بعد از KYC چه بر سر مدارک هویتی شما می‌آید: پرونده‌ی نشت‌های اطلاعاتی 2026

هر راهنمای دیگر این سایت به چگونگی پاسخ می‌دهد: خرید Bitcoin بدون KYC، خرید Monero، خرج‌کردنش و فروختنش، هرکدام بدون تحویل‌دادن پاسپورت. این مقاله به پرسشی می‌پردازد که زیر هر چهار مورد نهفته، و پرتکرارترین پرسشی است که از ما می‌شود: وقتی مدارک هویتی را واقعاً تحویل می‌دهید، چه بر سرشان می‌آید.

پاسخ کوتاه این است که KYC آزمونی نیست که قبول شوید. کپی‌ای است که ساخته می‌شود — از پاسپورت شما، چهره‌ی شما، آدرس شما، اطلاعات بانکی شما — سپس نزد پردازشگرهایی تکثیر می‌شود که هرگز از وجودشان باخبر نبوده‌اید، به حکم قانون سال‌ها پس از بستن حساب نگه داشته می‌شود، و سرانجام افشا می‌گردد. گاهی با یک نشت اطلاعاتی. گاهی به‌دست یک دادگاه ورشکستگی. گاهی به‌واسطه‌ی پیمانکار پشتیبانی‌ای که پول نقد به او پیشنهاد شده بود. 2026 سالی است که این موضوع از یک استدلال به یک پرونده‌ی مستند تبدیل شد، و این مقاله همان پرونده است.

KYC آزمون نیست، کپی‌ای است با ساعت نگهداری

مدل ذهنی که بیشتر مردم دارند، بازرسی در ورودی است: مدرک را نشان می‌دهید، نگهبان نگاه می‌کند، و وارد می‌شوید. اتفاقی که واقعاً می‌افتد، این نیست. مدرک عکسبرداری می‌شود، سلفی ذخیره می‌شود، آدرس ثبت می‌شود، و پرونده‌ی حاصل نگه داشته می‌شود.

نگه داشته می‌شود چون باید نگه داشته شود. بر اساس توصیه‌های FATF، کشورها باید نهادهای تحت نظارت را ملزم کنند سوابق شناسایی مشتری را دست‌کم پنج سال پس از پایان رابطه‌ی تجاری نگه دارند. مقررات مبارزه با پول‌شویی اتحادیه‌ی اروپا همین رقم را در یک قاعده‌ی الزام‌آور واحد گنجانده است: Article 77 AMLR یک دوره‌ی نگهداری پنج‌ساله‌ی یکسان تعیین می‌کند و سپس نهاد را موظف می‌سازد پس از پایان آن، داده‌های شخصی را حذف کند — این مقررات به‌طور کلی از 10 ژوئیه 2027 لازم‌الاجرا می‌شود. چند کشور عضو، هم‌اکنون در بالاترین سطح بازه‌ی مجاز قرار دارند: اسپانیا و لوکزامبورگ ده سال را الزامی می‌کنند، حال آنکه فرانسه و هلند پنج سال را اعمال می‌کنند.

اگر این را از زاویه‌ی کاربر بخوانید، دو پیامد بیرون می‌زند که هر دو خلاف شهود هستند.

نخست، بستن حساب شما، حذفی را آغاز نمی‌کند، بلکه یک ساعت را به‌کار می‌اندازد. آن پنج سال از پایان رابطه شمرده می‌شود، نه از روزی که مدرک را بارگذاری کردید. حذف اپلیکیشن هیچ‌چیز را تغییر نمی‌دهد.

دوم، حق پاک‌شدن، شامل آن نمی‌شود. ماده 17 GDPR در جایی که پردازش برای رعایت یک الزام قانونی ضروری باشد، عقب می‌نشیند، و نگهداری سوابق AML دقیقاً همین است. می‌توانید از یک صرافی بخواهید پروفایل بازاریابی شما را حذف کند. نمی‌توانید از آن بخواهید پرونده‌ی KYC را حذف کند، و اگر هم بخواهید، نمی‌تواند این کار را انجام دهد. این سرسختی صرافی نیست — طراحی سیستم است.

پس صادقانه‌ترین توصیف برای هر احراز هویتی که تابه‌حال انجام داده‌اید این است: کپی‌ای از مدارک هویتی شما، دست‌کم در یک پایگاه‌داده، برای حداقل پنج سال پس از آخرین استفاده‌تان از آن سرویس وجود دارد، و شما هیچ سازوکاری برای پس‌گرفتن آن ندارید. آنچه در ادامه می‌آید، درباره‌ی این است که آن کپی سرانجام دست چه کسان دیگری می‌افتد.

زنجیره بسیار طولانی‌تر از صرافی است

این همان بخشی است که تقریباً هیچ‌کس آن را درست مدل‌سازی نمی‌کند. وقتی نزد یک صرافی احراز هویت می‌کنید، فقط به یک شرکت اعتماد نکرده‌اید. به تأمین‌کننده‌ی احراز هویتی که بررسی را به او برون‌سپاری کرده، به پلتفرم صدور تیکتی که تیم پشتیبانی‌اش استفاده می‌کند، به ابزار تحلیلی که تیم رشدش به جدول مشتریان وصل کرده، و به پردازشگر تحویل یا پرداختی که سفارش‌های شما را انجام می‌دهد، نیز اعتماد کرده‌اید. هر یک از این‌ها شرکتی جداگانه با وضعیت امنیتی جداگانه است، و آن فهرست هرگز به شما نشان داده نشده.

