币圈界报道：

交易所供应商遭袭：客户联系方式外泄，资产未受波及

Coinbase于2026年10月28日凌晨通报，其合作供应商在近期遭遇安全漏洞，造成部分用户联系信息（包括电子邮箱和手机号码）被非法获取。尽管数据流出发生在第三方系统，但交易所强调自身核心系统未遭入侵，账户密码、私钥、交易记录及资金余额均保持完整，未发现异常访问行为。

数据泄露源头指向分析服务提供商Amplitude

此次事件的核心责任方为产品行为分析平台Amplitude。该服务商通过集成于客户端的SDK收集用户交互数据，以支持企业优化应用体验。为实现精准分析，部分数据会包含可识别身份的信息，如电子邮件或电话号码。一旦此类信息被存储于第三方服务器，便可能成为攻击目标。

Coinbase将事件时间范围锁定在2026年10月27日至28日，并指出此非孤立案例——其他使用Amplitude服务的企业亦可能受到牵连，表明问题源于整个供应链架构而非单一平台缺陷。

泄露内容限于联系方式，不涉及登录凭证

据交易所披露，仅涉及用户的通信方式数据，未包含任何登录相关敏感信息。具体而言，密码、私钥、历史交易详情以及账户余额均未被窃取。这一区分至关重要：虽然无法直接盗取资产，但已知的联系信息极大提升了欺诈行为的可信度与精准度。

攻击者无需进行大规模撒网式骚扰，而是可基于真实背景信息发起定向诱导，例如伪装成客服人员，声称检测到可疑登录活动，进而制造紧迫感并诱导用户提供助记词或转账至“安全地址”。

事件影响规模存争议：官方称“少量”，第三方称超七万

关于受影响用户数量，双方说法差异显著。Coinbase坚称影响范围有限，但未公布确切数字；而区块链安全机构SlowMist则援引一份据称属实的数据集，指出至少有超过7万个账户的联系方式遭到泄露，但未确认是否涉及密码或余额。

目前尚无独立验证手段，因此事件规模仍处于模糊区间。对个体用户而言，无论数字高低，唯一决定是否受害的标准在于是否收到官方通知。而通知渠道本身——即邮箱——恰是本次泄露的潜在入口，形成逻辑悖论。

通知路径成风险点：邮件既是告知工具也是诈骗媒介

Coinbase表示将通过电子邮件向受影响者发送正式通知，并已向监管机构报告事件。该做法符合《通用数据保护条例》（GDPR）中关于72小时内上报及高风险情形下主动通知的要求。然而，这也带来新隐患：若攻击者掌握同一邮箱，便可伪造通知内容，利用信任链实施钓鱼攻击。

因此，建议用户切勿点击邮件中的链接，所有信息应通过官方应用或手动输入官网地址核实。真正有效的防御，是将消息来源判断权掌握在自己手中。

社会工程攻击模式：从电话到仿冒页面的演进

此次泄露最危险之处在于为社会工程学攻击提供了理想素材。攻击者可利用已知的注册邮箱与手机号，构建高度可信的对话场景，如声称“检测到异常登录尝试”，营造紧急氛围，继而要求执行不可逆操作。

典型套路包括诱导用户在仿冒登录页输入一次性验证码、提供助记词，或向指定地址转移资金。这些行为本质上都是试图绕过正常权限验证机制，夺取账户控制权。

识别骗局的关键信号：主动来电与敏感请求

真正的客户服务不会主动致电施压，更不会要求提供助记词、私钥或一次性验证码。这三类信息仅用于验证身份，任何索取者皆意在获取访问权限。

此外，还需警惕拼写错误的域名、不符的链接显示、过于泛化的问候语、强制性时间限制以及禁止与他人讨论的指令等辅助特征。这些往往是骗局的共同标志。

正规支持团队绝不会索要的三项内容

没有任何合法机构需要您提供助记词来解锁账户或取消交易；同样，一次性验证码也仅用于本人登录确认，而非协助解决问题。更不存在“代管余额”的服务模式——任何要求您将资产转至对方地址的行为均为欺诈。

自我托管虽具优势，但必须建立在充分认知基础上。选择硬件钱包前，应了解不同设备的备份机制、恢复流程与供应链安全性。自主管理意味着风险自担，而非逃避责任。

Amplitude状态页面未记录此次事件

欲验证事件真实性者发现，Amplitude的公开状态页面仅列出2026年10月24日至27日的技术中断与维护公告，涵盖数据摄入延迟、数据中心运维等内容，却未提及安全事件。

唯一相关的安全通告发布于10月22日，涉及PHP语言漏洞，但明确声明其服务不受影响，并正与第三方协作加强防护。该通告是否与当前事件有关尚无证据支持，因此目前只能依赖Coinbase单方面陈述。

欧盟监管框架下的责任归属：GDPR主导，非MiCA

Coinbase依据卢森堡监管机构CSSF颁发的MiCA许可服务于欧盟市场。然而，针对数据泄露事件，适用法律为《通用数据保护条例》（GDPR），而非加密资产市场法规。

根据GDPR规定，数据控制者须在72小时内向监管机构报告，并在对个人权利构成重大风险时通知用户。Coinbase已完成上述义务，其法律责任不因事件发生在供应商端而减轻。受影响者可向所在国数据保护机构提出申诉，权利不受公司注册地影响。

双因素认证应对策略：从短信到通行密钥的升级

在联系信息泄露背景下，第二重验证方式的选择尤为关键。短信验证码因依赖移动网络，易受SIM卡交换攻击或仿冒页面诱导，是最脆弱的形式。

身份验证器应用生成的代码虽本地运行，但仍可能被欺骗输入；而通行密钥（Passkey）具备抗钓鱼能力，因其绑定真实网站域名，即使在伪造页面也无法生效，是当前最可靠的选项。

自我托管：让联系信息不再成为弱点

自我托管意味着私钥完全由用户掌控，不受交易所及其供应商体系影响。硬件钱包作为常见载体，将密钥存储于独立芯片中，签署过程不暴露私钥，从根本上隔绝了外部攻击路径。

不过，这也意味着风险转移至个人：助记词丢失即永久失联，劣质硬件钱包亦可能植入后门。因此，多数投资者采取分层策略——日常交易保留在合规平台，长期持有部分转入自管。

就本次事件而言，资金安全未受影响，故决策动因更多源于对供应链频繁出事的担忧，而非单一事件本身。

后续行动指南：强化防御，静待权威发声

建议立即检查账户安全设置，将短信验证替换为身份验证器应用或通行密钥。对于长期持有的资产，考虑移入硬件钱包进行自我托管。同时，未来数周内需提高警惕，对任何提及事件的来电或邮件保持怀疑态度。

总而言之，本次事件本质是联系信息泄露，而非资产被盗。尽管实际影响范围仍有待澄清，且Amplitude尚未回应，但当前最稳妥的做法是拒绝未经请求的沟通，等待官方进一步通报。