简要总结
- 一次身份验证，产生的是一份副本，而不是一次核验。你的证件图像、从中提取出的每一个字段、你的自拍照，以及通常还有一份面部生物特征模板，都会被保存下来 — 由平台保存一份，另外，由该平台购买核验服务所依托的身份验证供应商，再单独保存一份。
- 你无法删除它，而这种拒绝是合法的。反洗钱法律要求这份档案必须被留存，而隐私法律也明确将法定留存义务，排除在删除权的适用范围之外。
- 账户关闭后五年，只是一个下限。关闭账户，启动的不是删除程序，而是一段倒计时。
- 这份记录，有许多个保管方，而只要其中任何一个出岔子，就够了。内部人员、某个供应商泄露的登录凭证、一份破产案卷，以及一次普通的外部入侵 — 这四者，都曾经真实地导致过加密货币身份数据的外泄。
- 加密货币的 KYC 之所以格外危险，是因为它把一个地址和一笔余额绑在了一起。这就是一份用来锁定目标的名单，而且它确实已经被这样用过。
- 大多数的信息共享，压根就算不上是一次泄露。资金转移规则，本来就是设计用来让你的身份信息在各机构之间流动的，而针对加密货币账户的自动税务申报，将从 2026 年度的活动开始施行。
- 唯一真正管用的杠杆，是被制作出来的副本数量。无 KYC 基础设施无法删除过去。但它能阻止下一份记录被创造出来，这一点的价值，比听起来的要大得多，因为暴露是累积性的，而且不可逆转。
这不是法律建议。数据保护和反洗钱方面的规定，因司法辖区而异，而且变化很快，下文所述的各起事件，均整理自公开报道和企业披露信息。本指南所解释的，是截至 2026 年，在大多数法律体系下都普遍适用的运作机制；在依据本文内容做出任何重要决定之前，请先咨询合格的当地律师。
这份档案究竟流向了哪里
大多数人脑子里的画面是：交易所看一眼你的护照，确认你是真实存在的人，然后这件事就算过去了。但实际情况并非如此，而这两者之间的落差，正是全部风险所在之处。
实际发生的情况是：先制作出一份副本，然后这份副本再被分发出去。几乎没有哪家交易所会自己开发身份验证系统；这是从为数不多的几家供应商那里买来的专业产品 — 你会遇到的名字包括 Jumio、Onfido、Sumsub、Veriff、Persona 和 AU10TIX 等等。你的证件，上传到的是这家供应商的基础设施，而不是交易所的。这家供应商，会对证件执行真伪核验，运行光学字符识别来提取每一个字段，把你的自拍照与证件上的照片进行比对，然后返回一个判定结果。
每一个环节，都会留下痕迹，而这些痕迹，正是问题的关键所在：
- 交易所会保留自己的一份副本，存放在它依法必须能够按要求随时提交的客户尽职调查档案中。监管制度所关注的，正是这一份副本。
- 供应商也会保留一份副本，包含图像和提取出的数据，按照它自己的留存时间表保存 — 这份时间表，由它与交易所之间的合同决定，而不是由你曾经同意过的任何条款决定。
- 供应商的次级处理方，同样也会接触到这些数据。证件真伪核验、制裁名单和政治敏感人物筛查、地址核实，以及设备风险评分，往往又是一些各自独立的服务，每一项都会收到它所需要的那些字段。
- 机器拒绝通过的那些，会由人工阅读。被升级处理的检查，会交给审核团队，这些团队往往是外包的，所在的司法辖区，通常既不是你所在地，也不是交易所所在地。这不是一个假设性的弱点：这正是迄今为止已披露的最大规模加密货币身份数据事件背后，那个确切无误的机制。
- 以上这一切，都存放在带有备份的云存储中。备份，从设计上讲，就是那种能在删除之后依然存活下来的副本，而且它们还有一套自己独立的失效时间表。