2026 دقیقاً در همین لایه، رشته‌ای از شواهد را فراهم کرد. یک ردیاب عمومی از حوادث تأمین‌کنندگان احراز هویت چندین مورد را پشت سر هم ثبت کرده است.

Sumsub، یکی از بزرگ‌ترین تأمین‌کنندگان احراز هویت برای پلتفرم‌های ارز دیجیتال، در 4 فوریه 2026 نفوذی را افشا کرد که به ژوئیه 2024 بازمی‌گشت — و تنها در ژانویه 2026 کشف شد، یعنی حدود هجده ماه بدون شناسایی. نقطه‌ی ورود، یک پیوست مخرب بود که از طریق یک پلتفرم شخص‌ثالث صدور تیکت پشتیبانی ارسال شده بود. این شرکت اعلام می‌کند که به مدارک هویتی و داده‌های بیومتریک دسترسی پیدا نشده، و افشا فقط شامل نام‌ها به‌همراه بخشی از ایمیل‌ها و شماره‌تلفن‌هاست. حتی اگر این را عیناً بپذیریم، نکته‌ی ساختاری هم‌چنان پابرجاست: کاربران آسیب‌دیده با یک صرافی رابطه داشتند، نه با Sumsub، و هیچ راهی برای دانستن وجود این تأمین‌کننده نداشتند.

بنا به گزارش‌هایی در نوامبر 2025، IDmerit یک نمونه‌ی MongoDB ناامن و بدون رمزعبور را بی‌محافظت رها کرده بود که حدود یک میلیارد رکورد شخصی در 26 کشور را افشا می‌کرد — نام‌های کامل، آدرس‌ها، کدپستی‌ها، تاریخ تولد، شماره‌های شناسایی ملی، شماره‌تلفن‌ها و ایمیل‌ها. IDmerit اختلاف دارد که این داده‌ها متعلق به خودش بوده باشند، و این اختلاف هنوز حل‌نشده است؛ این مورد این‌جا به همان صورتی که گزارش شده آورده می‌شود، نه به‌عنوان واقعیتی قطعی. حتی با کنارگذاشتن این تردید، مجموعه‌داده‌ای با این شکل، همان چیزی است که یک صنعت KYC متمرکز، به‌عنوان حالت شکست خود تولید می‌کند.

AU10TIX اعتبارنامه‌های مدیریتی‌اش را بیش از یک سال به‌صورت افشا و آنلاین رها کرده بود — نفوذ در دسامبر 2022 رخ داد و در ژوئن 2024 کشف شد — که مدارک هویتی، نام‌ها، تاریخ تولد، ملیت‌ها و شماره‌های شناسایی را دربر می‌گرفت. Veriff حدود 18 نوامبر 2025 از دسترسی غیرمجاز خبر داد که در 10 دسامبر کشف شد و تصاویر مدارک هویتی دولتی، آدرس‌های پستی و تاریخ تولد حدود 8,583 مشتری از یک مشتری پایین‌دست را افشا کرد. Persona در فوریه 2026 کد منبع داشبوردش را روی یک باکت ابری عمومی رها کرد — نه داده‌ی کاربران، بلکه خود منطق احراز هویت را.

حساب ناخوشایند این است که تعداد طرف‌هایی که کپی‌ای از مدرک شما را نگه می‌دارند، یکی نیست. یکی است به‌علاوه‌ی هرچقدر تأمین‌کننده که آن طرف اول به‌کار برده، به‌علاوه‌ی هرچقدر که آن‌ها به‌کار برده‌اند. شما به مورد اول رضایت دادید. درباره‌ی بقیه از شما چیزی پرسیده نشد.

2026: سالی که نشت‌ها، پایگاه‌داده‌های ارسال سفارش بودند

حوادث خاص صنعت ارز دیجیتال در 2026 ویژگی‌ای مشترک دارند که آن‌ها را بدتر از یک دامپ رمزعبور می‌کند، و طول کشید تا این صنعت این را رک بگوید.

5 ژانویه 2026 — Ledger، از طریق Global-e. Ledger تأیید کرد که داده‌های مشتریان از طریق Global-e، بازرگان رسمی (merchant of record) شخص‌ثالثی که سفارش‌های بین‌المللی‌اش را انجام می‌دهد، افشا شده است. افشاشده: نام‌های کامل، آدرس‌های ارسال، آدرس‌های ایمیل، شماره‌تلفن‌ها و جزئیات سفارش. افشانشده: داده‌های پرداخت، recovery phrase‌ها، کلیدهای خصوصی، پین‌ها. سامانه‌های خود Ledger نفوذ نشدند — برای دومین بار، این شرکت از طریق یک همکار، نه محصول خودش، آسیب دید.

