档案 019 · 平台风险
交易所要上传身份证和刷脸，信息会不会泄露
会。至少有一起是公司自己在公告里承认的，另一起至今说法不一。但「泄露」和「你因此损失钱」之间还隔着好几步，其中最关键的那一步掌握在你自己手里。
注册流程走到这一步容易停下来：邮箱、密码都填完了，页面跳出「身份认证」，要你拍证件正反面，再对着前置摄像头眨眼、转头。手指停在那儿，心里冒出的如果是这一句——这些东西交出去，会不会哪天出现在别人手里？——这篇就是写给你的。
这个担心不是多虑。
交易所的实名资料确实发生过泄露：Coinbase 2025 年的公告写明，是被收买的境外客服人员调取了客户资料，而不是被黑客正面攻破；另一起 2019 年的疑似流出事件，各方说法不一、没有定论。资料泄露本身不会直接动你账上的钱；真正造成损失的，通常是有人拿着这些资料冒充平台来找你，而你照做了。所以防线分两段：上传前控制交给谁、从哪交；泄露后不给冒充者第二次机会。
平台为什么非要这些
正规交易所要求实名，主要不是为了「了解你」，而是它自己躲不开反洗钱义务。多数国家和地区把加密资产服务商纳入反洗钱监管，要求核实客户身份、留存资料、对可疑交易做报告。这套流程行业里叫 KYC（了解你的客户），银行开户、证券开户做的是同一件事。
换句话说，一家主动告诉你「不用实名、不用刷脸也能大额充提」的平台，并不是更尊重你的隐私，而是更可能处在监管之外——这一点在还没开户就会遇到的骗局里也是破绽之一。
一起已确认，一起没有定论
| 事件 | 公开说法 | 值得记住的点 |
|---|---|---|
| 2019 年 8 月，疑似币安用户认证照片流出 | 据界面新闻 2019-08-07 报道，网上出现大量手持证件和写有「Binance」字样纸张的照片，涉及多国用户，报道称其中包括中国居民身份证持有者。平台回应称正在调查，并表示流传的资料与其系统内信息不符、缺少内部电子水印。 | 各方说法不一，真相没有定论。但它说明认证照片一旦经过多人、多个环节处理，外流就不只是理论上的风险。 |
| 2025 年 5 月，Coinbase 客服人员被收买 | 公司在提交给美国证监会的公告里写明：美国境外做客服工作的人员被人花钱收买，调取了部分客户的姓名、地址、电话、邮箱、遮蔽过的银行账号、证件图片、账户余额和交易记录；公告称密码、私钥和客户资金没有被取得。 | 拿走资料的人本来就有查看权限。平台再大，也挡不住「有权限的人被收买」这一类事。 |
两件事都在 2026 年 9 月核对过原始报道与公告，这里只转述文件里写明的内容，不替任何一方下结论。
漏出去之后，真正伤人的是哪一步
想象一份被倒卖的名单，每一行是：名字、手机号、在哪家平台有账户、余额大概多少。
拿到这份名单的人不需要你的密码。他打电话过来，准确报出你的名字、你用的平台，甚至你最近的一笔交易，然后说「系统检测到你的账户有异常登录，为保护资金，请把币转到我们提供的安全地址」。前面的细节全对，你很难不信。
Coinbase 那份公告里，公司表示打算补偿的，恰恰就是被冒充者骗着把钱转出去的客户。资料本身没有动你的余额，动余额的是后面那通电话。
任何人——不管报出多少你的真实信息——让你「把资产转到安全地址」、让你报验证码、让你装远程协助软件，一律挂断。正规平台处理账户风险的办法是冻结或限制，而不是请你自己转走。对方知道得越多，越该警惕，而不是越该放心。
能改的和改不了的
这是证件信息和密码最大的差别，也是这种不安的真正来源：
- 密码、验证器、绑定邮箱，泄露了可以换。
- 身份证号、人脸、住址，基本换不了。人脸更是一辈子就这一张。
