如果本月超过 1.53 亿份美国和加拿大驾照被盗一事能证明什么，那就是：存放驾照副本最安全的地方，就是根本不存放。

这些泄露的证件似乎来自一家身份验证服务提供商，最终出现在暗网身份服务 Nexus 上，与之同现的还有数百万份其他被盗身份和旅行证件。据路透社报道，FBI 已表示正在调查此次泄露事件。

本周，这一危险的严重性更加凸显：金融科技公司 Revolut 披露，一名黑客诱骗其交出大量敏感客户数据，包括护照副本和验证自拍。攻击者目前正在逐步将 680 名客户的身份证明文件发布到网上，以索取价值 300 万美元的门罗币赎金，据 Cointelegraph 报道。

其中的讽刺意味显而易见。“了解你的客户”（KYC）流程的存在是为了通过确认客户身份并确保其未从事不法行为，来让金融体系更加安全。然而，KYC 通常的实施方式却要求企业存储大量敏感信息，从而为犯罪分子制造了极具价值的“蜜罐”。

这一问题正变得越来越难以忽视。据隐私权信息交换所（Privacy Rights Clearinghouse）数据，仅 2026 年上半年，美国的数据泄露就已影响至少 3.43 亿人。更令人沮丧的是，利用零知识证明，如今已经可以在不存储证件的情况下验证一个人的身份。

You're The Voice 播客主持人 Efrat Fenigson 长期就隐私与 KYC 议题撰写文章并发表演讲，她告诉 Cointelegraph Magazine：

“当监管机构不断强制推行一种注定导致这种结果的模式——而不存储即可验证的技术早已存在——这就亮起了警示信号。它表明相关方缺乏理性思考，也缺乏解决问题的真正意愿。”

问题在于，还要发生多少次此类泄露，这种意愿才会开始转变。

KYC 的设计初衷是收集你的身份，而不仅仅是验证它

如今的 KYC 体系在很大程度上围绕这样一种假设演变而来：机构应当查看客户的护照或驾照，记录相关信息，然后存储核查凭证。

这种做法有一个明显的缺陷：它催生了一个庞大的生态系统，由身份提供商、数据库、供应商和合规系统组成，每一个都各自保存着一份个人 KYC 数据的宝库。数据的每一份额外副本都是另一个潜在的故障点——而黑客在寻找入侵途径方面正变得愈发有创意。

Revolut 事件正说明了这一点。这名黑客从一个合法意大利执法机构邮箱发出电子邮件，索要 KYC 数据。Open Dialogue 主席 Lyudmyla Kozlovska 在 X 上表示，欧盟法律使 Revolut 别无选择，只能配合：

“欧盟反洗钱法并未对银行施加核实义务，也没有提供任何有意义的机制来查证一个经过认证的国家请求背后究竟是谁。拒绝答复将面临数百万美元的罚款。在实践中，核实是不可能的。”

Bitcoin Policy UK 董事兼联合创始人 Susie Violet Ward 警告说，真正的问题在于不必要地存储身份数据：“我们需要停止把身份验证和交出你的身份当作一回事。”

她指出，如果一家公司只需要知道某人年满 18 岁，就不应自动要求提供额外细节，例如全名、地址、准确出生日期以及相关证件的永久副本。“讽刺的是，KYC 的设计初衷是让系统更安全，但我们目前的实施方式却可能制造一种完全不同的安全问题。密码泄露后可以重置，但你的身份却无法以同样的方式重置，”她说。

停止囤积证件的技术早已存在

对加密货币支持者而言，显而易见的解决方案是零知识证明——一种在不透露底层数据细节的情况下证明某事为真的数学证明。例如，手机应用程序可以生成一个证明，确认你的驾照显示持有人年满 18 岁，而无需传输出生日期或驾照本身的图片。

Zcash 创始人 Zooko Wilcox 在与 Crypto Fireside 的视频访谈中对该技术作了有益的讲解。

Billions Network 联合创始人兼首席执行官 Evin McMullen 称，该公司开发保护隐私的数字身份和零知识解决方案，她告诉 Cointelegraph Magazine：“这项技术是可行的，如今已在数千个应用程序和受监管机构中投入实际使用。阻碍它的是整个合规体系——它是围绕收集和存储证件副本而建立的。”

McMullen 表示，障碍“从来不是技术本身”，而是围绕它建立的规则、激励和基础设施：“这是一个披着技术外衣的治理和标准问题。”

如果技术可行，是什么在阻碍它？

欧盟已经开始将零知识技术纳入其数字身份和年龄验证系统的设计之中，开发保护隐私的年龄验证方案，允许用户在不透露完整身份或准确出生日期的情况下证明自己的年龄。其数字身份钱包还支持“选择性披露”，即用户只透露某项特定交易所需的信息。

那么，为什么这没有被更广泛地应用于金融 KYC？McMullen 认为，“监管和认知”是普及的最大障碍：“最常见的阻碍是，合规团队把‘我们看过证件’与‘我们必须保留证件’混为一谈，因此为了保险起见过度收集。”

互操作性是另一个绊脚石。她指出，密码学证明只有在“依赖它的一方无需回溯询问签发方即可完成核验”的情况下才有用。这需要建立共享标准——说来容易做来难。

零知识证明并不能地解决 KYC 问题

有一个重要的注意事项：用零知识证明取代身份证明文件，并不会自动消除所有隐私或安全问题。

Fenigson 指出，零知识凭证与什么绑定同样重要：“激励机制指向的是控制，而非隐私。零知识证明让人可以证明一个事实，比如年满 18 岁或不在制裁名单上……缺失的是这个证明绑定在什么之上。目前，它通常绑定在他人数据库中的一个账户上。”

归根结底，这是谁最终控制凭证的问题。如果一个人生成了保护隐私的证明，但该证明却绑定在他人数据库中的一个账户上，那么他仍然依赖于一个中心化的中介机构。

规则并不像你想的那样明确

在许多情况下，规则实际上并不要求存储身份数据——这更像是一种惯例，因为一直以来都是这么做的。

金融行动特别工作组（FATF）的指导文件明确探讨了如何利用数字身份系统开展客户尽职调查，而不是要求机构依赖实体身份证明文件。FATF 的建议还作为一种基于风险的框架运作，由各个国家通过自身的法律和监管体系来落实标准。

“在许多司法辖区，规则是必须验证身份并保留验证记录，而不是必须永久保留原始证件图像，”McMullen 说。这意味着，一份可通过密码学验证的证明，加上一份显示相关核查已经执行的记录，可能就足以满足合规要求——而无需再创建一份永久性的证件副本。

但由于指导文件“含糊不清”，机构默认保留所有资料，因为其合规团队深知审计人员和监管检查者会认可这种做法。即便规则在技术上允许其他做法，也没有人愿意第一个冒险。正如 Ward 所解释的：“监管中存在一种本能：更多的信息意味着更多的控制，因而也意味着更多的安全。”

对于考虑采用不同方式的机构而言，实际问题因此在于：证明能否被适用规则所接受、能否跨系统被独立核验，以及凭证是否仍由用户掌控而非绑定到另一个中心化数据库。这些是治理和实施层面的问题，而不仅仅是底层密码学是否有效的问题。

除非规则被修订为明确允许零知识证明，否则很难看到这种局面发生改变。虽然没有完美的系统，但零知识技术至少消除了收集和保留如此多敏感信息的必要。正如 McMullen 所说：“你从未持有过的东西，是不会丢失的。”