ExpressVPN vs IVPN

ExpressVPN

此记录目前仍未解决的事项。

渗透测试，以及未进行的那项。 渗透测试字段有 Cure53 于 2024年10月至11月 对 Lightway 协议进行审查的支持；审查发现一项被评为高的未经身份验证数据片段拒绝服务问题，另有四项较轻的问题。ExpressVPN 的信任中心列出了很长一系列此类工作，因此其频率确实存在；但其中没有与 KPMG 无日志工作分开的服务器群基础设施渗透测试。

两项价格，更正。 定价页面现在销售三种不同的计划期限——1个月、12个月和2年——而不是 2026年8月29日 所读到的仅有 24至28个月期限的结构。U04_price_monthly=14.99 是 Basic 1个月计划的价格，并以相同的 $14.99 自动续订。U04b_price_yearly=59.85 是 Basic 12个月计划首期实际收取的金额（按 12个月加 3个月赠期计费）；之后按 $99.95/年自动续订，这正是之前的记录误存为年度字段本身的数值。

透明度报告。 P05/P06/P08/P09 现在以通过信任中心获取的 ExpressVPN 半年度透明度报告为依据（2025年7月至12月：155项政府/执法请求、0次披露，另列出3份令状）；此前的记录遗漏了这两项。

金丝雀，以及该区块的其余部分。 未找到 ExpressVPN 的令状金丝雀，也没有主要声明否认其存在，因此 P07 保持未知。P02/P03=none_known 依据透明度报告系列和隐私政策对诉讼的立场；P11=none_known 依据该政策关于所有要求均通过 BVI 法院处理的声明。P04=withdrew_physical 是 2022年6月退出印度。

IVPN

此记录目前仍未解决的事项。

2019年进行的一次无日志审计。 IVPN对其不做什么的说明异常明确：其自己的文章称，最近一次且唯一一次无日志审计是 Cure53 于2019年3月进行的审计，并称其有意没有重复这种形式，因为这种认证说明的是某一天，而不是之后的日子。

目前这一自称的依据。 此后的每次审计都针对应用和服务，因此基础设施上的无日志自称依据的是2019年3月的审计项目和2023年2月的网关审查，而不是任何近期事项。

尚未公开的审计。 第八次年度 Cure53 审计安排在2026年7月进行，目前尚未公开2025年或2026年的报告，因此最新报告日期是2024年4月。

2026年8月的事件。 2026年8月，一名攻击者利用了自托管 BTCPay Server 中的一个漏洞，该漏洞当时尚未公开，并窃取了IVPN自己的 Lightning 运营资金。IVPN在四天后主动发布了事件说明，并明确范围仅限于该机器：VPN网关未受影响，未接触任何客户记录，也没有客户资金损失。

为何不收取任何费用。 该模式对此不收取任何费用，这正是重点——一个及时这样说明的运营方，其行为符合该领域应予奖励的方式；保留这一条目是为了让读者知道事件发生过，而不是为了改变某个数字。

这些审计项目涵盖的内容。 应用渗透测试（iOS、Android、Electron、守护进程）来自2022年3月，网关/服务器操作系统审查来自2023年2月；两者都未测试无日志自称本身，2023年的报告对此有明确说明，因此留存仅依据隐私政策中的声明。

ExpressVPN

针对整条记录。

Express Technologies Ltd.自2009年起在英属维尔京群岛注册成立，自2021年9月收购（936M美元，Kape自有about-us页面）以来由Kape Technologies plc所有。TrustedServer仅使用RAM的架构自2022年以来每年均由KPMG审计（ISAE (UK) 3000 Type I，最近一次为2025年2月28日），以审查其是否符合隐私政策；此外还有PwC Switzerland（2019年，TrustedServer）和Cure53（2019年浏览器扩展；2021年Lightway协议，已开源）的审计。

2025年KPMG报告已直接阅读（可信度A）：服务器为每次连接写入一条伪名事件记录（不含时间的日期、加盐/哈希用户名、国家+ISP GeoIP、数据量、位置组、协议），但从不记录IP地址或精确时间戳；报告称构建过程可在两个独立运营的构建系统之间复现。

2017年，土耳其当局在调查俄罗斯大使Andrei Karlov遇刺案时扣押了一台ExpressVPN服务器，并未发现可用日志（TorrentFreak带有ExpressVPN的赞助声明——已记录但未排除，因为相关事实可由外部核查，且ExpressVPN自有声明页面此后已返回HTTP 410，Wayback Machine也没有快照）。

2021年9月，DOJ与ExpressVPN首席信息官Daniel Gericke就其此前于2016年至2018年参与阿联酋“Project Raven”黑客行动达成的Deferred Prosecution Agreement公开；主要DPA文件本身从未点名ExpressVPN（该文件仅涉及他此前在阿联酋的任职）——ExpressVPN与该事件的关联来自ExpressVPN自有声明和媒体声明。ExpressVPN继续雇用Gericke，并公开发表了为这一决定辩护的声明。

IVPN

针对整条记录。

首次填录于2026年8月26日。完全取自ivpn.net的官方页面、Cure53审计PDF和IVPN博客——未引用任何联盟营销网站或评测聚合网站。