16 اوت 2026 — سه مورد هم‌زمان، که دو تای آن‌ها از یک باگ مشترک بودند. گزارش‌هایی درباره‌ی این خوشه جزئیات را شرح می‌دهند:

• Trezor، از طریق ارائه‌دهنده‌ی خدمات ارسال ShipMonk — 13,689 مشتری (11,742 نفر با افشای کامل، 1,947 نفر با افشای جزئی)، نام‌ها، ایمیل‌ها، شماره‌تلفن‌ها و آدرس‌های ارسال، شامل سفارش‌هایی که میان 10 می تا 8 اوت 2026 ارسال شده بودند. علت ریشه‌ای: CVE-2026-72898، یک نقص تزریق SQL در Metabase.

• SafePal — 39,798 مشتری، نام‌ها، ایمیل‌ها، شماره‌تلفن‌ها، آدرس‌های ارسال و جزئیات خرید، شامل سفارش‌هایی از 2 مارس 2025 تا 11 آوریل 2026. علت ریشه‌ای: یک آسیب‌پذیری مجوزدهی در یک افزونه‌ی شخص‌ثالث پیگیری سفارش.

• Bits of Gold، بزرگ‌ترین کارگزار ارز دیجیتال تحت نظارت اسرائیل — حدود 200,000 مشتری، و سنگین‌ترین محموله‌ی داده از میان این سه: نام‌ها، شماره‌های هویت ملی اسرائیلی، ایمیل‌ها، شماره‌تلفن‌ها، آدرس‌های IP، اطلاعات حساب بانکی و آدرس‌های عمومی کیف‌پول. همان CVE، همان نقص Metabase، که ظرف چند روز پس از کشف افشا شد. این شرکت می‌گوید هیچ وجه، کلید خصوصی، رمزعبور یا مدرک هویتی اسکن‌شده‌ای افشا نشده است.

253,487 مشتری در یک روز واحد، در سه شرکت، عمدتاً از طریق یک ابزار تحلیلی وصله‌نشده. هیچ‌کدام از این سه، در محصول اصلی خود نفوذ نشدند. هر سه، از طریق چیزی که به آن پیوند خورده بود، آسیب دیدند.

حالا این محموله‌های داده را کنار هم بگذارید. رمزعبور لو‌رفته‌ی یک صرافی مزاحمتی است که با تعویضش رفع می‌شود. اما یک آدرس ارسال لو‌رفته که به خرید یک کیف‌پول سخت‌افزاری متصل است، اعلامیه‌ای دائمی است مبنی بر اینکه فردی مشخص، در آدرسی مشخص، ارز دیجیتالی را که خودش نگه می‌دارد در اختیار دارد. خانه‌ی خود را نمی‌توانید تعویض کنید. و یک آدرس کیف‌پول لو‌رفته که به یک نام حقوقی و یک حساب بانکی متصل است — محموله‌ی Bits of Gold — مرز میان یک دفتر کل عمومی و یک هویت خصوصی را در یک فایل از بین می‌برد.

می 2025 — Coinbase، و مسیر نفوذ از درون (insider). ارزش گنجاندن دارد چون روشن‌ترین نمونه از حالت شکستی است که هیچ میزانی از مهندسی جلویش را نمی‌گیرد. پیمانکاران پشتیبانی مشتری برون‌مرزی، که پول نقد به آن‌ها پیشنهاد شده بود، از 26 دسامبر 2024 کپی‌برداری از داده‌ها را آغاز کردند. این کار در 11 می 2025 کشف شد — همان روزی که ایمیل اخاذی از راه رسید و 20 میلیون دلار طلب کرد. Coinbase از پرداخت خودداری کرد و در عوض جایزه‌ای همسنگ به مبلغ 20 میلیون دلار پیشنهاد داد، که تصمیم درستی است و هیچ کمکی به کسانی که پرونده‌شان از قبل کپی شده بود نمی‌کند. اعلامیه‌ی نشتی که نزد دادستان کل ایالت Maine ثبت شده، شمار را 69,461 نفر اعلام می‌کند. مجموعه‌ی افشاشده: نام‌ها، آدرس‌ها، شماره‌تلفن‌ها، آدرس‌های ایمیل، شماره‌های تأمین اجتماعی ماسک‌شده، شماره‌های حساب بانکی ماسک‌شده، برخی شناسه‌های حساب بانکی، داده‌های حساب، و تصاویر مدارک هویتی صادرشده از سوی دولت. برآوردهای شرکت برای جبران خسارت، میان 180 تا 400 میلیون دلار بود.

همین رقم آخر است که باید در ذهن نگه داشت. Coinbase شرکتی آمریکایی و پذیرفته‌شده در بورس است با بودجه‌ی امنیتی‌ای بزرگ‌تر از درآمد بیشتر رقبایش، و در همان لایه‌ی KYC اجباری قرار دارد که دو خط پایه‌ی مقایسه‌ای ما، Kraken و Binance، در آن جای دارند. متغیر این‌جا این بود که آن داده در ابزار پشتیبانی‌ای وجود داشت که می‌شد به یک انسان پول داد تا آن را باز کند.

مدل تهدید، از حساب بانکی شما به در خانه‌تان منتقل شد

برای یک دهه، پاسخ استاندارد این سؤال که «خب که چه، اگر داده‌های KYC من لو برود» این بود: سرقت هویت و فیشینگ — مزاحم، بیمه‌پذیر، قابل‌تحمل. در 2026 این پاسخ دیگر کافی نبود.