老老实实数一数经手方的数量，你会发现：在单单一家交易所完成的单单一次身份验证，通常就意味着，你的护照图像已经存在于三到六家机构手中。你选择的，只是其中一家。除非你专门去问，否则你永远不会被告知其余那些机构的名字 — 正如下文关于访问请求的部分所解释的那样，你完全有权这样去问，只是几乎没有人会真的这么做。
这份记录里，究竟装着什么
「KYC 数据」这个说法，听起来就像是一张护照扫描件。而实际上这份档案，比这大得多，那些没人会去想到的部分，往往才是更为敏感的部分。
- 证件本身 — 一张护照、身份证或驾照的全彩图像，包含机读区、证件号码、签发机关和有效期。
- 每一个字段，都以结构化文本的形式存在。完整法定姓名、出生日期、出生地、国籍、证件号码。这些信息被提取、索引，并且可供搜索，这使得这份记录，可以毫不费力地与任何包含相同字段的其他数据库进行关联。
- 你的脸，以模板的形式存在。活体检测自拍照或视频，通常还有由此衍生出的生物特征模板。根据 GDPR，这属于特殊类别数据，在美国的多个州，也受到专门法规的规制，这是有原因的：这是整份档案里，唯一一个永远无法重新签发的字段。
- 地址证明。一份水电煤账单或银行对账单 — 也就是说，另外一份文件，其中同样包含一个账号，以及一种消费或支出模式。
- 财务身份标识。用于给账户充值的银行账户或银行卡信息，根据平台不同，可能是完整信息，也可能是打码后的信息。
- 资金来源与财富来源说明。在适用强化尽职调查的情况下，是一段以自由文本形式写成的说明，内容涉及你的职业、你的资产，以及你的钱从何而来 — 这往往是整份档案里，最能暴露信息的一项。
- 技术层面的信息集合。IP 地址、设备指纹、浏览器和操作系统、注册时以及此后每一次登录时的地理位置信息。
- 你的完整活动记录。每一笔存款、每一次交易、每一笔提现、每一份余额快照，以及 — 最关键的是 — 你曾经从中转入或转出资金的每一个区块链地址。
正是最后这一项，让加密货币身份记录，与一份泄露的航空公司会员数据库，有了本质上的不同。它是连接法定身份与一本公开账本之间的关联键。持有它的人，知道的不仅仅是你是谁；他们还可以完全借助公开数据，以及我们在加密货币究竟是如何被追踪的这篇指南中所描述的那些常规聚类技术，从那个节点开始，向外读出你的链上历史。一份泄露的记录，会把一段伪匿名的链上历史，变成一段具名的历史 — 永久性地、且可追溯既往地。
为什么你无法删除它
这一部分，会让那些以为隐私法就等于一个「删除」按钮的人感到意外，而且值得把其中的道理弄清楚，因为这套逻辑并非随意而定，而人们想象中的变通办法，其实并不存在。
反洗钱制度要求负有义务的机构留存客户尽职调查记录，以便主管机关，在事后能够还原出这段关系的全貌。留存期限，在几乎所有地方，都收敛到同一个数字。欧盟的反洗钱指令规定，自业务关系结束起五年，并允许成员国将其延长至十年；2024 年欧盟反洗钱一揽子法案，将从 2027 年年中开始施行，把加密资产服务提供商，也完全纳入适用范围，但保留了相同的五年规则。英国的《反洗钱条例》规定的是五年。美国《银行保密法》框架要求的也是五年，客户身份识别记录，须在账户关闭后再保存五年。
现在把这一点，放到隐私法旁边对照来看。GDPR 中的删除权 — 也就是通常所说的被遗忘权 — 明确包含一项例外：当处理活动，是控制者履行其所负法律义务所必需时，删除权便不适用。反洗钱留存义务，正是这类法律义务的典型例子。这两部法律并不冲突；按照制度设计，是后者让位于前者。当一家交易所拒绝删除你的身份证件时，它并不是在故意刁难，也不是躲在某个技术性借口后面。它只是在正确地执行规则。
由此产生三个后果，而它们都没有得到广泛的理解：
