Как это работает
Bitrefill — это продавец, а не биржа. Вы выбираете из каталога, включающего около 8,000 подарочных карт, eSIM, пополнений мобильной связи и оплаты счетов более чем в 180 странах, платите Bitcoin, Lightning, Ethereum, Litecoin, Solana, USDT или USDC — и код погашения приходит на почту за секунды. Ничего не хранится от вашего имени, если только вы намеренно не покупаете предоплаченный баланс — это единственный кастодиальный участок сервиса.
Юридическая структура разделена и опубликована. Airfill Prepaid AB — шведская компания с регистрационным номером 559001-6035 — продаёт подарочные карты и пополнения; Airfill US LLC в Делавэре отвечает за карты и оплату счетов в США; отдельное юридическое лицо в Сальвадоре занимается оплатой счетов там. Условия использования регулируются законодательством Швеции с исключительной юрисдикцией судов Стокгольма.
Оформление заказа работает без аккаунта. Bitrefill запрашивает действующий email или номер телефона, проверяет его и отправляет код туда же. Аккаунт даёт более высокие лимиты, историю заказов, сохранённые кошельки и предоплаченный баланс — но ничего из этого не требуется для совершения покупки.
KYC и приватность
Bitrefill — редкий сервис, который публикует стоимость каждой ступени лестницы идентификации в открытом доступе. Без аккаунта: 15 подарочных карт в день, лимит $500 в день и $1,000 в месяц. С аккаунтом, подтверждённым по email: $2,000 за карту, $5,000 в день, $10,000 в месяц. С верифицированным аккаунтом — государственное фотоудостоверение личности, подтверждение адреса и живое селфи, которые проверяет Sumsub, — $10,000 в день и $50,000 в месяц.
Условия использования добавляют, что лестница лимитов — не единственный триггер. Покупки «постоянно отслеживаются», и в любой момент от вас «может потребоваться пройти программу KYC», чтобы продолжить пользоваться сервисом. Политика конфиденциальности называет весь механизм: TRM Labs, Castle.io и SEON — для мониторинга транзакций, Sumsub — для проверки личности, Google, Microsoft и Mixpanel — для аналитики, и Claude от Anthropic — для AML-скрининга. Среди собираемых данных — ваш IP-адрес, адрес кошелька и провайдер кошелька. Записи для AML хранятся не менее пяти лет, налоговые записи — семь лет, независимо от любого запроса на удаление.
Monero не принимается, и здесь это значит больше, чем обычно значит отсутствие того или иного актива: приватность покупки на Bitrefill целиком зависит от блокчейна, с которого вы платили.
Сильные стороны и ограничения
Откровенность здесь настоящая, и она нетипична. Большинство сервисов в этом обзоре публикуют один порог, а остальное оставляют для самостоятельного выяснения; Bitrefill публикует пороги, юридические лица с регистрационными номерами и список компаний, которые видят ваши данные. Читатель может оценить цену приватности ещё до того, как потратит хоть что-то.
Затем — сам инцидент. 1 March 2026 злоумышленник воспользовался устаревшими учётными данными, полученными со взломанного ноутбука сотрудника, получил доступ к продакшен-секретам и продвинулся по инфраструктуре и горячим кошелькам Bitrefill. Bitrefill приписала взлом группировке Lazarus/BlueNoroff, связанной с DPRK, и назвала это самой серьёзной атакой за десять лет существования компании. Доступ был получен примерно к 18,500 записям о покупках, включавшим email-адреса, IP-адреса и адреса криптоплатежей; около 1,000 записей также содержали имена. Балансы клиентов не пострадали, убытки были покрыты из капитала компании, сайт возобновил работу 5 March, а разбор инцидента вышел 18 March.
Реагирование было почти образцовым. Неприятная часть — это урок: даже тот минимум данных, который запрашивает Bitrefill, оказывается достаточным, чтобы после утечки связать реальный почтовый ящик, реальный IP и реальный адрес в блокчейне. Отсутствие KYC и отсутствие данных — не одно и то же обещание. Добавьте сюда геоблокировку, из-за обхода которой аккаунт может быть заблокирован, отсутствие onion-сервиса, закрытый исходный код и отсутствие возврата средств после того, как код вскрыт.
Вердикт
Bitrefill — самый функциональный способ превратить криптовалюту в обычные покупки, не предъявляя паспорт, и он честно говорит, где эта свобода заканчивается. Пользуйтесь им, чтобы тратить, а не чтобы хранить капитал, платите с того блокчейна, на котором вам не зазорно «засветиться», и относитесь к указанному email как к одноразовому. Оценка: C (6,2/10). Доверие: CAUTION.
Bitrefill превращает криптовалюту в обычные расходы с меньшим идентификационным трением, чем что-либо ещё подобного масштаба, и честно раскрывает условия этой сделки. Именно взлом Lazarus в марте 2026 удерживает его на этой оценке: минимального набора данных, который он хранит, оказалось достаточно, чтобы привязать почтовый ящик и IP к адресу в блокчейне. Оценка: C (6,2/10). Доверие: CAUTION.