گزارش حملات آچاری نیمه‌ی نخست 2026 از CertiK — «حمله‌ی آچاری» (wrench attack) اصطلاحی رایج در این صنعت است برای استخراج کلیدها از یک فرد با اجبار فیزیکی، به‌جای استخراج آن‌ها از یک سامانه با اکسپلویت — 52 حادثه‌ی تأییدشده در نیمه‌ی نخست 2026، در برابر 39 مورد در نیمه‌ی نخست 2025 را مستند می‌کند، افزایشی 33%. میزان افشای مالی ثبت‌شده از 10.5 میلیون دلار به 124.1 میلیون رسید، افزایشی نزدیک به دوازده برابر.

• حملات به منزل (home invasion)، از یک مورد در نیمه‌ی نخست 2025 به بیست مورد در نیمه‌ی نخست 2026 رسید، حدود 41% از کل موارد.

• آدم‌ربایی از 12 به 16 مورد رسید. شکنجه در عدد 4 و قتل در عدد 1 ثابت ماند.

• اروپا 39 مورد از 52 حادثه را به خود اختصاص داد، و فقط فرانسه مسئول 33 مورد آن بود — 63.5% از کل جهانی.

حمله به منزل، به یک آدرس منزل نیاز دارد. بیست مورد از آن، در شش ماه، در دسته‌ای که سال پیش از آن فقط یک مورد داشت.

پیوند میان داده‌های تجاری لو‌رفته و خطر فیزیکی، تازه نیست، و نمونه‌ی الگویش به‌خوبی مستند است. نشت تجارت الکترونیک ژوئیه‌ی 2020 در Ledger، حدود یک میلیون آدرس ایمیل و 272,000 رکورد شامل نام‌ها، شماره‌تلفن‌ها و آدرس‌های منزل را افشا کرد — مجموعه‌داده‌ای که هنوز هم به‌طور عمومی مستند شده است. آنچه در پی آمد، کلاهبرداری کارت اعتباری نبود. ایمیل‌های اخاذی بود که 700 تا 1,000 دلار Bitcoin طلب می‌کردند و تهدیدهایی صریح نسبت به منزل گیرنده در آن‌ها بود، و در 2021، دستگاه‌های «جایگزین» دستکاری‌شده‌ی فیزیکی که به آدرس‌های موجود در آن دامپ پست شده بودند، در بسته‌بندی سلفونی کارخانه‌ای و همراه با سربرگ جعلی‌ای که قربانی را وادار می‌کرد recovery phrase خود را در سخت‌افزار دستکاری‌شده وارد کند.

این همان سازوکار است، و 2026 داده‌های ورودی آن را به‌روز کرد. پایگاه‌داده‌ی ارسال کیف‌پول سخت‌افزاری، بنا به ساختارش، فهرستی از افرادی است که دارایی‌شان را خودشان نگه می‌دارند، پالایش‌شده برای کسانی که آن‌قدر اهمیت داده‌اند که یک دستگاه بخرند، با آدرس تحویل‌شان ضمیمه. در این صنعت، هدف‌گیری مؤثرتری از این فهرست وجود ندارد، و امسال سه مورد آن لو رفت.

خواندن متناسب این آمار، این‌جا اهمیت دارد، و ما آن را بزرگ‌نمایی نمی‌کنیم: 52 حادثه در سطح جهانی، رقم کوچکی است در برابر ده‌ها میلیون دارنده، و مواجهه‌ی واقع‌بینانه‌ی خواننده‌ی معمولی، اسپم اخاذی است، نه حمله به منزل. اما جهت روند، جهت اشتباهی است، تمرکز در یک کشور چشمگیر است، و ورودی آن دقیقاً همان دسته‌داده‌ای است که هم‌چنان لو می‌رود.

ورشکستگی چیزی را منتشر می‌کند که هیچ هکری مجبور به دزدیدنش نبود

مسیر افشایی وجود دارد که اصلاً هیچ مهاجمی در آن دخیل نیست، و تقریباً هیچ‌کس برایش برنامه‌ریزی نمی‌کند.

وقتی Celsius در 5 اکتبر 2022 افشای مالی خود را ثبت کرد، سندی 14,500 صفحه‌ای وارد پرونده‌ی عمومی دادگاه شد که نام‌های مشتریان را در کنار نوع، مبلغ و تاریخ تراکنش‌هایشان حمل می‌کرد — و بنا به شمارش رسانه‌ها در آن زمان، بیش از 600,000 کاربر را دربر می‌گرفت. آدرس‌های منزل حذف شده بودند. نام‌ها نه. Celsius از دادگاه خواست آن‌ها را محرمانه نگه دارد و قاضی بارها این درخواست را رد کرد، به این دلیل کاملاً معمول که هویت طلبکاران در پرونده‌های ورشکستگی، عمومی است.

