為何又是第三方？復盤 Coinbase 供應鏈風險與防禦困境

By: foresightnews.pro|2026/10/28 13:44:00

撰文：Nicky，Foresight News

10 月 28 日，據 DelCrxpto 及慢霧首席信息安全官 23pds 表示，Coinbase 發生數據洩露，黑客獲取超過 7 萬名用戶的聯繫信息，但尚未確認密碼或資金是否被盜。

同一天，Coinbase 作出回應，稱「並未發生數據洩露」。據其表述，分析服務商 Amplitude 遭遇了一起安全事件，影響了部分 Coinbase 客戶聯繫數據以及其他 Amplitude 客戶的數據。團隊未發現任何未經授權訪問 Coinbase 系統的證據，客戶資金也未受到影響，公司將根據法律義務通知受影響的客戶和監管機構。

截止發文，Amplitude 暫未對此事件作出回應。

Amplitude 是誰？

Amplitude 是一家提供數字產品分析平台的美國上市公司，總部位於舊金山，股票代碼 Nasdaq: AMPL。其業務是幫助企業分析用戶在 Web 和 App 中的行為，功能包括實時洞察、會話重放、A/B 測試和數據激活，採用 SaaS 訂閱模式。

公司起源於 2011 年 Spenser Skates 與 Curtis Liu 創辦的 Sonalight，最初做語音轉短信應用，曾於 2012 年冬進入 Y Combinator。因缺乏有效的用戶行為分析工具，兩人自行搭建了內部分析系統，隨後在 2014 年正式轉向產品分析並以 Amplitude 品牌推出。

第三位聯合創始人 Jeffrey Wang 同年加入，此前在 Palantir 和 Sumo Logic 的工作經歷幫助公司建立了大規模數據處理能力。Skates 現任 CEO，擁有 MIT 生物工程學士學位，曾兩次贏得 MIT Battlecode 編程競賽。

Amplitude 於 2021 年 9 月在納斯達克直接上市，2025 財年收入約 3.43 億美元，員工約 750 至 800 人，客戶覆蓋從創業公司到財富 100 強企業。值得注意的是，AMPL 的股價自 6 月下旬的 6.6 美元開始上漲，於 10 月 23 日創下 17.72 美元的全年價格新高。

就此次事件，截至 10 月 28 日，公開信息中未見 Amplitude 官方發布聲明或狀態頁公告。此前該公司也未有過平台本身大規模數據洩露的公開記錄。2026 年 9 月的 SpotAngels 事件中，第三方使用被盜憑證訪問了存儲在 Amplitude 上的部分數據，但 SpotAngels 明確澄清並非 Amplitude 平台被攻破。

Amplitude 在金融與加密領域有明確客戶案例。Ramp Network 是一家加密貨幣出入金平台，深度使用 Amplitude 的分析、實驗和會話重放功能，主要用於產品分析和用戶旅程洞察，而非核心資金系統。Xapo Bank 是一家比特幣銀行與托管機構，使用 Amplitude Analytics 和 Feature Experimentation 優化開戶流程，同樣不涉及核心托管與私鑰系統。

其他金融客戶還包括美國金融科技公司 Dave、Salt Bank 以及部分外匯和衍生品經紀商。對這類客戶而言，風險主要限於行為分析數據與部分聯繫信息，而非交易、餘額或私鑰，洩露後的主要威脅是釣魚、社交工程和 SIM 交換，而非直接盜幣。

Coinbase 表示事件影響了其他 Amplitude 客戶的數據，但目前沒有公開點名其他具體公司，Ramp Network、Xapo 等也均未發布相關聲明。受影響方可能選擇私下通知用戶，或仍在評估影響範圍。

Coinbase 此前發生過更嚴重的安全事件

這並非 Coinbase 第一次面對數據與賬戶安全問題。

最嚴重的一次發生在 2025 年。據官方披露，犯罪分子賄賂海外客服代理，從客戶支持系統中複製數據，涉及約 69461 名用戶。洩露內容包括姓名、地址、電話、郵箱、社保號後四位、掩碼銀行信息、政府身份證件圖片、賬戶餘額快照和交易歷史，但未涉及密碼與私鑰。攻擊者主要利用這些信息偽裝成 Coinbase 員工，誘騙用戶自行轉出加密貨幣。