- 关闭账户，启动的是倒计时，而不是让它停止。留存期限，从这段关系结束时起算。你关闭账户的那一天，就是这五年的第零天，而与此同时，你也放弃了本来可以用来查看对方持有着什么数据的那个登录权限。
- 留存过久，才是理性的商业选择。过早销毁记录的企业，面临的是监管处罚。而保存记录时间过长的企业，现实中面临的后果微乎其微。因此，删除时间表往往定得很宽松，「五年」是一个下限，而不是一个预期值。
- 供应商的倒计时，不是交易所的倒计时。你所签的合同，说到底，是跟平台签的。而身份验证供应商及其次级处理方的留存时间表，是由一份商业协议决定的 — 你既不是这份协议的当事方，也从未读过它。
由此得出唯一具有实际意义的结论：真正的决定时刻，是上传的那一刻，而不是之后的任何时刻。此后，不会再有哪个时间点，能让你改变主意。这与区块链分析指南中所描述的那些隐私决策，是同一种结构 — 要么在行为发生的当下做出，要么就再也没有机会。
它实际泄露出去的四种途径
人很容易把一份事件清单，读成一份「哪些公司粗心大意」的清单，而这种理解框架，会导向一种错误的防御策略 — 去挑一家「更好」的交易所。更有用的读法，是把它们看作四种结构性上各不相同的失效模式，因为一份被六家机构持有的记录，在每一家机构那里，都同时暴露在这全部四种模式之下。
1. 被收买或被攻陷的内部人员
2025 年 5 月，Coinbase 披露称，犯罪分子收买了海外的客服外包人员，从中提取客户记录。该公司所列出的数据类别，正是这起事件之所以比一个听起来更庞大的数字更值得重视的原因：姓名、地址、电话号码、电子邮箱地址、打码后的社会安全号码、打码后的银行账户标识符、政府颁发证件的图像，以及包括余额快照和交易记录在内的账户数据。Coinbase 表示，受影响的用户，占月活跃交易用户的比例不到百分之一，并拒绝了随后提出的勒索要求，转而悬赏征集线索，同时预计整改成本将达数亿美元。
值得注意的是，在这里失效的，究竟是什么防线。不是加密技术，不是交易所基础设施的安全性，也不是任何一项安全页面上会提到的东西。客服人员需要看到客户记录，才能提供客服支持，而在达到一定规模后，把客服外包出去，是一个再正常不过的成本决策 — 而一个拥有合法访问权限的人，是可以被收买的。没有任何一种配置，能够消除这种风险，而同样的结构，也同样存在于身份验证供应商那里 — 它们的升级审核团队，本来就是被设计出来阅读证件的。
同样的形态，在别处也出现过。2021 年 11 月，Robinhood 披露称，一名攻击者通过电话，对一名客服员工实施了社会工程学攻击，由此获取了大约五百万个电子邮箱地址和约两百万个姓名，其中一小部分用户的信息更为详细。这种手法，完全不需要利用任何漏洞。
2. 你从未选择过的供应商
身份验证这一层，是一个高度集中的行业。为数不多的几家供应商，处理着加密货币行业中很大一部分的证件业务，此外还覆盖金融科技、网约车和社交媒体的大部分领域，这使得它们每一家，都成了一个手握着远比任何单个客户更大的战利品的攻击目标。
2024 年，安全研究人员报告称，为多个主要平台提供服务的身份验证供应商 AU10TIX，其管理员登录凭证，已经暴露了很长一段时间 — 这有可能使人能够访问到它所处理过的证件相关数据。2019 年 8 月，一名自称持有约一万张身份证件照片的人，试图向 Binance 勒索钱财；该公司对这些图像的来源提出了质疑，指出图像上缺少它的数字水印，并将矛头指向了它在 2018 年期间聘用过的一家第三方供应商。无论那段插曲的哪一种说法属实，这场争论本身，都说明了这种结构：一旦证件外泄，平台和供应商，都可以言之凿凿地说，问题出在对方那边，而用户则完全无从判断究竟是谁的责任 — 对于一家自己从未与之签订过合同的公司，用户也没有任何追索手段。