اثر درجه‌دوم است که باید نگران یک دارنده‌ی ارز دیجیتال کند. نامی که در کنار مبلغ تاریخ‌دار یک تراکنش منتشر شود، کلید تطبیقی است. هرکس که بخواهد این کار را انجام دهد، می‌تواند آن مبالغ تاریخ‌دار را در برابر فعالیت روی زنجیره ردیف کند و یک نام حقوقی را به کیف‌پول‌هایی متصل کند که هرگز به نامی وصل نبودند. ورشکستگی یک پلتفرم نگهدارنده، تاریخچه‌ی زنجیره‌ای کاربرانش را برای همیشه، از در اصلی، در پرونده‌ای که قرار بود روتین باشد، از حالت ناشناس خارج کرد.

نه اکسپلویتی. نه درخواست باجی. نه تأمین‌کننده‌ای مقصر. فقط شرکتی که داده‌های هویتی نگه می‌داشت و بعد پولش تمام شد — رایج‌ترین رویداد منفرد در تاریخ این صنعت.

این مقاله چه می‌گوید، و چه نمی‌گوید

این مقاله نمی‌گوید که صرافی‌ها سهل‌انگارند. پرونده‌ها را دوباره بخوانید: Coinbase از پرداخت باج خودداری کرد و علناً افشا کرد. Bits of Gold و Trezor ظرف چند روز پس از کشف افشا کردند. زیرساخت خود Ledger نه در 2020 و نه در 2026 نفوذ نشد؛ در هر دو مورد زیرساخت یک همکار بود که نفوذ شد. این‌ها تا حد زیادی سازمان‌هایی شایسته با تیم‌های امنیتی واقعی هستند، و بااین‌حال داده‌ها لو رفت.

این مقاله نمی‌گوید که KYC هیچ کارکردی ندارد، و نمی‌گوید که اجتناب از آن، کسی را از هیچ‌چیز معاف می‌کند. تعهدات مالیاتی، یک نظام حقوقی جداگانه‌اند که در هر صورت اعمال می‌شوند — نکته‌ای که در راهنمای فروش مطرح کرده‌ایم و این‌جا هم تکرار می‌کنیم.

آنچه این مقاله می‌گوید محدودتر است و، به نظر ما، رد کردنش دشوار است. تنها متغیری که کاربر کنترلش را دارد، این است که آیا اصلاً پرونده‌ای ساخته شده یا نه. به‌محض آنکه پرونده‌ای وجود داشته باشد، سرنوشتش از دست شما خارج است: ممکن است در همان سرویس نشت کند، نزد تأمین‌کننده‌ای که هرگز نامش را نشنیده‌اید نشت کند، توسط پیمانکاری رشوه‌گرفته کپی شود، توسط یک دادگاه ورشکستگی منتشر شود، یا صرفاً پنج تا ده سال نگه داشته شود، مدتی که برای وقوع هر یک از این‌ها کافی است. داده‌ای که هرگز گردآوری نشده، هیچ‌کدام از این حالت‌های شکست را ندارد. این یک شعار حریم خصوصی نیست، کل استدلال همین است، و هر حادثه‌ای که در بالا گفته شد، نمونه‌ای از همین است.

«بدون گردآوری داده» واقعاً یعنی چه

این‌جا همان‌جایی است که انتزاع به یک فهرست تبدیل می‌شود. از میان 28 سرویسی که فهرست می‌کنیم، 13 مورد اصلاً به ثبت‌نام نیاز ندارند و 11 مورد به یک آدرس ایمیل نیاز دارند — و تفاوت میان این دو ستون، دقیقاً همان تفاوت میان شرکتی است که می‌تواند هویت شما را لو بدهد و شرکتی که هیچ‌چیزی برای لو‌دادن ندارد.

بخش آموزنده، طراحی اعتبارنامه است، چون چند تا از این سرویس‌ها مسئله‌ای را حل کرده‌اند که جریان اصلی آن را حل‌نشدنی می‌داند: چگونه می‌توان سامانه‌ی حسابی را اداره کرد که هیچ هویتی در آن نیست؟

ServPrivate، پرامتیازترین ورودی این فهرست با 9.7/10، در اولین پرداخت یک توکن 16 کاراکتری صادر می‌کند و همان توکن، تنها اعتبارنامه در طول عمر حساب است — بدون نام، بدون ایمیل، بدون تلفن، بدون آدرس بازنشانی رمزعبور. پیامد این کار، ساختاری است نه وعده‌ای: هیچ شناسه‌ی جایگزینی وجود ندارد که اپراتور مجبور به ارائه‌ی آن شود، چون هرگز چنین چیزی ساخته نشده.

Mullvad با 9.4/10 همین کار را با یک شماره‌حساب 16 رقمی و بس انجام می‌دهد، و ادعای آن درباره‌ی بدون لاگ بودن، به آن فهرست بسیار کوتاهی تعلق دارد که آزموده شده، نه صرفاً ادعا شده — یورش پلیس سوئد در 2023 هیچ داده‌ی مشتری‌ای برای ضبط پیدا نکرد. IVPN با 9.3/10، دوقلوی نزدیک آن از جبل‌الطارق است، با شش ممیزی سالانه‌ی پیاپی Cure53 درباره‌ی بدون‌لاگ‌بودن که به‌طور کامل منتشر شده‌اند؛ مقایسه‌ی رودررو این تفاوت‌ها را پوشش می‌دهد.

