匿名短信验证：虚拟号码隐藏了什么，又没有隐藏什么

虚拟号码是一条链上的一环，而不是一件斗篷。它去除了大多数人在注册时交出的最强身份标识 — 一张登记在本人名下的 SIM 卡 — 仅此一点，就改变了平台今后能够了解到关于他们的信息。但同一次购买仍可能通过付款方式、通过您购买号码所用的账户、通过您的 IP 地址，或者在您重复使用该号码时通过号码本身，重新将您暴露出来。本指南将从头到尾梳理这条链条，标出其中五处断裂点，并以一份约两分钟即可完成的清单收尾。

手机号码是一个身份标识，而不是联系方式

在注册表单中填写手机号码，感觉上只是给了服务一种联系您的方式。但您实际给出的，是一把稳定且全球唯一的密钥 — 它的存在时间比账户本身更长，几乎与您使用的所有其他服务共享，而且在大多数国家，它的签发都以某种登记证件为前提。

这一个字段实际上承担着四项截然不同的职能，而其中没有一项是“方便我们给您发送验证码”。

• 它把您的多个账户彼此关联起来。只要两个平台持有同一个号码，无论资料上填的是什么名字，它们持有的都是同一个人。
• 它把您的账户与一份登记档案关联起来。在强制实行 SIM 卡实名登记的地区，运营商掌握着号码与法定身份之间的对应关系 — 任何能够强制运营商配合的一方，同样也掌握着这份关系。
• 它比账户本身存活得更久。号码会在数年之后出现在数据泄露资料中。哪怕您只使用过一次，在今天公开的一次数据泄露里，这个号码依然能够与您对上号。
• 它让您暴露在通讯录匹配之下。会上传通讯录的应用，能够让任何保存过您号码的人知道您刚刚加入了这项服务。

虚拟号码只针对一件事：它用一个不带上述任何属性的字段，替换掉了原本同时承载这四种属性的字段。本页接下来的其余内容，都是在讲如何避免在随后的几分钟里，又把这一步的效果亲手抵消掉。

虚拟号码究竟切断了哪些关联

值得把这个说法讲清楚，因为诚实的答案比营销式的说法更有用。在本站购买的号码，是我们持有的真实运营商上的一条真实线路 — 只是从未针对您的证件进行过签发登记。这一点改变了某些关联，也让另一些关联原封不动。

这两行“否”正是本指南篇幅远超一段文字的原因。一次性号码能够有力地控制您在纸面上是谁，却完全无法控制您正从哪里连接。把前者当成已经解决了后者，是最常见的一个错误。

五处会把您的名字重新贴回账户上的泄露点

下面每一行，都是一条从已完成的注册追溯回具体某个人的真实路径。排列顺序按照它们实际绊倒人的频率，而不是按照攻击者所需具备的技术水平 — 前两条甚至根本不需要攻击者，只需要商家查看自己的记录即可。

本指南接下来的部分将逐一处理这些问题。这些应对办法没有一个是困难的；它们的共同点在于，全都必须在您点击按钮之前就做出决定，因为没有一项能够事后补救。

泄露点一 — 付款痕迹

只要银行卡出现在这条链条的任何一环，这条链条就已经断了。这正是本站不接受银行卡的原因：银行卡会把您的法定姓名交给商家，并在银行账单上写下一条带日期的记录，说明您买了什么、何时购买。事后无论多么小心，都无法消除这两条记录中的任何一条。

加密货币能立刻解决姓名问题 — 从钱包发出的任何款项都不带姓名。但它并不会自动解决痕迹问题。比特币、莱特币、以太坊、Solana、TRON 以及各类稳定币，都结算在一个永久公开的账本上：双方地址和确切金额会永远可见。如果这些币是从一个验证过您身份的交易所转入该钱包的，那么从您本人追溯到这笔购买，只是一次数据库关联查询，而不是一项调查工作。

门罗币的不同之处在于协议本身，而非规则设定。环签名让人无法确定花费的是哪一笔输入，隐匿地址意味着您粘贴的地址永远不会出现在链上，机密交易则隐藏了金额。从您这一侧看，九种充值方式的操作完全相同；只是 XMR 是唯一不会留下永久公开凭证的一种。完整流程请参见使用门罗币支付号码费用。

泄露点二 — 您用来购买号码的账户

用一个以您日常邮箱注册的账户购买的一次性号码，并不是匿名的。它只是在您的身份前面多加了一道手续。任何在注册时索取邮箱的服务，从定义上讲，都已经收集到了那个能把这次购买与该邮箱曾经接触过的一切都关联起来的字段。

