Coinbase供应商Amplitude发生数据泄露：用户联系方式暴露，账户余额未受影响

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

Coinbase 确认供应商发生安全事件：客户联系信息泄露，但资产与密钥未受影响

Coinbase 于 2026 年 10 月 28 日凌晨确认，其一家供应商发生了安全事件。据交易所发送的电子邮件显示，部分客户的联系方式（包括邮箱地址和电话号码）遭到泄露。然而，账户内的密码、私钥、交易历史记录及余额均完好无损，且在 Coinbase 自身的系统中未发现任何未经授权的访问行为。

因此，您面临的风险并不在于您的账户本身，而在于您的收件箱：任何知道您的地址和号码，并知晓您是加密货币交易所客户的人，都可以以极高的精准度对您进行针对性接触。

此次事件并非针对区块链的攻击，也不是盗取代币的行为。它属于今年愈发频繁的一类案例：数据通过提供商的供应链而非提供商自身流出。对于受影响者而言，这种区别并无实际意义：数据一旦泄露，便永远处于泄露状态。

Amplitude 事件：连接交易所与客户数据的分析供应商

Amplitude 是一家产品分析服务提供商。此类分析公司通过评估用户如何使用应用程序或网站来为客户提供服务，为此需收集并存储使用数据。该服务通常通过 SDK（软件开发工具包）集成，即由供应商提供的小型代码包，运行在客户端产品中并将事件报告至供应商服务器。

从技术角度看，为了使分析有意义，供应商必须能够区分不同用户。在许多情况下，匿名标识符已足够。但一旦附带发送了电子邮件地址或电话号码，以便将评估结果与客户自身的客户记录相匹配，这些详细信息便会存储在供应商处。这正是本次报道事件的起点。

Coinbase 将事件时间定为 2026 年 10 月 27 日和 28 日，并将责任指向 Amplitude 而非其自身。据交易所称，其他 Amplitude 客户的数据也受到了影响，因此这并非仅针对 Coinbase 的案例。

泄露数据范围：仅限邮箱和电话，不含密码

Coinbase 表示仅涉及少量联系信息，并未公布受影响账户的具体数量。交易所明确排除的数据包括：密码、私钥、交易历史记录以及余额本身。

这一区分至关重要。电子邮件地址和电话号码无法转移余额，无法开设账户，也无法绕过登录验证。它们带来的是另一种风险：可信度。持有已知属于大型加密货币交易所账户列表的人，不再需要撒网式攻击。他们可以直接写信或打电话，并编造恰好符合事实的背景故事。

这正是联系数据泄露与密码泄露的区别所在。密码泄露的问题是“访问权限”，对策是更换新密码；而联系数据泄露的问题是“可达性”，更换新密码对此毫无帮助，因为地址保持不变。

关于 70,000 用户的数据来源

关于事件规模存在两种截然不同的说法。Coinbase 坚持称仅涉及少量客户，未提供具体数字。而区块链安全公司 SlowMist（其安全主管名为 23pds）则声称数据集属实，涉及超过 70,000 名用户的联系信息，但未确认是否涉及密码或余额。

这 70,000 个账户是第三方数据。Coinbase 尚未确认此数字，目前也无独立验证。因此，要了解事件规模，只能接受一个范围：交易所称涉及少量客户，安全供应商称超过 70,000 个账户。未来几天内，其中一方的说法可能会更精确，但今天尚不明确。

对于个人而言，这一范围差异影响不大。无论受影响的是 70,000 个账户还是少得多，都不会决定您是否在受害之列。这完全取决于通知本身，且仅通过单一渠道传达。

客户数据流经供应商：每条向供应商延伸的线路都是潜在泄露点

Coinbase 通知受影响者将通过电子邮件进行告知，并指出这是其法律义务。交易所还表示已向相关监管机构报告该事件。这与 Crypto Briefing 的报道一致，后者同样记录了 Coinbase 否认其自身系统被攻破的情况。

由此产生了一个尴尬的局面：消息到达您的唯一合法途径，正是可能现已泄露的同一邮箱地址；而邮件同时又是模仿者使用的渠道。因此，提及此次数据泄露的消息本身并不能证明其真实性，仅表明该话题已是公开信息。

在实践中，这意味着您可以参考此类消息中的信息，但切勿点击其中的链接。消息所述内容可通过应用程序或直接输入交易所官方网址进行核实。如果跟随链接，您便将目的地选择权交给了发送者。

数据泄露后的社会工程学攻击：虚假支持电话的运作方式

社会工程学描述的是针对人的攻击而非技术攻击：攻击者诱使目标自愿交出原本无法获取的信息。联系数据泄露是此类骗局的理想原材料，因为它提供了两个关键要素：通往受害者的路径，以及让通话显得合理的理由。

