Coinbase紧急澄清！同日四起数据泄露，AI是否在削弱加密安全？

正文：

原文作者：Nicky，Foresight News

2023年10月28日，DelCrxpto及慢雾的首席信息安全官23pds透露，Coinbase遭遇数据泄露事件，黑客获取了超过7万名用户的联系信息，但尚未确认是否有密码或资金被盗。

在同一天，Coinbase对此做出回应，强调“并没有发生数据泄露”。根据Coinbase的说法，数据泄露源自分析服务商Amplitude所遭遇的安全事件，影响了部分Coinbase客户的联系数据以及其他Amplitude客户的信息。团队未发现任何未经授权访问Coinbase系统的迹象，客户资金也未受到影响，公司将根据法律要求通知受影响的客户及监管机构。

截至发文时，Amplitude尚未对此事件作出公开回应。

Amplitude是一家位于美国旧金山的数字产品分析平台上市公司，股票代码为Nasdaq: AMPL。该公司致力于帮助企业分析用户在网页和应用程序中的行为，提供实时洞察、会话重放、A/B测试和数据激活等功能，采用SaaS订阅模式。

Amplitude起源于2011年，由Spenser Skates和Curtis Liu创办的Sonalight最初开发语音转短信应用，二人在2012年冬季进入Y Combinator。由于缺乏有效的用户行为分析工具，他们自行搭建了内部分析系统，并于2014年正式转型为产品分析公司，推出Amplitude品牌。

第三位联合创始人Jeffrey Wang于同年加入，凭借在Palantir和Sumo Logic的工作经验，帮助公司提升了大规模数据处理能力。Skates为现任CEO，拥有麻省理工学院生物工程学士学位，并曾两次赢得MIT Battlecode编程竞赛。

Amplitude于2021年9月在纳斯达克直接上市，预计2025财年收入约为3.43亿美元，员工人数在750至800之间，客户包括从初创公司到财富100强企业。值得注意的是，AMPL的股价自6月下旬的6.6美元开始上涨，并于10月23日创下17.72美元的年度新高。

截至10月28日，公开信息中未看到Amplitude的官方声明或状态公告。该公司此前也没有记录过平台的大规模数据泄露事件。在2026年9月的SpotAngels事件中，第三方使用被盗凭证访问了存储在Amplitude上的部分数据，但SpotAngels明确表示并非Amplitude平台遭到攻击。

在金融与加密行业，Amplitude有明确的客户案例。Ramp Network是一家加密货币出入金平台，深度利用Amplitude的分析、实验和会话重放功能，主要用于产品分析与用户旅程洞察，而并非核心资金系统。Xapo Bank是一家比特币银行和托管机构，利用Amplitude Analytics和Feature Experimentation优化开户流程，同样不涉及核心托管与私钥系统。

其他金融客户还包括美国金融科技公司Dave、Salt Bank以及一些外汇和衍生品经纪商。对于这些客户而言，风险主要限于行为分析数据和部分联系信息，而非交易、余额或私钥，泄露后主要威胁是钓鱼、社交工程和SIM卡交换，而非直接盗币。

Coinbase表示事件影响了其他Amplitude客户的数据，但目前尚未公开具体公司名称，Ramp Network、Xapo等也没有发表相关声明。受影响方可能选择私下通知用户，或仍在评估事件的影响范围。

这并不是Coinbase第一次面对数据和账户安全问题。

最严重的一次发生在2025年。官方披露，犯罪分子贿赂海外客服代理，从客户支持系统中窃取数据，涉及约69461名用户。泄露内容包括姓名、地址、电话、邮箱、社保号后四位、掩码银行信息、政府身份证件图片、账户余额快照和交易历史，但未涉及密码与私钥。攻击者利用这些信息伪装成Coinbase员工，诱骗用户转出加密货币。

Coinbase拒绝支付2000万美元的赎金，转而设立同额赏金以抓捕和定罪相应责任人，同时解雇相关人员、切断与外包客服的合作，并自愿赔偿因该事件遭受损失的零售用户。2025年第二季度财报确认相关费用约为3.07亿美元，包括客户赔偿与直接法律成本。

更早的一次事件发生在2021年3月至5月。攻击者通过钓鱼获取邮箱、密码和电话号码，利用Coinbase短信账户恢复流程的漏洞绕过双重验证，至少6000个账户资金被转出。Coinbase随后修复了漏洞，并按事件发生时的价值全额赔偿被盗资金。

这两次事件的共同点在于，直接损失最终由平台承担赔偿，但一旦数据泄露，后续被用于钓鱼和社交工程的风险将长期存在。

在10月28日，币安创始人赵长鹏（CZ）在X平台发文指出，当日共有四起数据泄露事件被报道，除了Coinbase的第三方服务商Amplitude外，还包括韩国加密交易所Bithumb，以及韩国传统金融机构未来资产与大信证券。

CZ指出，交易平台泄露的姓名、电子邮件、电话号码、地址、身份证明文件及交易记录等信息，可能被用于网络钓鱼、SIM卡劫持和社会工程学攻击。他建议用户在账户隔离与验证方式上采取措施：为不同交易平台设置独立邮箱和高强度密码，优先使用硬件安全密钥、Passkey或身份验证器，避免依赖短信双重验证，并启用提现地址白名单和防钓鱼码。此外，用户应定期检查账户登录会话及API密钥权限，警惕冒充客服的诈骗行为。

他还提醒，泄露的住址与资产持仓信息可能引发生命安全风险，用户应尽量避免公开个人资产情况。

此外，多家机构观察到，AI的快速发展与近年来安全事件的频发密切相关，主要作用并非创造新的攻击类型，而是显著降低攻击门槛，加速现有手法的规模化。

哈佛肯尼迪学院与Bruce Schneier合作的研究显示，由大模型全自动生成的个性化鱼叉钓鱼的点击率约为54%，与人类专家持平，远高于普通钓鱼的约12%，且可使大规模活动的利润提升最高约50倍。微软的报告也提供了相似的点击率数据。深度伪造的语音和视频进一步加剧了此类风险。

漏洞利用的速度同样在加快。微软报告指出，漏洞从公开到被利用的中位时间通常低于24小时。CrowdStrike的2026全球威胁报告显示，2025年AI赋能的对手活动增长了89%，电子犯罪的“突破时间”从初始访问到横向移动缩短至平均29分钟。IBM《数据泄露成本报告2026》指出，约四分之一的恶意泄露与AI相关，且平均成本更高。

Bruce Schneier强调AI的双重用途：它既能高效自动化钓鱼，也能用于高准确率识别钓鱼意图。他认为短期内防御者在某些方面可能获益更多，但这是一场持续的军备竞赛。CrowdStrike、微软和IBM等机构的判断一致：AI正在优化社会工程、凭证窃取和漏洞利用等既有战术，而非开辟全新战线，但攻击速度和规模的提升显著压缩了防御窗口。

对加密行业而言，这一趋势与Coinbase相关事件高度吻合。2021年的短信漏洞依赖钓鱼获取凭证，2025年的内幕贿赂以社会工程诱骗转账，而此次Amplitude事件暴露的邮箱和电话，正是钓鱼与社会工程的“原料”。AI使这些攻击更加个性化、多语言化，更难以识别，同时降低了成本、扩大了目标范围。供应链与第三方风险，也因AI加速的侦察与利用而进一步放大。

来源：Odaily星球日报