币圈界报道：

Coinbase披露供应商数据泄露：联系信息外流但资产未受损

Coinbase于2026年10月28日凌晨通报，其合作的第三方分析服务提供商Amplitude遭遇安全事件，造成部分用户的联系方式（包括电子邮箱和手机号）被非法获取。交易所强调，核心账户数据如密码、私钥、交易记录及余额均未遭侵入，且自身系统未检测到异常访问行为。

供应链漏洞成焦点：非平台攻击，而是外部数据流转失守

此次事件并非针对区块链或交易所系统的直接入侵，而是源于依赖外部服务商的数据管理链条断裂。此类案例在近年频繁出现，反映出企业将敏感数据交由第三方处理时所面临的潜在风险——即使主平台本身安全，仍可能因合作伙伴的防护不足而波及用户。

泄露范围存争议：官方称“少量”，安全机构指超七万条记录

Coinbase未公布具体受影响账户数量，仅表示影响范围有限。然而，区块链安全公司SlowMist援引一份据称来自该事件的数据集，指出涉及超过7万名用户的信息。尽管尚未得到交易所证实，这一数字凸显了事件规模的不确定性。无论实际数量如何，关键在于数据已脱离控制，且无法逆转。

接触信息暴露带来新型威胁：精准诈骗成为主要风险

与传统密码泄露不同，此次风险不在于账户被登录，而在于攻击者掌握了确切的用户身份信息，从而能够实施高可信度的社会工程学诱导。例如，冒充客服主动致电，提及用户注册邮箱并虚构“异常登录”警报，制造紧迫感以诱使用户提供助记词或转账至指定地址。

虚假支持电话的运作机制：利用信任与压力双重陷阱

攻击者通过已知的联系信息构建可信背景，通常以“账户安全检测”为由发起沟通。其典型话术包括声称发现可疑活动、要求立即执行操作，并施加时间压力。此类行为的核心特征是主动出击，而非等待用户求助，这正是识别骗局的关键信号。

真正客服不会主动索要这些信息

任何正规交易所或钱包服务商均不会主动要求用户提供助记词、私钥或一次性验证码。这些信息一旦泄露，等同于完全放弃账户控制权。此外，要求将资金转移至“安全保管地址”的行为，也属于明显欺诈。所有合法服务都不会通过电话或邮件索取此类敏感内容。

Amplitude状态页面未公开相关事件，责任归属尚待澄清

截至当前，Amplitude的公共状态页面仅列出2026年10月24日至27日的技术维护与延迟情况，未提及此次数据泄露。其10月22日发布的关于PHP漏洞的通知虽与安全相关，但未明确指向本次事件。因此，目前事件的责任认定仍仅基于Coinbase单方面声明，缺乏供应商方的独立确认。

GDPR框架下，交易所承担最终问责义务

尽管Coinbase依据卢森堡MiCA许可证运营，但本次事件适用法律为《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告数据泄露，并在对个人权利构成高风险时通知用户。交易所已履行报告与通知义务，但用户仍可向所在国数据保护机构提出申诉，因其作为数据控制者负有最终责任。

双因素认证类型差异决定防御强度

在联系信息外泄背景下，第二重验证方式的选择至关重要。短信验证码最为脆弱，易受SIM卡劫持或仿冒页面诱导；身份验证器应用生成本地代码，具备一定抗干扰能力，但仍无法抵御钓鱼网站欺骗；通行密钥则具备抗钓鱼特性，仅在真实域名下有效，是目前最可靠的选项。

自我托管可规避供应商风险，但需承担更高保管责任

将长期持有的资产移至自我托管模式，尤其是使用硬件钱包，可彻底避免因交易所或其供应商被攻破而导致的风险。由于私钥由用户自主持有，即便供应商数据外泄，也不会影响账户安全。但这也意味着备份丢失即永久损失，因此建议按用途分层管理资产：日常交易用交易所，长期持有采用自管方案。

官方通知仅通过邮件发送，警惕信息渠道被滥用

Coinbase确认，受影响用户将通过电子邮件收到通知，这也是其法律义务的一部分。然而，这一传播路径本身也成为风险点——攻击者可模仿该邮件进行诈骗。因此，切勿点击邮件中的链接，应直接通过官网或官方应用核实信息。若遇主动来电或邮件索要敏感信息，一律视为欺诈。