Coinbase 拒絕支付 2000 萬美元贖金，轉而設立同額賞金用於抓捕和定罪，同時解雇相關人員、切斷與外包客服商的合作，並自願賠付因該事件被誘騙轉幣的零售用戶。公司 2025 年第二季度財報確認相關費用約 3.07 億美元，包括客戶賠付和直接法律成本。

更早的一次發生在 2021 年 3 月至 5 月。攻擊者通過釣魚獲取郵箱、密碼和電話號碼，利用 Coinbase 短信賬戶恢復流程的漏洞繞過雙重驗證，至少 6000 個賬戶資金被轉出。Coinbase 隨後修復漏洞，並按事件發生時的價值全額賠付被盜資金。

兩次事件的共同點在於，直接損失最終都由平台承擔賠付，但數據一旦流出，後續被用於釣魚和社工的風險會長期存在。

10 月 28 日，幣安創始人趙長鵬（CZ）在 X 平台發文表示，當日共有 4 起數據洩露事件被報導，除 Coinbase 第三方服務商 Amplitude 外，還涉及韓國加密交易所 Bithumb，以及韓國傳統金融機構未來資產和大信證券。

CZ 指出，交易平台洩露的姓名、電子郵件、電話號碼、地址、身份證明文件及交易記錄等信息，可能被用於網絡釣魚、SIM 卡劫持及社會工程學攻擊。他的建議集中在賬戶隔離與驗證方式上：為不同交易平台設置獨立郵箱和高強度密碼，優先使用硬件安全密鑰、Passkey 或身份驗證器，避免依賴短信雙重驗證，並啟用提現地址白名單和防釣魚碼。此外應定期檢查賬戶登錄會話及 API 密鑰權限，警惕冒充客服的詐騙行為。

他還提醒，洩露的住址與資產持倉信息可能引發現實中的勒索或搶劫風險，用戶應避免公開個人資產情況。

此外據多家機構觀察，AI 的高速發展與近年安全事件高發密切相關，其主要作用不是創造全新攻擊類型，而是大幅降低攻擊門檻、加速現有手法的規模化。

哈佛肯尼迪學院與 Bruce Schneier 合作的研究顯示，完全由大模型自動化的個性化魚叉釣魚，點擊率約 54%，與人類專家持平，遠高於普通釣魚的約 12%，且可讓大規模活動的利潤提升最高約 50 倍。微軟的報告也給出了相近的點擊率數據。深度偽造的語音和視頻進一步放大了這類風險。

漏洞利用的節奏同樣在加快。微軟報告稱，漏洞從公開到被武器化的中位時間常低於 24 小時。CrowdStrike 2026 全球威脅報告顯示，2025 年 AI 賦能的對手活動增長 89%，電子犯罪的「突破時間」從初始訪問到橫向移動降至平均 29 分鐘。IBM《數據洩露成本報告 2026》則指出，約四分之一惡意洩露與 AI 相關，且平均成本更高。

Bruce Schneier 強調 AI 的雙用途：它既能高效自動化釣魚，也能用於高準確率識別釣魚意圖。他認為短期內防禦者在某些方面可能受益更多，但這是一場持續的軍備競賽。CrowdStrike、微軟、IBM 等機構的判斷一致：AI 正在優化社會工程、憑證竊取和漏洞利用等既有戰術，而非開闢全新戰線，但攻擊速度與規模的提升顯著壓縮了防禦窗口。

對加密行業而言，這一趨勢與 Coinbase 相關事件高度吻合。2021 年的短信漏洞依賴釣魚獲取憑證，2025 年的內幕賄賂核心是社會工程誘騙轉帳，而此次 Amplitude 事件暴露的郵箱和電話，正是釣魚與社會工程的原料。AI 讓這些攻擊更個性化、多語言、更難識別，同時降低了成本、擴大了目標範圍。供應鏈與第三方風險，也因 AI 加速的偵察與利用而被進一步放大。