3. 根本算不上「泄露」的合法披露
2022 年，在 Celsius 倒闭之后，客户姓名连同交易记录，一并出现在了普普通通的美国破产申报文件中，被公开了出来。这中间没有任何攻击者的参与。破产程序本身是公开的，债权人清单是案卷记录的一部分，而客户数据库，则是破产财产的一项资产。这些数据之所以变得永久公开，正是因为法律体系在正常运转。
这一点具有普遍性。当一个平台被收购时，客户档案会随着这项业务一并转移。当一个平台倒闭时，这份档案就会变成一项资产。当法院下令提交时，它就会被提交出去。你建立的每一段托管关系，赌上的不只是那家公司的安全性，还有它的偿付能力、它的所有权归属，以及它所在的司法辖区 — 而且这场赌注，要持续这份记录的整个生命周期。这是一场比大多数用户以为自己在下的赌注，更漫长、也更古怪的赌注。
4. 普通的数据泄露，以及随之而来的信息汇聚
当然，传统意义上的外部入侵，依然在发生，而与加密货币相关的清单也很长：2020 年 Ledger 的客户数据库、通过第三方供应商牵连到的 BlockFi 和 Gemini、Nexo，2024 年 Trezor 的支持门户，还有许多其他案例。单看每一起事件本身，都算不上有什么特别之处。真正重要的是，这些数据事后的去向。
泄露的数据集，不会一直各自独立地存在。它们会被交易、被合并、被不断丰富，而一份只包含电子邮箱地址的泄露数据，一旦与另一份包含同一个邮箱地址和家庭住址的泄露数据关联起来，再加上第三份包含电话号码的泄露数据，就会变得危险起来。Ledger 那起事件，最清楚地展示了这在加密货币这个行业里，具体会催生出什么：大约一百万个电子邮箱地址，以及约 272,000 条包含姓名、邮寄地址和电话号码的记录，被公开倾倒了出来，而这些记录中的每一条，都携带着同一个隐含的事实 — 这个人拥有一个硬件钱包。其后果，是长达数年、极其可信的钓鱼攻击，据报道，在一些案例中，甚至出现了当面的威胁行为。
一个值得记在心里的、与加密货币无关的对照案例，是 2022 年澳大利亚的 Optus 事件：数百万客户的证件号码遭到曝光，迫使整个国家，就大规模重新签发护照和驾照这个问题，展开了公开讨论。证件号码，可以在付出巨大成本和不便的代价后，重新签发。而脸，不能。
泄露的身份记录，会被用来做什么
数据泄露之后，那种「留意你的信用记录」式的通用建议，针对的是另一种完全不同的威胁。以下，才是这一组特定字段组合，实际上会带来的后果。
- 早已知道答案的钓鱼攻击。一封邮件，只要引用了你的真实姓名、真实地址、你实际在使用的平台，以及你余额的大致规模，就足以击败大多数人赖以判断真伪的那些经验法则。加密货币数据泄露之后，绝大多数实际发生的损失，都来自这一种手法，而不是来自任何技术性的攻击。我们那篇关于转账前核实服务商的指南，介绍了一套即便面对这种手法，依然行之有效的核验流程。
- 针对性 SIM 卡劫持。这份记录中包含电话号码，以及足够多的个人细节，可以用来回答移动运营商的验证问题。对于任何仍然依赖短信验证码保护的账户来说，这就是一条标准的入侵路径。
- 带着背景信息的撞库攻击。现在，这个电子邮箱地址，已经被确认属于一名加密货币用户，并且关联着一个具体的平台和一个具体的余额规模，这会让它在每一次针对重复使用密码的攻击中，都被排到队伍的最前面。
- 不需要证据的勒索。最有效的威胁，是受害者自己就能立刻验证真伪的那种。一条引用了你的地址和你持仓情况的消息，本身就自带可信度，而这样的勒索要求，就算金额不大，也照样有人会付钱。
