币圈界报道：

交易所供应商遭袭：客户联系方式外泄，核心资产未受波及

2026年10月28日，Coinbase对外披露其合作供应商发生信息安全事件，确认部分用户的电子邮箱及手机号码被非法获取。尽管涉及数据范围有限，但该事件凸显了第三方服务链中潜在的风险敞口。交易所强调，用户账户密码、私钥、资金余额及历史交易均未被侵入，系统本身未出现异常访问行为。

供应链漏洞成主因：非平台直接攻破

此次事故并非针对区块链网络或交易所自身系统的攻击，而是源于外部分析服务商Amplitude的数据管理失当。作为产品行为追踪工具，Amplitude通过集成在客户端的SDK收集用户使用数据，其中包括可识别身份的联系信息。一旦这些信息被存储于第三方服务器，便构成潜在泄露点，即便原始平台未直接参与。

泄露内容仅限基础联络资料，不涉登录凭证

据官方说明，本次事件仅涉及用户的公开联系方式，未包含任何密码、助记词、一次性验证码或财务明细。此类数据虽无法用于直接转账或账户接管，却为精准化诈骗提供了关键素材——攻击者可据此构建高度可信的虚假场景，实施定向诱导。

影响规模存争议：官方称“少量”，第三方称超七万

Coinbase将事件影响限定为“少数客户”，但未提供具体数字。相比之下，区块链安全机构SlowMist援引一份数据集指出，受影响账户数量超过7万个，且未排除其他敏感信息的可能。目前尚无独立验证，事件真实范围仍处于模糊地带，只能依赖后续信息披露逐步厘清。

通知渠道即风险源：邮件成为双重隐患

Coinbase计划通过电子邮件向受影响用户发送通知，这一方式既符合法律义务，也带来现实矛盾：通知所用邮箱正是已泄露的信息载体。这意味着，任何声称来自官方的消息都可能已被伪造，攻击者可利用同一渠道制造信任假象。因此，建议用户切勿点击邮件中的链接，应直接访问官网核实信息。

社交工程骗局运作机制：以真实信息构建信任

当前最常见骗局模式是伪装成客服主动致电或发信，提及用户注册邮箱，并声称检测到异常登录行为，营造紧急氛围，诱导用户在仿冒页面输入验证码或助记词。此类攻击的核心在于利用已知的联系信息增强可信度，使受害者更易放松警惕。

三大识别信号揭示骗局本质

真正客户服务不会主动发起沟通；若对方要求提供助记词、私钥或一次性验证码，则必然是试图获取访问权限；此外，域名拼写错误、链接显示与文本不符、缺乏具体时间细节、禁止与他人讨论等均为典型预警特征。

正规支持团队绝不会索要敏感信息

所有合法交易所和钱包厂商均无需用户提交助记词或一次性代码来处理账户问题。此类请求本质上是访问权的转移。即使是所谓的“安全地址”转账，也不应由他人代为操作。自我托管应基于自主决策，而非被动响应陌生方指令。

Amplitude状态页未记录本次事件

公众尝试通过Amplitude官方状态页面验证事件时发现，其列出的维护与中断记录截止至10月27日，但并未提及27日至28日的安全事件。唯一相关公告为10月22日关于PHP漏洞的声明，且明确表示自身服务不受影响。因此，当前事件的责任归属仍依赖于Coinbase单方面陈述，尚未获得供应商正式回应。

欧盟监管框架下责任归属清晰

尽管Coinbase依据卢森堡颁发的MiCA许可证运营欧洲业务，但本次数据泄露适用《通用数据保护条例》（GDPR）。该法规要求控制者在72小时内报告事件，并在高风险情况下通知用户。交易所已履行通报义务，而用户仍可向所在国数据保护机构提出申诉，权利不因公司注册地而受限。

多因素认证类型差异决定防御效能

在联系信息暴露背景下，认证方式选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持或仿冒页面诱导；身份验证器应用虽能抵御中间人攻击，但对钓鱼网站无效；通行密钥则具备抗欺骗能力，因其绑定真实域名，伪造站点无法生成有效凭证。

自托管方案：切断供应商影响路径

采用自我托管或硬件钱包可彻底规避交易所供应商层面的风险。私钥由用户本地保管，不经过任何第三方系统。即使未来再发生类似事件，资产也不会受到波及。然而，这也意味着密钥丢失将不可恢复，需谨慎选择可靠设备并妥善备份。

应对策略：强化安全设置，防范后续骚扰

建议用户立即检查账户安全配置，将短信双因素替换为身份验证器应用或通行密钥；将长期持有的资产转移至自管钱包；提高对近期来电与邮件的警惕性，凡涉及转账、输入助记词或验证码的请求一律视为欺诈。目前事件性质明确：仅联系信息外泄，资产无恙，但后续社会工程攻击风险显著上升。