为何又是第三方？复盘 Coinbase 供应链风险与防御困境

撰文：Nicky，Foresight News

10 月 28 日，据 DelCrxpto 及慢雾首席信息安全官 23pds 表示，Coinbase 发生数据泄露，黑客获取超过 7 万名用户的联系信息，但尚未确认密码或资金是否被盗。

同一天，Coinbase 作出回应，称「并未发生数据泄露」。据其表述，分析服务商 Amplitude 遭遇了一起安全事件，影响了部分 Coinbase 客户联系数据以及其他 Amplitude 客户的数据。团队未发现任何未经授权访问 Coinbase 系统的证据，客户资金也未受到影响，公司将根据法律义务通知受影响的客户和监管机构。

截止发文，Amplitude 暂未对此事件作出回应。

Amplitude 是谁？

Amplitude 是一家提供数字产品分析平台的美国上市公司，总部位于旧金山，股票代码 Nasdaq: AMPL。其业务是帮助企业分析用户在 Web 和 App 中的行为，功能包括实时洞察、会话重放、A/B 测试和数据激活，采用 SaaS 订阅模式。

公司起源于 2011 年 Spenser Skates 与 Curtis Liu 创办的 Sonalight，最初做语音转短信应用，曾于 2012 年冬进入 Y Combinator。因缺乏有效的用户行为分析工具，两人自行搭建了内部分析系统，随后在 2014 年正式转向产品分析并以 Amplitude 品牌推出。

第三位联合创始人 Jeffrey Wang 同年加入，此前在 Palantir 和 Sumo Logic 的工作经历帮助公司建立了大规模数据处理能力。Skates 现任 CEO，拥有 MIT 生物工程学士学位，曾两次赢得 MIT Battlecode 编程竞赛。

Amplitude 于 2021 年 9 月在纳斯达克直接上市，2025 财年收入约 3.43 亿美元，员工约 750 至 800 人，客户覆盖从创业公司到财富 100 强企业。值得注意的是，AMPL 的股价自 6 月下旬的 6.6 美元开始上涨，于 10 月 23 日创下 17.72 美元的全年价格新高。

就此次事件，截至 10 月 28 日，公开信息中未见 Amplitude 官方发布声明或状态页公告。此前该公司也未有过平台本身大规模数据泄露的公开记录。2026 年 9 月的 SpotAngels 事件中，第三方使用被盗凭证访问了存储在 Amplitude 上的部分数据，但 SpotAngels 明确澄清并非 Amplitude 平台被攻破。

Amplitude 在金融与加密领域有明确客户案例。Ramp Network 是一家加密货币出入金平台，深度使用 Amplitude 的分析、实验和会话重放功能，主要用于产品分析和用户旅程洞察，而非核心资金系统。Xapo Bank 是一家比特币银行与托管机构，使用 Amplitude Analytics 和 Feature Experimentation 优化开户流程，同样不涉及核心托管与私钥系统。

其他金融客户还包括美国金融科技公司 Dave、Salt Bank 以及部分外汇和衍生品经纪商。对这类客户而言，风险主要限于行为分析数据与部分联系信息，而非交易、余额或私钥，泄露后的主要威胁是钓鱼、社交工程和 SIM 交换，而非直接盗币。

Coinbase 表示事件影响了其他 Amplitude 客户的数据，但目前没有公开点名其他具体公司，Ramp Network、Xapo 等也均未发布相关声明。受影响方可能选择私下通知用户，或仍在评估影响范围。

Coinbase 此前发生过更严重的安全事件

这并非 Coinbase 第一次面对数据与账户安全问题。

最严重的一次发生在 2025 年。据官方披露，犯罪分子贿赂海外客服代理，从客户支持系统中复制数据，涉及约 69461 名用户。泄露内容包括姓名、地址、电话、邮箱、社保号后四位、掩码银行信息、政府身份证件图片、账户余额快照和交易历史，但未涉及密码与私钥。攻击者主要利用这些信息伪装成 Coinbase 员工，诱骗用户自行转出加密货币。

