资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
驾照信息大规模泄露敲响警钟：最安全的存储方式是“不存储”
本月早些时候，超过1.53亿份美国和加拿大驾照信息遭到大规模窃取，这一事件令人清楚地认识到：你的驾照副本存放在任何地方都不是绝对安全的。这些泄露的身份信息似乎来自一家身份验证提供商，最终出现在一个名为Nexus的暗网身份服务上，同时还伴随有数百万份其他被盗的身份和旅行证件。
本周，金融科技巨头Revolut透露，其被一名黑客欺骗，交出了大量敏感客户数据，包括护照复印件和用于验证的自拍照。这名黑客正在通过互联网逐步泄露680名客户的身份证明文件，试图勒索1万枚比特币。这一事件进一步凸显了潜在的危险。
其中的讽刺意味显而易见：“了解你的客户”（KYC）流程旨在通过确认客户身份并确保他们未从事非法活动来提高金融系统的安全性。然而，目前通常采用的KYC实施方式要求公司存储大量敏感信息，这为犯罪分子创造了极具价值的“蜜罐”。而且，这个问题越来越难以忽视。仅2026年上半年，美国的数据泄露事件就影响了至少3.43亿人，据隐私权清除中心（Privacy Rights Clearinghouse）统计。更令人沮丧的是，利用零知识证明技术，目前已经可以在不存储个人身份文件的情况下验证个人身份。
KYC旨在收集而非仅仅验证你的身份
目前的KYC系统基本上是基于这样一个假设演变而来的：机构应当查看客户的护照或驾照，记录相关信息，然后存储检查证据。
3.43亿人在2026年已受到美国数据泄露事件的影响。来源：隐私权清除中心。但这种方法存在一个明显的问题：它创造了一个庞大的身份提供商、数据库、供应商和合规生态系统，所有这些系统都单独存储着你个人的KYC数据宝藏。你数据的每一份额外副本都增加了另一个潜在的故障点——而黑客在构思访问这些数据的方法时也越来越富有创造性。
在Revolut案中，黑客从合法的意大利执法地址发送电子邮件，要求获取KYC数据。Open Dialogue总裁Lyudmyla Kozlovska在X平台上表示，欧盟法律意味着Revolut别无选择，只能遵从。“欧盟反洗钱法对银行没有施加验证义务，也没有提供有意义的机制来核实真正发出经认证国家请求的人是谁。拒绝回答将面临数百万美元的罚款。在实践中，验证是不可能的。”
相关报道：200,000个虚假AI“受害者”被部署以诱捕网络欺诈者。英国比特币政策总监兼联合创始人Susie Violet Ward警告说，真正的问题在于不必要地存储身份证据：“我们需要停止将身份验证和交出身份信息混为一谈。”她认为，如果一家公司只需要知道某人是否年满18岁，就不应自动需要额外的详细信息，如你的全名、地址、确切出生日期以及永久性的相关身份证明文件副本：“讽刺之处在于，KYC的设计初衷是让系统更安全，但我们当前的实施方式却可能创造一个完全不同的安全问题。泄露后可以重置密码，但你无法以同样的方式重置你的身份。”
阻止囤积身份证据的技术已经存在
对于加密货币支持者来说，显而易见的解决方案是使用零知识证明。这是一种数学证明，可以在不揭示细节的情况下证明某事为真。例如，你可以使用手机应用程序生成一个证明，确认你的驾照显示你已满18岁，而无需发送你的出生日期或驾照本身的图片。Zcash创始人Zooko Wilcox在此视频中提供了关于ZK技术的有用解释。
关于ZK技术的有用解释。来源：Crypto Fireside。
开发保护隐私的数字身份和ZK解决方案的Billions Network首席执行官兼联合创始人Evin McMullen告诉《Magazine》杂志：“该技术行之有效，且已在数千个应用程序和受监管机构的日常生产中使用中。阻碍其发展的原因是，整个合规体系都是围绕收集和存储文档副本构建的。”McMullen表示，障碍“从来不是技术”，而是围绕其建立的规则、激励措施和基础设施：“这是一个披着技术外衣的治理和标准问题。”
既然技术可行，为何未能广泛应用？
欧盟已经在将其数字身份和年龄验证系统设计纳入ZK技术，开发保护隐私的年龄验证功能，允许用户在不透露完整身份或确切出生日期的情况下证明其年龄。相关报道：目前对AI驱动的DeFi黑客攻击流行的担忧可能被夸大，但不会持续太久。其数字身份钱包也支持“选择性披露”，因此用户仅透露特定交易所需的信息。
那么，为什么这在金融KYC中没有得到更广泛的部署？根据McMullen的说法，“法规和理解”是采纳的最大障碍：“最常见的阻碍是，合规团队混淆了‘我们看到了ID’与‘我们必须保留ID’的概念，因此为了安全起见过度收集信息。”她表示互操作性也是一个问题，因为加密证明只有“在依赖方能够无需回调签发方即可进行检查时才有用”。这需要建立共享标准，而这说起来容易做起来难。
零知识证明并非解决KYC问题的万能钥匙
还有另一个重要的注意事项：用零知识证明替换身份证据并不能自动消除所有隐私或安全问题。Fenigson指出，零知识凭证绑定到什么对象同样重要：“激励机制指向的是控制，而非隐私。零知识证明可以让某人证明一个事实，比如年满18岁或不在制裁名单上……缺失的是该证明被绑定到的内容。目前，它通常绑定到别人数据库中的某个账户。”
欧盟数字身份钱包支持选择性披露。来源：欧盟委员会。因此，归根结底是谁最终控制该凭证。如果一个人生成了保护隐私的证明，但该证明绑定到别人数据库中的账户，他们仍然依赖于中心化中介。
规则并不像你想的那样非黑即白
在许多情况下，规则实际上并不要求存储身份证据——这更像是一种惯例，因为人们总是这样做的。金融行动特别工作组（FATF）的指导方针明确考虑了如何使用数字身份系统进行客户尽职调查，而不是要求机构依赖物理身份证件。FATF的建议也以风险为基础框架运作，让各国通过自己的法律和监管体系实施标准。“在许多制度下，规则是你必须验证身份并保留验证记录，而不是你必须永远保留原始文档图像，”McMullen说。这意味着，具有密码学可验证性的声明以及显示已执行相关检查的记录，可能就足以符合合规要求，而无需创建另一份身份证据的永久副本。
但由于指导方针“模棱两可”，McMullen表示，机构只是默认保留所有信息，因为他们的合规团队知道审计员和检查员会接受这种做法。换句话说，即使规则在技术上允许不同的方法，也没人愿意做第一个冒险尝试的人，正如Ward所解释的那样：“监管有一种本能，认为更多信息意味着更多的控制和因此更多的安全。”除非规则修改以明确允许零知识证明，否则很难看到这种情况发生改变。虽然没有任何系统是完美的，但至少ZK技术防止了收集和保留如此多敏感信息的必要性。正如McMullen所说：“如果你从未持有过，你就不会失去它。”
