币圈界报道：

Coinbase供应商数据泄露事件：联系信息外泄但资产安全无忧

2026年10月28日，Coinbase正式通报其一家关键供应商遭遇信息安全事件，确认部分用户的电子邮件地址和手机号码被非法获取。调查表明，交易所自身系统未遭入侵，账户密码、私钥、交易记录及资金余额均保持完整，未出现异常变动。

核心数据外泄源头：分析服务商Amplitude成关键节点

此次事件的根源指向产品行为分析平台Amplitude。该服务通过嵌入客户端的SDK收集用户操作数据，为提升分析精度，常需绑定用户身份标识，包括邮箱与电话号码。一旦这些信息被存储于第三方服务器，便构成潜在泄露风险点。Coinbase明确指出，事件发生在10月27日至28日，并确认其他客户同样受到波及，非单一案例。

泄露内容界定：仅联系方式，不涉及账户凭证

Coinbase强调，本次泄露仅限于客户的联系方式，不含任何登录凭据或财务数据。虽然此类信息无法直接用于转账或登录，但其价值在于“可及性”——攻击者可据此精准定位目标，实施高度定制化的社交工程诱导。

事件规模争议：官方称“少量”，第三方称逾七万

关于受影响账户数量，双方说法差异显著。Coinbase坚持“影响范围有限”，未公布具体数字；而区块链安全公司SlowMist则声称掌握一份包含超过7万个账户的数据集，但未确认是否涵盖密码或余额。目前尚无独立验证，实际规模仍属未知，但对个体用户而言，是否受波及取决于是否收到通知，而非数字本身。

信息传递路径成为信任悖论

受影响用户将通过电子邮件接收通知，这既是法律义务，也构成了新的风险敞口：若邮件地址已被泄露，发送方身份难以验证。因此，所有提及事件的信息应通过官方渠道核实，切勿点击其中链接，以防落入仿冒页面陷阱。

社会工程攻击模式：伪装支持来电的常见套路

攻击者利用已知的用户身份信息，主动致电或发信，谎称检测到异常登录，制造紧迫感，诱导用户提供助记词、一次性验证码或进行资金转移。此类攻击不依赖技术漏洞，而是利用人的信任心理，其本质是“可信度操控”。

识别骗局的两大关键信号

真正的客服不会主动发起联系，更不会施压要求执行敏感操作。任何索取助记词、私钥或一次性验证码的行为，均属于访问权限窃取。此外，域名拼写错误、链接与显示不符、缺乏具体细节、强制保密等均为典型预警特征。

权威支持绝不索要敏感信息

正规交易所从不向用户索取助记词、私钥或验证码。这些信息仅用于验证登录身份，一旦提供即意味着控制权移交。自我托管应基于自主决策，使用由自己生成并保管的钱包，而非依赖他人提供的地址。

Amplitude官方状态页未披露事件

截至当前，Amplitude公开的状态页面仅列出10月24日至27日的技术中断与维护公告，未提及任何安全事件。此前的10月22日曾发布关于PHP漏洞的通知，但声明其服务不受影响。目前尚无法确认该漏洞与本次泄露是否存在关联，事件责任归属仍仅依据Coinbase单方面陈述。

欧盟法规适用：GDPR主导报告义务

Coinbase在欧洲运营依托卢森堡颁发的MiCA许可，但数据泄露事件适用《通用数据保护条例》（GDPR）。该法规要求在72小时内向监管机构报告，并在对个人权利构成高风险时通知用户。交易所已履行相关义务，且即使问题源于供应商，责任主体仍为数据控制者，用户可向居住国数据保护机构投诉。

双因素认证应对策略：从短信代码到通行密钥

在联系信息泄露后，第二重验证方式的选择至关重要。短信验证码因依赖移动网络，易受SIM卡劫持与仿冒页面欺骗，安全性较低。身份验证器应用生成本地代码，虽防钓鱼能力较弱，但仍优于短信。通行密钥则具备抗钓鱼特性，与真实域名绑定，伪造网站无效，是最优选择。

自我托管：脱离中心化系统的根本防护

自我托管意味着私钥完全由用户掌控，不依赖交易所或其供应商。硬件钱包将密钥存储于专用芯片中，签署过程不释放密钥，从根本上规避了云端风险。尽管需自行承担备份与保管责任，但长期持有者可通过分层管理实现风险隔离——日常交易留于交易所，长期资产交由自管。

通知机制局限：唯一合法渠道可能已失真

加强账户安全措施，建议检查并升级双重验证方式，将短信替换为身份验证器或通行密钥。同时考虑将非交易类资产转移至自我托管环境，并参考硬件钱包对比指南评估设备性能与恢复机制。未来数周内，应警惕以“数据泄露”为名的主动联系，所有涉及转账或输入助记词的要求均视为诈骗。

总体而言，本次事件是一次典型的供应链数据泄露，核心在于联系信息外流而非资产损失。尽管实际影响范围尚存争议，但共识在于：用户应提高警惕，拒绝被动响应，主动核实信息来源，避免在未验证的情况下采取任何操作。