Coinbase 拒绝支付 2000 万美元赎金，转而设立同额赏金用于抓捕和定罪，同时解雇相关人员、切断与外包客服商的合作，并自愿赔付因该事件被诱骗转币的零售用户。公司 2025 年第二季度财报确认相关费用约 3.07 亿美元，包括客户赔付和直接法律成本。

更早的一次发生在 2021 年 3 月至 5 月。攻击者通过钓鱼获取邮箱、密码和电话号码，利用 Coinbase 短信账户恢复流程的漏洞绕过双重验证，至少 6000 个账户资金被转出。Coinbase 随后修复漏洞，并按事件发生时的价值全额赔付被盗资金。

两次事件的共同点在于，直接损失最终都由平台承担赔付，但数据一旦流出，后续被用于钓鱼和社工的风险会长期存在。

10 月 28 日，币安创始人赵长鹏（CZ）在 X 平台发文表示，当日共有 4 起数据泄露事件被报道，除 Coinbase 第三方服务商 Amplitude 外，还涉及韩国加密交易所 Bithumb，以及韩国传统金融机构未来资产和大信证券。

CZ 指出，交易平台泄露的姓名、电子邮件、电话号码、地址、身份证明文件及交易记录等信息，可能被用于网络钓鱼、SIM 卡劫持及社会工程学攻击。他的建议集中在账户隔离与验证方式上：为不同交易平台设置独立邮箱和高强度密码，优先使用硬件安全密钥、Passkey 或身份验证器，避免依赖短信双重验证，并启用提现地址白名单和防钓鱼码。此外应定期检查账户登录会话及 API 密钥权限，警惕冒充客服的诈骗行为。

他还提醒，泄露的住址与资产持仓信息可能引发现实中的勒索或抢劫风险，用户应避免公开个人资产情况。

此外据多家机构观察，AI 的高速发展与近年安全事件高发密切相关，其主要作用不是创造全新攻击类型，而是大幅降低攻击门槛、加速现有手法的规模化。

哈佛肯尼迪学院与 Bruce Schneier 合作的研究显示，完全由大模型自动化的个性化鱼叉钓鱼，点击率约 54%，与人类专家持平，远高于普通钓鱼的约 12%，且可让大规模活动的利润提升最高约 50 倍。微软的报告也给出了相近的点击率数据。深度伪造的语音和视频进一步放大了这类风险。

漏洞利用的节奏同样在加快。微软报告称，漏洞从公开到被武器化的中位时间常低于 24 小时。CrowdStrike 2026 全球威胁报告显示，2025 年 AI 赋能的对手活动增长 89%，电子犯罪的「突破时间」从初始访问到横向移动降至平均 29 分钟。IBM《数据泄露成本报告 2026》则指出，约四分之一恶意泄露与 AI 相关，且平均成本更高。

Bruce Schneier 强调 AI 的双用途：它既能高效自动化钓鱼，也能用于高准确率识别钓鱼意图。他认为短期内防御者在某些方面可能受益更多，但这是一场持续的军备竞赛。CrowdStrike、微软、IBM 等机构的判断一致：AI 正在优化社会工程、凭证窃取和漏洞利用等既有战术，而非开辟全新战线，但攻击速度与规模的提升显著压缩了防御窗口。

对加密行业而言，这一趋势与 Coinbase 相关事件高度吻合。2021 年的短信漏洞依赖钓鱼获取凭证，2025 年的内幕贿赂核心是社会工程诱骗转账，而此次 Amplitude 事件暴露的邮箱和电话，正是钓鱼与社会工程的原料。AI 让这些攻击更个性化、多语言、更难识别，同时降低了成本、扩大了目标范围。供应链与第三方风险，也因 AI 加速的侦察与利用而被进一步放大。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。