SMSBurner با 9.6/10 حتی فراتر می‌رود: سرور یک seed phrase 16 کاراکتری تولید می‌کند و همان seed، حساب است — بدون ایمیل، بدون رمزعبور، بدون نام‌کاربری و بدون فرآیند بازیابی، که هزینه‌ای واقعی است و صادقانه قیمت‌گذاری شده. MoneroSMS با 6.9/10 جایگزین متمرکز بر Monero است با یک آینه‌ی onion. هر دو به یک دلیل اهمیت دارند: شماره‌تلفنی که به خط اپراتور شما وصل است، همان شناسه‌ای است که از هر احتیاط دیگری که به‌کار می‌برید جان سالم به‌در می‌برد، و همان چیزی است که هدف SIM-swap قرار می‌گیرد.

GrabMail با 6.9/10 اصلاً هیچ حسابی ندارد — بدون ایمیل، بدون رمزعبور، بدون پرداخت، بدون کوکی — و هر پیام را پس از پنج روز حذف می‌کند. درباره‌ی این مصالحه صادق است: در یک دامنه‌ی مشترک، آدرس تنها راز موجود است، پس برای دریافت یک کد تأیید، لوله‌کشی عالی‌ای است و برای هرچیزی که برایتان مهم است غریبه‌ای نخواندش، ابزار نادرستی است. SimpleLogin با 7.5/10 مصالحه‌ی معکوس را دارد — به یک ایمیل حساب نیاز دارد، و به همین دلیل در لایه‌ی محتاطانه (L2) جای می‌گیرد — اما در همه‌ی لایه‌ها متن‌باز است، در 2022 توسط Securitum ممیزی شده، و به شما یک نام مستعار به‌ازای هر سرویس می‌دهد.

و در کف نردبان، Bisq با 8.7/10 و BasicSwap با 9.1/10، تنها دو ورودی بدون نیاز به اعتماد (L0) در این فهرست‌اند — هیچ شرکتی وجوه را نگه نمی‌دارد، هیچ شرکتی حسابی را نگه نمی‌دارد، و در نتیجه هیچ جدول مشتری‌ای وجود ندارد که نشت کند، احضاریه بگیرد یا در یک انحلال فروخته شود. این همان چیزی است که رأس نردبان KYC ما آن را می‌سنجد، و این مقاله دلیل این است که آن نردبان به همین شکل طراحی شده: L0 چیزی برای لو‌دادن ندارد، L1 یک سیاست دارد، L5 یک پرونده دارد.

یک محدودیت صادقانه، چون دقیقاً همان محدودیتی است که نشت‌های 2026 از آن سوءاستفاده کردند. بدون ثبت‌نام بودن به معنای بدون ردپا بودن نیست، وقتی یک شیء فیزیکی باید تحویل داده شود. ارسال یک کیف‌پول سخت‌افزاری، یک آدرس می‌سازد، و همان آدرس است که در Ledger، Trezor و SafePal لو رفت — نه KYC آن‌ها، که عمدتاً اصلاً گردآوری نمی‌کنند. راهنمای خرج‌کردن ما مسئله‌ی تحویل را با جزئیات بیشتری پوشش می‌دهد؛ نسخه‌ی کوتاهش این است که قوی‌ترین دسته‌های بدون KYC، همان‌هایی هستند که چیزی برای ارسال ندارند.

اگر پیش‌تر احراز هویت کرده‌اید، چه باید کرد

بیشتر خوانندگان این کار را کرده‌اند. پرسش واقع‌بینانه این نیست که چگونه آن را برگردانید — که نمی‌توانید — بلکه این است که پس از آن، چه چیزی هنوز اثر دارد.

• بپذیرید که این کپی، فعلاً دائمی است. ساعت نگهداری AML، پنج سال پس از آخرین تراکنش شما کار می‌کند، و در برخی حوزه‌های قضایی ده سال، و هیچ درخواست حذفی نمی‌تواند آن را باطل کند. برنامه‌ریزی‌تان را حول وجود آن پرونده انجام دهید، نه حذف آن.

• از تکرار یک شناسه در سرویس‌های مختلف دست بکشید. یک آدرس ایمیل واحد در ده پلتفرم یعنی یک نشت، برای تطبیق هر ده مورد کافی است. یک نام مستعار به‌ازای هر سرویس هر نشت را قابل انتساب به منبعش و به‌طور جداگانه قابل لغو می‌کند — ارزان‌ترین بهبود ساختاری در این فهرست.

• شماره‌ی اپراتور خود را از این چرخه بیرون بکشید. این همان شناسه‌ای است که حملات SIM-swap را لنگر می‌اندازد و از هر تغییر دیگری جان سالم به‌در می‌برد؛ دسته‌ی SMS درست برای همین وجود دارد.

• اگر جایگزینی دارید، هرگز هیچ‌چیز مرتبط با ارز دیجیتال را به منزل خود ارسال نکنید. این درس مشخص و مستند 2026 است، نه یک توصیه‌ی کلی. یک صندوق پستی بسته‌بندی یا یک نقطه‌ی تحویل، هزینه‌ای ندارد و آدرس شما را از پایگاه‌داده‌ی سفارش بعدی‌ای که لو می‌رود، حذف می‌کند.