本站没有常见意义上的注册表单：没有邮箱输入框、没有密码、没有确认链接，也不需要您自己的手机号码。网站会生成一组助记词，仅显示一次，这组助记词就是账户本身。隐私政策明确说明了服务器上会留下什么 — 带短查询前缀的助记词 bcrypt 哈希、您的交易与订单记录、一个服务器端会话，以及会自动清除的临时 IP 频率限制记录。没有身份信息需要存储，因为从一开始就没有收集过。

这种取舍是真实存在的，值得直说清楚：

• 没有可被钓鱼的目标，没有可重置的东西，也没有可以向邮件服务商发传票索取的信息。
• 不存在密码重复使用的问题，因为根本没有密码。
• 不会有确认邮件留在一个被索引、可被搜索的收件箱里。

• 完全没有账户找回机制。一旦遗失助记词，余额也就随之消失。
• 任何看到这组助记词的人都能支配这笔余额 — 它是一种见票即付的凭证，就像现金一样。

泄露点三 — 您的 IP 地址与浏览器

这是号码完全无能为力的一处泄露点，也是最多人会忽略的一点。您正在验证的平台，从来看不到号码的网络路径 — 它看到的是您的网络路径：您注册时使用的 IP、您使用的浏览器、让这个浏览器变得可识别的字体和屏幕尺寸，以及同一份指纹是否在上个月创建过另外三个账户。

虚拟号码控制的是身份数据。VPN 或 Tor 控制的是网络数据。它们保护的是同一张表里不同的列，彼此都无法替代对方。

泄露点四和五 — 号码本身：使用期间与使用之后

最后两处泄露点，属于号码本身的属性，而非您个人的属性，二者都源于同一个事实：一次性号码是借来的，而不是您拥有的。它大约存活二十分钟，随后就会被释放回号码池。

在您持有号码期间，风险在于关联比对。用一个号码验证两个账户，就相当于把一把干净利落的钥匙交给了任何在比对这些平台的人 — 数据经纪商、数据泄露信息聚合方，或者在平台之间共享信号时的平台自身 — 这把钥匙明确说明这些账户属于同一个人。这与重复使用同一个邮箱地址是同样的失误，它会抵消掉您刚刚花钱换来的那份隔离。

在您释放号码之后，风险方向发生了反转。这个号码可能被重新分配给其他人，而下一个持有它的人，会收到所有发往这个号码的信息。对于一个您再也不会回去用的注册来说，这无关紧要；但对于任何仍然与这个号码绑定的事物来说，这却是一个不动声色却相当严重的问题：

• 把一次性号码设置为您在意的账户的恢复号码 — 密码重置信息可能会落进陌生人的控制面板。
• 出于同样的原因，把一次性号码设置为短信双因素认证的接收号码。
• 任何预期日后还会收到第二条验证码的场景：登录验证挑战、重新验证、配送通知。

解决办法是让产品匹配需求，而不是去对抗号码的有效期。对于一个您再也不会回去用的注册，一次性验证码就是正确的选择。当一个账户需要持续接收信息时，请租用专属号码，租期为 7、14、30 或 90 天 — 在整个租期内它完全归您所有，可接收无限短信，并且用同一个余额以同样的方式充值。

虚拟号码无法为您做到的事

每一种防护手段都有其边界，了解这项手段的边界在哪里，正是让它保持有用的关键。虚拟号码改变的是平台所能了解到的关于您身份的信息。它不会改变以下这些：

• 它不会隐藏您的网络连接。平台依然能看到一个 IP 地址、一台设备，以及一种行为模式。
• 它无法应对日后发起的身份核验。如果平台在提现时要求提供证件，它依然会这样要求。
• 它无法撤销您自己输入的信息。资料里的一个真实姓名、一个私人邮箱或一张照片，都会立刻让账户重新指向您本人。
• 它不会让这个号码永久归您所有。只有租用号码才能做到这一点，而且仅限于您付费购买的那段时间。
• 它不是绕开平台规则的手段。欺诈和身份盗用均被服务条款明令禁止，隐私并不等同于逍遥法外。

它切实可靠地做到的一件事，是从一笔本就不需要身份信息的交易中，去掉一个强制要求的身份字段 — 比如一份非要手机号不可的新闻通讯、一个您只会用一次的交易平台，或者一个不验证码就什么都不给看的试用服务。这是一个有限的说法，但恰好是真实的。

两分钟清单

请在收到第一条验证码之前，按顺序完成这份清单。五个步骤里有四个只是决策，而非实际操作，并且全都必须在购买之前、而不是之后做出。

以上就是整套方法。号码去除了身份标识，付款去除了姓名，网络连接去除了地理位置，而围绕重复使用建立的纪律，则防止这些信息被重新拼接回去。准备好之后，可以在国家页面或服务目录中选择国家和服务 — 如果第一条验证码没有到达，故障排查指南会说明原因，以及为什么这不会让您花一分钱。