- 人身安全风险。这是把加密货币数据，与大多数其他泄露数据区分开来的一个后果，而且它并非纸上谈兵。自 2020 年以来，家庭住址与大额自托管资产的证据一旦被配对在一起，在多个国家，都伴随出现过有据可查的威胁、入室抢劫和绑架事件 — 其严重程度，甚至促使法国当局在 2025 年，在一系列袭击事件之后，公开将保护措施，扩大到了这个行业的从业者身上。链上余额，无法被银行冻结或撤销，而这恰恰正是它的持有者，会成为攻击目标的原因。
- 回溯性伤害与跨情境伤害。一份在 2026 年创建的记录，到 2036 年依然可以被读取。届时查阅它的人，可能是一位雇主、一家保险公司、一名边境官员、一个家事法庭、一名记者，也可能是一个在此期间，已经改变了对你这类活动之态度的政府。你所披露的对象，不只是今天的读者。
不算「泄露」的那部分：你的数据，本来就注定要流动
如果把注意力完全放在数据泄露事件上，会低估真实的暴露程度，因为你的身份数据的流动之中，有相当大、而且还在不断增长的一部分，完全是合法的、自动发生的，并且你根本看不见。
- 旅行规则。这项国际标准，于 2019 年被延伸适用到虚拟资产领域，要求在受监管机构之间发生的转账中，必须随附发起方和受益方的身份识别信息。在欧盟，修订后的《资金转移条例》自 2024 年 12 月 30 日起施行，而且与其他多个司法辖区的做法不同，它对加密资产转账，不设任何最低豁免门槛。你的姓名，会作为一项常规合规操作，与转账价值一同被传送给一家与你毫无关系的公司。
- 自动税务申报。经合组织的《加密资产报告框架》，以及欧盟与之对应的指令，将从 2026 年度的活动开始，收集账户和交易数据，税务机关之间的首次自动信息交换，将于 2027 年随之展开。这套机制，与银行账户领域已经在运行的机制如出一辙。我们在税务指南中，讨论了这对个人而言意味着什么。
- 可疑活动报告。提交给金融情报机构的报告，在大多数法律体系下，都被明令禁止向报告所涉及的当事人披露。没有人会告诉你，你也无法去问。
- 常规的执法数据调取请求。各大平台发布的透明度报告显示，每年都有数以千计的政府数据调取请求，而且配合率很高。
- 商业筛查。存款和提现，会作为常规操作，由区块链分析供应商给出评分，这就把你已经过验证的身份，与另外一家公司所维护的一项风险评估关联到了一起。区块链分析指南解释了这些分数是如何产生的，以及为什么它们是继承而来的，而不是自己挣得的。
这里想说的重点，不是说这一切都不正当。而是说，「这家交易所有没有被泄露过」，本来就是一个问出来就错了的问题。真正该问的问题是：通过这些正按其本来设计意图正常运转着的机制，最终会有多少家机构，手里握着一份能识别出你身份的记录。
数据最小化行动手册
既然删除在很大程度上是行不通的，那么整场博弈，就在于限制副本的数量，以及限制每一份副本里包含的内容。七件事，按影响力大小排序。
- 清点已经存在的一切。几乎每个人，都会把这件事的规模，低估好几倍。去搜索你的电子邮件存档，找出验证确认邮件，而不是单凭记忆判断；那些你已经忘记的账户，恰恰才是最危险的，因为根本没有人在留意它们，而一个已经停运的平台，其数据库，比一个仍在运营的平台，更有可能最终流落到某个公开的地方。
- 在关闭任何账户之前，先申请一份数据副本。趁你还有登录权限的时候提出数据访问请求，这会为你提供你此生唯一能拿到手的、关于自己风险暴露状况的完整清单 — 如果你明确提出要求，其中还会包括你的数据曾被披露给哪些接收方。关闭账户，永远应该放在这一步之后，而不是之前。
