Bitrefill 向从不留下姓名的人出售礼品卡。3月，18,500名此类买家的邮箱、IP 地址和钱包地址外泄。

工作原理

Bitrefill 是一家商户，而不是交易所。你可以从大约8,000种礼品卡、eSIM、话费充值和账单缴费组成的目录中挑选，覆盖180多个国家，用比特币、Lightning、以太坊、莱特币、Solana、USDT 或 USDC 付款，兑换码会在几秒钟内送达你的邮箱。除非你特意购买储值余额——这是该产品唯一涉及托管的环节——否则不会有任何资金被代为持有。

法律架构是拆分且公开的。Airfill Prepaid AB 是一家瑞典公司，注册号559001-6035，负责销售礼品卡和充值；位于特拉华州的 Airfill US LLC 负责美国境内的卡片和账单缴费业务；另有一家萨尔瓦多主体负责当地的账单缴费。服务条款适用瑞典法律，并以斯德哥尔摩为唯一司法管辖地。

结账无需账户。Bitrefill 只需要一个可用的邮箱或手机号码，验证之后，兑换码就发送到那里。注册账户可以换来更高的限额、订单历史、已保存的钱包和储值余额——但这些对完成一次购买而言都不是必需的。

KYC 与隐私

Bitrefill 是少数把身份阶梯每一级都公开定价的服务之一。不开账户：每天最多15张礼品卡，每天上限$500，每月上限$1,000。邮箱验证账户：每张卡$2,000，每天$5,000，每月$10,000。经过验证的账户——需要提交政府颁发的带照片身份证件、地址证明和实时自拍，由 Sumsub 处理——每天$10,000，每月$50,000。

服务条款补充说明，阶梯并不是唯一的触发条件。交易会被“持续监控”，你“可能在任何时候被要求完成一项 KYC 程序”才能继续使用该服务。隐私政策列明了具体机制：交易监控由TRM Labs、Castle.io 和 SEON负责，身份核验由 Sumsub 负责，数据分析由 Google、Microsoft 和 Mixpanel 负责，反洗钱筛查则由 Anthropic 的 Claude 负责。被收集的字段包括你的 IP 地址、钱包地址和钱包服务商。反洗钱记录至少保留五年，税务记录保留七年，无论是否提出删除请求。

该服务不支持 Monero，这一点比通常缺少某一种资产更为关键：一次 Bitrefill 购买的隐私性，完全取决于你用来付款的那条链。

优势与局限

这种坦诚是真实的，也并不常见。本榜单中的大多数服务只公布一个门槛，剩下的部分留给用户自己去发现；而 Bitrefill 公布了各档门槛、附注册号的法律实体，以及能看到你的数据的公司名单。读者在花一分钱之前，就能算清这笔隐私交易的代价。

然后是这起事件。2026年3月1日，攻击者从一台被攻陷的员工笔记本电脑上获取了一个遗留凭证，进而触及生产环境的密钥，并在 Bitrefill 的基础设施和热钱包中层层深入。Bitrefill 将这次入侵归咎于与 DPRK 有关联的 Lazarus/BlueNoroff 团伙，并称其为公司十年历史上最严重的一次攻击。约18,500条购买记录被访问，包含邮箱地址、IP 地址和加密货币收款地址；其中约1,000条还包含姓名。客户余额未受影响，损失由公司自有资本承担，网站于3月5日恢复运营，并于3月18日发布事后复盘报告。

应对过程几乎堪称教科书式的示范。令人不安的是其中的教训：即便是 Bitrefill 所要求的最低限度信息，一旦泄露，也足以把一个真实的邮箱、一个真实的 IP 和一个真实的链上地址对应到同一个人身上。无需 KYC，不等于不留数据。此外还要算上：规避地理封锁可能导致账户被封的规则、没有 Tor 隐藏服务、闭源的技术栈，以及兑换码一旦揭示就不予退款的政策。

结论

要把加密货币变成日常消费，同时不必交出护照，Bitrefill 是目前最有效的途径，而且它对这一途径的边界诚实相告。把它当作消费渠道而不是价值存储的地方，用一条你不介意被人看见的链付款，并把你留下的那个邮箱当作用完就可以丢弃的东西。评分：C (6.2/10)。信任：CAUTION。