• دارایی‌های خود را در هیچ‌جایی که با یک آدرس جفت می‌شود، تأیید نکنید. تیکت‌های پشتیبانی، ثبت گارانتی، فرم‌های قرعه‌کشی و پروفایل‌های فروم، همگی جاهایی هستند که مردم داوطلبانه همان ترکیبی را ارائه می‌دهند که در غیر این صورت، یک نشت باید آن را جمع‌آوری می‌کرد.

• موجودی متصل به KYC را با موجودی خصوصی یکی نکنید. تراکنشی که چند ورودی را هم‌زمان خرج می‌کند، اعلام می‌کند که یک نهاد واحد کنترل همه‌ی آن‌ها را داشته، برای همیشه و به‌طور عمومی — ادغام یک تاریخچه‌ی تأییدشده در یک انباشته‌ی تأییدنشده، برگشت‌ناپذیر است، و آن را در راهنمای خرید پوشش داده‌ایم.

• ایمیل‌های اخاذی را اسپم کالایی در نظر بگیرید. ایمیل‌هایی که پس از یک نشت ادعای آگاهی دقیق از دارایی‌های شما را دارند، عمدتاً به‌صورت انبوه و از یک فهرست لو‌رفته ارسال می‌شوند. در اختیار داشتن آدرس شما، به‌معنای در اختیار داشتن کلیدهایتان نیست.

• مورد بعدی را جابه‌جا کنید، نه مورد قبلی را. نمی‌توانید احراز هویت قبلی را لغو کنید. اما می‌توانید کاری کنید که سرویس بعدی‌ای که در آن ثبت‌نام می‌کنید، سرویسی باشد که هرگز چیزی نمی‌پرسد — که بنا به شواهد بالا، تنها گامی است که چیزی را به‌طور ساختاری تغییر می‌دهد.

پرسش‌های متداول

آیا می‌توانم صرافی را وادار به حذف داده‌های KYC خود کنم؟

به‌طور کلی نه، و نه به این دلیل که صرافی امتناع می‌کند. نگهداری سوابق AML یک الزام قانونی است، و حق پاک‌شدن GDPR در جایی که پردازش برای رعایت یک الزام قانونی ضروری باشد، عقب می‌نشیند. طبق Article 77 AMLR، دوره‌ی نگهداری پنج سال از پایان رابطه است، که پس از آن حذف اجباری می‌شود، نه اختیاری — اما در طول آن سال‌ها، درخواست شما هیچ اثر قانونی‌ای ندارد. معمولاً می‌توانید پروفایل‌های بازاریابی و تحلیلی را حذف کنید؛ پرونده‌ی هویتی، دسته‌ای متفاوت است.

اگر خود صرافی هرگز هک نشود، آیا مدرک هویتی من امن است؟

پرونده‌ی 2026 می‌گوید این پرسش نادرستی است. Ledger، Trezor، SafePal و Bits of Gold، همگی از طریق اشخاص ثالث آسیب دیدند — یک بازرگان رسمی، یک ارائه‌دهنده‌ی خدمات ارسال، یک افزونه‌ی پیگیری سفارش و یک ابزار تحلیلی. Coinbase از طریق پیمانکاران پشتیبانی آسیب دید. در هیچ‌کدام از این موارد، محصول اصلی شرکت نفوذ نشد. میزان افشای شما، اجتماع همه‌ی تأمین‌کنندگان این زنجیره است، و آن فهرست هرگز به شما نشان داده نمی‌شود.

کدام پرریسک‌تر است، صرافی یا تأمین‌کننده‌ی احراز هویت؟

تأمین‌کننده، هدفی با اهرم بالاتر است، چون داده‌ها را متمرکز می‌کند. نشت یک صرافی، کاربران همان صرافی را افشا می‌کند؛ نشت یک تأمین‌کننده‌ی احراز هویت، به‌طور بالقوه هر پلتفرمی را که بررسی‌هایش را به او برون‌سپاری کرده، لمس می‌کند. این همان نگرانی ساختاری‌ای است که افشای Sumsub در فوریه‌ی 2026 مطرح کرد، فارغ از اینکه آن افشای خاص در نهایت چقدر محدود از آب دربیاید، و همین است که یک دامپ هویتی گزارش‌شده در حد یک میلیارد رکورد را به‌شکلی باورپذیر می‌کند که یک صرافی با یک میلیارد کاربر هرگز نمی‌تواند باشد.

آیا نشت اطلاعات KYC، دارایی‌های من را در خطر می‌اندازد؟

نه مستقیم — داده‌های هویتی لو‌رفته، وجوه را جابه‌جا نمی‌کنند، و هیچ‌کدام از حوادث 2026، کلیدهای خصوصی یا recovery phraseها را افشا نکردند. ریسک، غیرمستقیم است اما واقعی است: فیشینگ هدفمندی که نام واقعی و تاریخچه‌ی خرید شما را می‌داند، تلاش‌های SIM-swap علیه یک شماره‌تلفن شناخته‌شده، سخت‌افزار دستکاری‌شده‌ای که به آدرسی شناخته‌شده پست می‌شود، و در حد افراطی، دسته‌ی اجبار فیزیکی‌ای که CertiK اندازه‌گیری کرد و سال‌به‌سال 33% رشد داشته است.