- 删除那些并非依法必须留存的数据。反洗钱除外条款，保护的是身份档案本身。它并不保护营销画像、客服工单记录、分析记录，或广告标识符，这些数据依据的是另一套法律基础，是真正可以被删除的。请针对这些具体类别分别提出请求，而不要提出一个笼统的、很容易被整体驳回的要求。
- 不要再默认逢站必验证。值得改掉的一个习惯，是把一张验证表单，仅仅当作一张表单来看待。它其实是你身份信息的一份永久性的、不可撤销的、会被分发出去的副本。只在你实际需求真正要求的最少几个平台上完成验证，而且永远不要为了解锁一个你根本还没决定要用的功能，就去上传一份证件。
- 拒绝填写可选字段。监管所规定的，是一个最低限度。超出这个最低限度的雇主信息、财富来源说明、辅助证件、社交媒体账号，以及营销同意选项，都是平台自己想要，而不是法律要求，尤其是那些以自由文本写成的财富来源说明，往往是整份档案里最能暴露信息的东西。
- 把已验证身份的那一段活动，与私密的那一段活动分开。如果你的部分活动，必须经过一个已验证身份的平台 — 对大多数人来说，确实有一部分活动会是这样 — 那就在结构上，把它与你不希望被索引到你名下的那部分活动分隔开来，这样一来，前者的披露，就不会自动连带说明后者的情况。这既是一个平台选择的问题，也同样是一个钱包架构的问题，而钱包卫生指南正是与这一点配套的实操指南。
- 强化你已经拱手让出的那份身份信息。假定这份记录已经是公开的，并据此采取行动：把你的电话号码，从基于短信的账户找回方式中移除，在所有地方都使用基于硬件的多因素身份验证，在每个服务上都使用不同的地址，这样你才能分辨出究竟是哪一个泄露的，谨慎对待公开展示持仓的行为，并且默认把任何一条已经知道你余额情况的、未经请求的消息，当作是恶意的。
行得通的访问请求，与大多不管用的删除请求
两种不同的权利，经常被人混为一谈，而它们的成功率，却截然不同。
访问权，才是真正管用的那一项。根据 GDPR，它赋予你获得一份自己个人数据副本的权利，此外还包括处理目的、数据类别、数据被披露给的接收方或接收方类别、留存期限，以及 — 如果数据并非直接采集自你本人 — 数据的来源。这里不存在反洗钱除外条款。控制者必须在一个月内答复，对于复杂的请求，可以再延长两个月，而且这项申请是免费的。美国加州的隐私法，以及英国 GDPR 之下，也都存在类似的权利。
请以书面形式提出请求，明确要求对方提供：所持有的身份证件、适用于这些证件的留存期限，以及具体点名的接收方，而不仅仅是接收方的类别。最后这一项，正是能揭示出究竟是哪一家身份验证供应商、哪些次级处理方，持有着你的护照图像的关键，也是整个过程中，最有价值的一句话。
删除权，是那个通常会失败的权利 — 而且失败得有道理。对于反洗钱档案范围之内的任何内容，你应该预料到，对方会以法定义务例外为由，予以拒绝。这种拒绝是站得住脚的，为此提起申诉，并不是在善用你的时间。真正值得去争取的，是外围地带：营销名单、分析画像、客服附件、广告标识符，以及任何超出监管最低要求所收集的文件。请按名称逐项提出这些类别的请求。一句笼统的「删除一切」，招来的只会是一句笼统的拒绝；而一份具体的清单，则会迫使对方逐类别地作答，这样做，不但更有可能成功，就算不成功，也能提供更多信息。
两点实用提示。保留好对方的答复 — 它们是带有日期的证据，记录着谁曾经持有过什么，这一点，在数据日后浮出水面时会很重要。此外，要预料到答复可能并不完整：除非你坚持要求，否则许多控制者只会描述数据类别，而不会点名具体的接收方，而通常，只要你坚持，就足够了。
无 KYC 究竟能帮上什么忙，又帮不上什么忙
这个网站之所以存在，是因为我们认为，让每一笔交易都默认要求核实每个人的身份，是一种不成比例的做法。但这种信念，并不能成为我们夸大替代方案实际效果的理由，所以，以下是诚实的边界所在。