过去几年中，套路几乎未变。有人联系您，提及交易所名称，知道您的注册邮箱，并声称检测到可疑的登录尝试。随后制造紧迫感，最后要求执行不可逆的操作：转账至所谓的安全地址、在仿冒页面上输入助记词，或提供一次性验证码。

骗局暴露的两个特征

有两个特征最能识别骗局：

方向：真正的支持团队只会响应您发起的请求，不会主动致电施压。
请求内容：助记词、私钥和一次性验证码只有一个用途，即授予访问权限。任何索取这些信息的人都在试图获取访问权，无论显示屏上的数字看起来多么可信。

此外还有次要信号：域名略有拼写错误、状态栏显示的链接目的地与文本不符、问候语过于笼统、无事实依据的时间压力，以及要求不与第三方讨论此事。

真正的支持团队绝不会询问的内容

没有任何交易所或钱包制造商需要您的助记词来解锁账户、取消订单或释放提款。同样，也没有人需要您的一次性代码来提供帮助；该代码用于确认登录，接收者即确认了登录者本人。更没有人会要求您将余额发送至他们提供的地址进行保管。

最后一点值得特别区分，因为骗局往往利用合法的表象。自我托管是一个明智的决定，但它应是经过规划的：使用您自行选择和设置的钱包，以及您自行生成的地址。提前了解适合的程序，可参考软件钱包的比较指南，重点关注备份、恢复和支持的区块链差异。而在对话中来自对方地址的任何地址，都与此背道而驰。

Amplitude 状态页面未列出该事件

任何人想要交叉验证交易所的说法，都会遇到空白。Amplitude 的公共状态页面列出了 2026 年 10 月 24 日至 27 日的中断和维护情况，包括事件交付延迟、美国数据中心维护和数据摄入延迟。但并未记录 10 月 27 日和 28 日的安全事件。

该期间唯一的安保通知发布于 10 月 22 日，涉及 PHP（一种广泛用于 Web 应用的编程语言）的漏洞。Amplitude 声明其自身服务不受这些漏洞影响，并正在与受影响的第三方提供商合作更新安全性。该通知是否与本次报告的事件有关尚不清楚；现有资料不支持将两者联系起来。

目前可以确定的是：将此事件归因于 Amplitude 仅来自 Coinbase 单方面的说法。供应商自身尚未就事件规模和受影响客户数量发表声明。这是一个真正的不确定性，只有当 Amplitude 亲自发声时才能解决。

德国 Coinbase：通过卢森堡获得 MiCA 许可，GDPR 适用于报告义务

Coinbase 基于卢森堡监管机构 CSSF 颁发的 MiCA 许可证服务于欧洲市场，该许可于 2025 年 6 月宣布，旨在覆盖所有 27 个欧盟国家。MiCA 是欧盟加密资产市场法规，规定了谁可以在欧盟提供加密服务及其伴随的义务。在此之前，Coinbase 持有个别国家的许可，包括德国。

然而，对于数据泄露事件，适用的法律框架是《通用数据保护条例》（GDPR），而非 MiCA。GDPR 要求控制者在 72 小时内向监管机构报告个人数据泄露，并在对个人权利构成高风险时通知受影响者。Coinbase 提及向监管机构报告和向受影响者发送邮件，符合这两项义务。

第三点也具有实际分量：处理商（即按指令处理数据的供应商）并不能免除客户（数据控制者）的责任。即使事件发生在其供应商处，您的联系人仍是交易所。任何对回应不满的人均可向其居住国的数据保护当局投诉；这一权利不取决于公司在哪个欧盟国家设立。

双因素认证与通行密钥：联系数据泄露后的区别

双因素认证需要在密码之外提供第二重证据，通常是数字代码。第二重因素的形式在联系数据泄露后尤为关键，因为已知的电话号码扩大了攻击面。

SMS 代码：一旦号码已知，这是最常见的变体中最脆弱的。一方面，来电者可诱导您在仿冒页面上输入代码；另一方面存在 SIM 卡交换攻击：攻击者将受害者的号码转移到自己的 SIM 卡上，从而接收代码。这两种情况都要求攻击者拥有该号码。
身份验证器应用代码：更为稳健，因为代码在设备本地生成，不经过移动网络。但它对仿冒登录页面没有保护作用：如果您在那里输入代码，就等于将其传递给了攻击者。
通行密钥或安全密钥：具有抗钓鱼能力。通行密钥是一种保留在设备上并与真实网站域名紧密绑定的加密登录凭证。在伪造的域名上无效，这正是其保护机制的核心：保护不依赖于您识别出假货。