，而非即时威胁。

建议用户立即检查账户安全配置，将短信双因素更换为身份验证器应用或通行密钥。对于非日常使用的资产，考虑转入自我托管环境，参考硬件钱包对比指南以评估芯片性能、恢复机制与供应链透明度。未来数周内，预计会收到大量关于该事件的通讯，所有要求转账、输入助记词或提供验证码的请求均应视为欺诈，切勿响应。