它能做到的。它能阻止一份新记录的产生。没有证件被上传，因此也就没有供应商去处理它、没有审核员去阅读它、没有备份去留存它，也没有破产案卷能够公开它。因为暴露是累积性的、且不可逆转的，少产生一份副本，其价值，远比听起来的要大 — 这是整个这个主题里，唯一一项完全有效的干预手段，而它之所以完全有效，正是因为它发生在记录产生之前。
它做不到的。它无法删除任何已经存在的东西。已经产生的记录，无论你接下来做什么，都要继续受制于各自的留存时间表，任何暗示并非如此的服务，都是在误导你。它也无法让一条本质上透明的区块链变得私密：如果你收到的是一种可读的资产，区块链分析，会在任何一次兑换的另一端，继续进行下去，这正是加密兑换是否匿名，以及区块链分析指南这两篇文章通篇讨论的主题。它也不会改变你的税务处境 — 正如税务指南中所说明的那样，在大多数司法辖区，无论有没有人核实过你的护照，这次兑换本身，都构成一次处置。而且，它也不是一张可以无视制裁或当地法律的通行证，这一点，我们在无 KYC 兑换在你所在地是否合法中，按司法辖区逐一做了说明。
我们愿意为之辩护的这种理解框架是：KYC 风险暴露，是一个存量，而不是一个流量。你无法减少这个存量，所以你唯一能够控制的变量，就是你为它增加内容的速度。以上所说的一切，讲的都是这一个变量。
我们掌握着什么数据，直说无妨
一篇讨论「谁持有你的数据」的指南，如果不能就其作者本身，回答同样的问题，那这篇指南就毫无价值，所以：
- 我们不索要姓名、电子邮箱地址、电话号码或任何证件，而且也没有账户需要注册。因此，这里也就不存在身份档案，不存在处理它的供应商，也不存在阅读它的审核员。
- 我们会把一笔订单所需要的信息，转发给实际完成这笔交易的上游流动性路由方 — 交易对、金额、目标地址，以及，如果你提供了的话，退款地址。这一方，才是订单元数据的权威来源，它有着自己的留存政策，我们既不能控制，也不会假装自己能够控制。比起暗示这条路径到我们这里就结束了，我们宁愿把这一点说清楚。
- 订单记录会在三十天内清除，一旦订单完成结算或过期，则会更早清除。Web 服务器日志采用 nginx 的默认设置，二十四小时内轮转。
- 不使用第三方分析工具，不加载广告脚本，不设置追踪 Cookie。我们设置的唯一一个 Cookie，作用是在页面与 API 之间传递一个 CSRF 令牌，并会在你关闭浏览器时被清除。字体采用自托管方式，因此渲染页面时，不会联系任何字体 CDN。
- 就算你提交了一份关于你自己的删除请求，我们也无法执行，因为我们手上根本没有任何能识别出你身份的东西可供删除。这是这套设计诚实的另一面，这一点，连同全部细节，都写在隐私政策里。基础设施方面的相关说明，逐项列在透明度页面上，而我们的信息披露流程，则在安全页面上。
我们做不到的，是把你的证件，从其他任何地方移除。没有人能做到这一点。这正是为什么，这个决定，必须在上传之前就做出。
相关阅读
关于支持和反对身份核验这个更大的议题，可以从什么是无 KYC 加密货币开始了解。关于一份具名记录，是如何把一本公开账本，变成一部传记的，参见区块链分析详解，关于一次兑换能掩盖什么、不能掩盖什么，参见加密兑换是否匿名。与本指南相对应的操作篇，是隐私兑换钱包卫生。关于数据泄露之后随之而来的钓鱼攻击，参见如何在转账前核实服务商。关于法律方面的大背景，参见无 KYC 兑换在你所在地是否合法以及税务指南。关于在不增加存量的前提下获取一种不透明资产，参见如何无 KYC 购买 Monero，至于全文所用到的术语，请查阅术语表。