چرا خریداران کیف‌پول سخت‌افزاری در 2026 به‌طور ویژه هدف قرار گرفتند؟

چون پایگاه‌داده‌ی ارسال کیف‌پول سخت‌افزاری، باکیفیت‌ترین فهرست هدف‌گیری در این صنعت است. هر ردیف آن، فردی است که دارایی‌اش را خودش نگه می‌دارد، که آن‌قدر اهمیت داده که یک دستگاه اختصاصی بخرد، با یک آدرس تحویل تأییدشده‌ی ضمیمه. طنز، دقیق است: همان خریدی که سکه‌های شما را از ریسک یک نگهدارنده خارج می‌کند، همان خریدی است که آدرس شما را در پایگاه‌داده‌ی یک فروشنده قرار می‌دهد.

آیا اجتناب از KYC فقط برای کسانی است که چیزی برای پنهان‌کردن دارند؟

آن 52 نفری که در شمارش نیمه‌ی نخست 2026 CertiK بودند، چیزی را پنهان نمی‌کردند. آن‌ها قابل‌شناسایی بودند، و کسی می‌دانست کجا زندگی می‌کنند. استدلال برای به‌حداقل‌رساندن پرونده، همان استدلال عدم انتشار موجودی حساب بانکی‌تان است: نه پنهان‌کاری، بلکه این قضاوت معمولی که داده‌ای که گردآوری نشده، نمی‌تواند لو برود، احضاریه بگیرد، در یک ورشکستگی فروخته شود، یا برای پیداکردن شما استفاده شود. تعهدات قانونی — در وهله‌ی نخست مالیات — در هر صورت بدون تغییر باقی می‌مانند.

مؤثرترین تغییری که می‌توانم اعمال کنم، چیست؟

ارسال سخت‌افزار ارز دیجیتال به آدرس منزل خود را متوقف کنید، و برای هر سرویس از یک نام مستعار ایمیل متمایز استفاده کنید. این دو کار هیچ هزینه‌ای ندارند، به هیچ مهارت فنی‌ای نیاز ندارند، و دقیقاً همان دو دسته‌داده‌ای را هدف می‌گیرند که در 2026 واقعاً لو رفتند. هرچیز دیگری در این فهرست، یک بهبود جزئی است.

آیا استفاده از VPN من را در برابر این موضوع محافظت می‌کند؟

از آدرس IP محافظت می‌کند، که دستاوردی واقعی است — نشت Bits of Gold شامل آدرس‌های IP هم می‌شد، و IVPN و Mullvad دقیقاً به همین دلیل در این فهرست هستند که از همان ابتدا هیچ‌چیزی گردآوری نمی‌کنند که لو برود. اما هیچ کاری درباره‌ی مدرکی که از قبل بارگذاری کرده‌اید یا آدرسی که از قبل به یک پیک داده‌اید، انجام نمی‌دهد. گردآوری داده را حل کنید؛ VPN فقط بهداشتی است که روی آن لایه می‌شود.

نتیجه‌ی نهایی

مفیدترین چیزی که این پرونده نشان می‌دهد این است که توصیه‌های معمول، لایه‌ی نادرستی را نشانه گرفته‌اند. انتخاب یک صرافی معتبر، فعال‌کردن تأیید دومرحله‌ای سخت‌افزاری، و استفاده از رمزعبور قوی، همگی ارزش انجام‌دادن دارند، و هیچ‌کدامشان حتی به یک نفر در هیچ‌یک از حوادث بالا کمکی نمی‌کرد. داده‌های آن‌ها از طریق یک ارائه‌دهنده‌ی خدمات ارسال، یک ابزار تحلیلی، یک پیمانکار رشوه‌گرفته و یک پرونده‌ی ورشکستگی لو رفت.

دو چیز، فراتر از هر سرویسی که این‌جا نام برده شد، تعمیم می‌یابند. تعداد طرف‌هایی که مدارک هویتی شما را نگه می‌دارند، برایتان نامعلوم است، و هرگز یکی نیست — زنجیره‌ی تأمین‌کنندگان، بنا به ساختارش نامرئی است، و دقیقاً همان‌جایی است که نشت‌های 2026 واقعاً رخ دادند. و نگهداری یعنی پنجره‌ی افشا، از خود رابطه هم بیشتر عمر می‌کند: آن پرونده دست‌کم پنج سال بیشتر از حساب زنده می‌ماند، زمانی کاملاً کافی برای اینکه یک شرکت خریداری شود، نفوذ شود، یا تعطیل شود.

در برابر این، تنها کنترل پایدار، بالادست همه‌ی این‌هاست. پرونده‌ای که هرگز ساخته نشده، نمی‌تواند توسط تأمین‌کننده‌ای که هرگز نامش را نشنیده‌اید لو برود، نمی‌تواند توسط پیمانکاری که پول نقد پیشنهاد گرفته کپی شود، و نمی‌تواند در پرونده‌ی دادگاهی توسط شرکتی که پولش تمام شده، ثبت شود. این کل رسالت این سایت است، و امسال شواهدش را نوشت.

این یک تحلیل تحریریه‌ای است، نه مشاوره‌ی حقوقی، امنیتی یا مالی.