中国的《个人信息保护法》第二十八条把生物识别、金融账户等信息列为敏感个人信息，处理要求更严。但也要看到另一面：如果你用的交易所在境外注册，境内又对虚拟货币相关业务整体持禁止态度（背景见买虚拟货币犯法吗），两头叠在一起，真出了泄露，想在国内依这部法律去追一家境外平台，现实中能走通的路很窄。这不是劝你别做，而是说别把「法律会保护我」当成放心交资料的理由，防备得自己做。
上传之前，你能控制的五件事
- 只在自己打开的官方 App 或书签网址里做认证。冒充平台的「补充认证」「重新认证」短信和邮件很常见，点进去的页面长得一模一样，收集的正是证件和人脸。入口怎么核，可以对照官方渠道核对清单一项项过。
- 证件照只进认证页面，不进聊天框。正规平台的客服不会让你在微信、Telegram 或邮件里发身份证正反面，更不会要一张「手持身份证加手写日期」的照片发给个人。谁这么要求，就在那一刻停下。
- 不替别人认证，也不把身份借给别人认证。「帮忙刷个脸，给你几百块」听着无害，可账户从此挂在你名下，里面走过的钱是谁的、干不干净，你完全不知道。资金被追查时最先找的是账户主人，这和冻卡那一篇讲的是同一条链条。
- 认证完，把相册里专门拍的证件照删掉，连「最近删除」一起清。相册同步到云端、手机借给别人、换机转移数据，都是比平台泄露更家常的外流路径。
- 认证前花几分钟看隐私政策里的两处：资料会不会交给第三方服务商处理、保存多久。你改变不了它，但至少知道自己同意的是什么。
水印要不要加？我的取舍是：交易所认证这一步不加。审核通常要求证件完整清晰，加了字可能被退回重拍；而且对「有权限的内部人员直接看原图」这种风险，水印也无能为力。它留给线下复印件和各种小商家更有用。
听说自己用的平台泄露了
先别急着注销——注销挡不住已经流出去的东西，还可能让你错过平台的正式通知。按这个顺序来：
- 只在自己打开的 App 里看公告，不点短信、邮件、群里转发的「泄露自查」链接。泄露消息出来以后，要防着有人借机发冒充平台的钓鱼链接。
- 把账户安全设置补齐：换一个没在别处用过的密码，二次验证改用验证器 App 而不是短信，打开提币地址白名单。设置位置在注册与核对那一篇里写过。
- 给自己和家人打个招呼：接下来一段时间，凡是自称平台、自称警方、自称能「帮你追回损失」的来电，一概先挂断，再自己去查官方渠道。
- 留意手机卡被人补办。如果手机突然没了信号，或收到补卡、换卡之类的运营商短信而你没办过，马上联系运营商——有人可能正拿你的证件信息补办手机卡，用来接收验证码。
如果已经把钱转出去了，别再找任何「追回团队」，按出事之后的行动清单走。
那还认证不认证
这件事没有两全的答案。不想交证件和人脸，就等于不用正规平台；而绕开实名的那些路子——私下转账买币、来路不明的小平台——省掉的是一次上传，换来的是资金来源说不清、出事没人可找。对刚开始的人，后者通常更直接，也更难收拾。
所以要问自己的，与其说是「会不会泄露」，不如说是：这些资料交出去就收不回，我接不接受？接受，就把上面五件事做好；接受不了，暂时不买也是完全正当的结论。不适合买虚拟货币的几种人那篇里，本来就包括对这类取舍放不下心的人。
上传证件前后的几个细节
证件照上加「仅供某某认证使用」的水印，能不能防泄露？
给线下复印件加水印是好习惯。但交易所审核要求证件完整清晰，加了字可能被直接退回；水印也挡不住有权限的内部人员看原图。力气该花在核对上传入口上。
注销账户以后，平台会删掉我的证件和人脸资料吗？
不一定马上删。反洗钱类规定普遍要求金融服务机构在关系结束后仍保存客户身份资料一段时间，具体多久取决于平台所在地的规定，写在它的隐私政策里。所以注销能减少以后新增的数据，但不等于已交出的资料立刻消失。
有没有不用实名就能买币的办法？
有，常见的是私下场外交易或来路不明的小平台。它们省掉的是证件那一步，换来的是资金来源说不清、出了事没人可找的风险，对新手来说通常比证件信息泄露更直接、更难收拾。