图片来源：Orange Surf
TL;DR — 快速摘要
- 购买比特币实物产品（硬件钱包、助记词备份工具、预装比特币节点等）时，默认寄到家庭住址是危险的：卖家可能心怀不轨，用你的隐私数据对你发动「5美元扳手攻击」，或者他们的数据库（含你的数据）被入侵后在网上被出售。
- 收货地址有替代方案：邮箱转寄服务（mail forwarding）、PO信箱、在比特币会议上当面购买、或寄到非住宅地址（如工作地点），并要求卖家使用不引人注目的中性包装。
- 订单邮箱同样存在泄露风险：别用主邮箱，改用 SimpleLogin 之类的邮箱别名服务；或采用 Mullvad 开创的「一次性账户码」模式，买家凭码自查订单状态，卖家不保留任何个人信息。
- 核心原则：让卖家在订单交付后自动删除全部用户数据——但既然无法保证删除，最稳妥的做法就是从一开始就不要暴露这些数据。
你可能想买的比特币产品有很多：比特币签名设备（硬件钱包）、助记词备份工具、预装好的比特币节点……
有些产品是通用商品，可以在普通商家那里购买而无需特别担心隐私问题（普通手机、笔记本电脑），但对于比特币专用的产品，现有的「默认寄到家庭住址」做法是危险的。
卖家可能心怀不轨，利用你的私人数据对你发动「5美元扳手攻击」；或者他们的数据库（其中包含你的数据）遭到入侵，最终被放到网上出售。
这篇文章探讨了销售比特币实物产品所面临的关键挑战，并试图就如何应对这些挑战提出一些建议。
寄到住宅地址的问题
卖家为了简化未来购物的结账流程，常常会把收货信息一直保存在档案里。如果这些数据被黑，买家除了搬家之外别无他法来堵住这个漏洞——而一旦搬家，5美元扳手攻击的风险就转嫁到了毫无防备的家庭买家身上。
如果卖家在包裹成功签收后自动删除所有用户数据，这种风险可以得到部分缓解，但即便如此，沿途往往还有第三方经手这些数据，而且根本无法保证数据会被删除。
**最好的做法，是从根本上避免这种情况——选择一种替代的收货方式。**
邮箱（Mailbox）
买家可以使用邮件转寄服务或PO信箱。他们先在邮件转寄公司注册，由该公司提供一个收货地址，再把这个地址提供给卖家。卖家寄往该地址的邮件会被自动转寄到买家的主要（住宅）地址。这一步买家现在就可以做到。
当面购买（In-Person Purchase）
买家可以参加比特币会议，直接从供应商那里当面购买硬件，完全不需要邮寄。
非住宅地址
买家可以安排将商品寄到一个值得信赖的地点，比如自己的工作场所，或者亲友的工作场所。为此，卖家应该使用不引人注目的中性包装，并提供一种「税费全部由买家预先付清」的邮寄方式，以避免投递时出现麻烦。
订单更新不要使用你的主邮箱
在网上下单购买实物产品时，买家通常会在购买时提供自己的邮箱地址。
买家喜欢在订单处理过程中收到更新（例如产品发货时）。许多买家的手机上开启了邮箱推送通知，因此这些更新无需任何主动操作就能被轻松接收和阅读。
如果卖家在商品发货后仍保留这份邮箱记录，他们就拥有了一条与客户直接联系的持久沟通渠道。因为人们很少更换邮箱地址，卖家很可能在将来再次使用这条渠道——比如用来发布新产品或促销活动。
邮箱订单更新的问题
卖家（或代表卖家行事的第三方软件公司）必须保留客户的邮箱地址记录，才能与客户沟通。但公司往往未能保护好这些数据，使其变得可公开访问或被公开出售。
如果这些数据被黑，买家不太可能去堵这个漏洞（人们很少更换邮箱地址）。
如果卖家在包裹成功签收后自动删除所有用户数据，风险可以得到部分缓解。但同样，这无法得到保证，所以最简单的做法就是：自始至终都不要暴露这些数据。
邮箱别名（Email Aliasing）
买家可以使用 SimpleLogin 之类的邮箱别名服务。他们会生成一个唯一的邮箱地址并提供给卖家。卖家发送到这个唯一地址的邮件会被自动转发到买家的主邮箱。这一步买家现在就可以做到。
账户码模式（Account Model）
卖家可以在购买时生成一个一次性账户码交给买家。买家在卖家网站上输入这个代码即可查询订单状态。这些代码是一次性的。这种模式由VPN服务商 Mullvad 首创，但目前尚未被更广泛地采用。
这种模式的代价是：买家要全权负责记录自己的账户码，并且必须主动去查看物流更新。另外，如果代码丢失，卖家可能很难（甚至不可能）验证买家身份并重新签发代码。
我有没有遗漏什么？给我发消息 @orangesurfbtc