Coinbase緊急闢謠！同日4起外洩，AI正在摧毀加密安全？

原文作者：Nicky，Foresight News

10 月 28 日，据 DelCrxpto 及慢霧首席資訊安全官 23pds 表示，Coinbase 發生資料外洩，駭客取得超過 7 萬名用戶的聯絡資訊，但尚未確認密碼或資金是否被盜。

同一天，Coinbase 作出回應，稱「並未發生資料外洩」。據其表述，分析服務商 Amplitude 遭遇了一起安全事件，影響了部分 Coinbase 客戶聯絡資料以及其他 Amplitude 客戶的資料。團隊未發現任何未經授權存取 Coinbase 系統的證據，客戶資金也未受到影響，公司將依據法律義務通知受影響的客戶和監管機構。

截至發文，Amplitude 暫未對此事作出回應。

Amplitude 是誰？

Amplitude 是一家提供數位產品分析平台的美國上市公司，總部位於舊金山，股票代碼 Nasdaq: AMPL。其業務是幫助企業分析用戶在 Web 和 App 中的行為，功能包括即時洞察、工作階段重播、A/B 測試和資料啟用，採用 SaaS 訂閱模式。

公司起源於 2011 年 Spenser Skates 與 Curtis Liu 創辦的 Sonalight，最初做語音轉簡訊應用，曾於 2012 年冬進入 Y Combinator。因缺乏有效的用戶行為分析工具，兩人自行搭建了內部分析系統，隨後在 2014 年正式轉向產品分析並以 Amplitude 品牌推出。

第三位共同創辦人 Jeffrey Wang 同年加入，此前在 Palantir 和 Sumo Logic 的工作經歷幫助公司建立大規模資料處理能力。Skates 現任 CEO，擁有 MIT 生物工程學士學位，曾兩次贏得 MIT Battlecode 程式設計競賽。

Amplitude 於 2021 年 9 月在納斯達克直接上市，2025 財年收入約 3.43 億美元，員工約 750 至 800 人，客戶覆蓋從新創公司到財富 100 強企業。值得注意的是，AMPL 的股價自 6 月下旬的 6.6 美元開始上漲，於 10 月 23 日創下 17.72 美元的全年價格新高。

就此次事件，截至 10 月 28 日，公開資訊中未見 Amplitude 官方發布聲明或狀態頁公告。此前該公司也未曾有過平台本身大規模資料外洩的公開記錄。2026 年 9 月的 SpotAngels 事件中，第三方使用被盜憑證存取了儲存在 Amplitude 上的部分資料，但 SpotAngels 明確澄清並非 Amplitude 平台被攻破。

Amplitude 在金融與加密領域有明確客戶案例。Ramp Network 是一家加密貨幣出入金平台，深度使用 Amplitude 的分析、實驗和工作階段重播功能，主要用於產品分析和用戶旅程洞察，而非核心資金系統。Xapo Bank 是一家比特幣銀行與託管機構，使用 Amplitude Analytics 和 Feature Experimentation 優化開戶流程，同樣不涉及核心託管與私鑰系統。

其他金融客戶還包括美國金融科技公司 Dave、Salt Bank 以及部分外匯和衍生品經紀商。對這類客戶而言，風險主要限於行為分析資料與部分聯絡資訊，而非交易、餘額或私鑰，外洩後的主要威脅是釣魚、社交工程和 SIM 卡交換，而非直接盜幣。

Coinbase 表示事件影響了其他 Amplitude 客戶的資料，但目前沒有公開點名其他具體公司，Ramp Network、Xapo 等也均未發布相關聲明。受影響方可能選擇私下通知用戶，或仍在評估影響範圍。

Coinbase 此前發生過更嚴重的安全事件

這並非 Coinbase 第一次面對資料與帳戶安全問題。

最嚴重的一次發生在 2025 年。據官方披露，犯罪分子賄賂海外客服代理，從客戶支援系統中複製資料，涉及約 69461 名用戶。外洩內容包括姓名、地址、電話、電子郵件、社會安全碼後四位、遮蔽的銀行資訊、政府身分證件圖片、帳戶餘額快照和交易歷史，但未涉及密碼與私鑰。攻擊者主要利用這些資訊偽裝成 Coinbase 員工，誘騙用戶自行轉出加密貨幣。

