Ну, как по мне - нормальный адрес. Это почтовый сервер, который может иметь такой вид. Ссылка в письме ведет на зашифрованный https адрес, с которого идет редирект на страничку контрибьютора. Нигде пароль не запрашивает.
Все там чисто, нет никакого фишинга.
И потом - всегда можно зайти на сайт и загрузить оттуда напрямую (без кнопки из письма).
Да, там этот пункт "Upload your ID" был уже больше года (не помню когда появился). Раньше ничего туда не грузил, решил что меня это не касается (я ж грузил им паспорт много лет назад когда регистрировался).