Сама деятельность незаконна, т.е. вся эта сделка.
Это означает, что покупатель не защищен законом.
Позаботьтесь об анонимности, и, конечно, киньте его.
1) Так как заказчик пытается украсть ваши данные, он может считаться для вас врагом, и однозначно следует попытаться ослабить его, например кинув его на деньги. (он не сможет повторить операцию)
2) Он не защищен законом, поэтому не сможет ничего предпринять, скажем подать в суд.
Поразительная внимательность для владельца сайта.
Не вижу причин не кидать заказчика на деньги, если только эти несколько хешей пользователей для вас не буду серьёзной угрозой.