Coinbase 拒絕支付 2000 萬美元贖金，轉而設立同額賞金用於抓捕和定罪，同時解僱相關人員、切斷與外包客服商的合作，並自願賠付因該事件被誘騙轉幣的散戶用戶。公司 2025 年第二季財報確認相關費用約 3.07 億美元，包括客戶賠付和直接法律成本。

更早的一次發生在 2021 年 3 月至 5 月。攻擊者透過釣魚取得電子郵件、密碼和電話號碼，利用 Coinbase 簡訊帳戶恢復流程的漏洞繞過雙重驗證，至少 6000 個帳戶資金被轉出。Coinbase 隨後修復漏洞，並按事件發生時的價值全額賠付被盜資金。

兩次事件的共同點在於，直接損失最終都由平台承擔賠付，但資料一旦流出，後續被用於釣魚和社交工程的風險會長期存在。

10 月 28 日，幣安創辦人趙長鵬（CZ）在 X 平台發文表示，當日共有 4 起資料外洩事件被報導，除 Coinbase 第三方服務商 Amplitude 外，還涉及韓國加密交易所 Bithumb，以及韓國傳統金融機構未來資產和大信證券。

CZ 指出，交易平台外洩的姓名、電子郵件、電話號碼、地址、身分證明文件及交易記錄等資訊，可能被用於網路釣魚、SIM 卡劫持及社會工程學攻擊。他的建議集中在帳戶隔離與驗證方式上：為不同交易平台設定獨立電子郵件和高強度密碼，優先使用硬體安全金鑰、Passkey 或驗證器，避免依賴簡訊雙重驗證，並啟用提款地址白名單和防釣魚碼。此外應定期檢查帳戶登入工作階段及 API 金鑰權限，警惕冒充客服的詐騙行為。

他還提醒，外洩的住址與資產持倉資訊可能引發現實中的勒索或搶劫風險，用戶應避免公開個人資產情況。

此外據多家機構觀察，AI 的高速發展與近年安全事件高發密切相關，其主要作用不是創造全新攻擊類型，而是大幅降低攻擊門檻、加速現有手法的規模化。

哈佛甘迺迪學院與 Bruce Schneier 合作的研究顯示，完全由大模型自動化的個人化魚叉式釣魚，點擊率約 54%，與人類專家持平，遠高於普通釣魚的約 12%，且可讓大規模活動的利潤提升最高約 50 倍。微軟的報告也給出了相近的點擊率數據。深度偽造的語音和影片進一步放大了這類風險。

漏洞利用的節奏同樣在加快。微軟報告稱，漏洞從公開到被武器化的中位時間常低於 24 小時。CrowdStrike 2026 全球威脅報告顯示，2025 年 AI 賦能的對手活動增長 89%，電子犯罪的「突破時間」從初始存取到橫向移動降至平均 29 分鐘。IBM《資料外洩成本報告 2026》則指出，約四分之一惡意外洩與 AI 相關，且平均成本更高。

Bruce Schneier 強調 AI 的雙用途：它既能高效自動化釣魚，也能用於高準確率識別釣魚意圖。他認為短期內防禦者在某些方面可能受益更多，但這是一場持續的軍備競賽。CrowdStrike、微軟、IBM 等機構的判斷一致：AI 正在優化社會工程、憑證竊取和漏洞利用等既有戰術，而非開闢全新戰線，但攻擊速度與規模的提升顯著壓縮了防禦窗口。

對加密行業而言，這一趨勢與 Coinbase 相關事件高度吻合。2021 年的簡訊漏洞依賴釣魚取得憑證，2025 年的內幕賄賂核心是社會工程誘騙轉帳，而此次 Amplitude 事件暴露的電子郵件和電話，正是釣魚與社會工程的原料。AI 讓這些攻擊更個人化、多語言、更難識別，同時降低了成本、擴大了目標範圍。供應鏈與第三方風險，也因 AI 加速的偵察與利用而被進一步放大。