Qashmore

Průlom

Co digitální hotovost čtyřicet let nedokázala vyřešit.

Je to nejdéle otevřená otázka v dějinách digitálních peněz. Otevřená nezůstala proto, že by se jí nikdo nevěnoval — ale proto, že každé řešení mělo cenu, kterou nikdo nechtěl zaplatit.

Problém

01

Tutéž bankovku nelze předat dvakrát.

Jakmile jí zaplatíte, není už vaše. Není to pravidlo, je to fyzika: ten papír je jeden kus.

02

Digitální peníze jsou data. Data lze kopírovat.

Poslat soubor dvakrát je přesně tak snadné jako poslat ho jednou.

03

Online je to řešitelné. Offline ne.

Kdo je na síti, se může centrální evidence zeptat, jestli peníze už nebyly utraceny. Kdo na síti není, nemá se koho zeptat.

Ne všechno se vyřešit dá — a je dobré to říct nahlas.

Pokud příjemce není na síti, dvojí utracení nelze v okamžiku platby odhalit. Co nelze odhalit, tomu nelze zabránit.

Qashmore prevenci neslibuje. Slibuje něco jiného, co je v praxi téměř stejně dobré: jisté, prokazatelné odhalení.

Co se zkoušelo

Deset zastávek napříč čtyřmi desetiletími. U každé stejné tři otázky: co to bylo, co to dalo a co to stálo.

  1. 1982–1988

    Co to bylo

    Nápad. Chaum, poté Chaum–Fiat–Naor: platba ať zůstane anonymní, ale kdo utratí dvakrát, ať se matematicky prozradí sám.

    Co to dalo

    Správná odpověď — sebeprozrazení místo prevence.

    Cena

    Zůstalo na papíře. V ostrém provozu, ve skutečném měřítku, to nikdy neběželo.

  2. 90. léta

    Co to bylo

    DigiCash. Chaumova vlastní firma udělala z principu produkt, s bankami a skutečnými klienty. Bezpečnostní hardware nepoužívala.

    Co to dalo

    Dokázala, že anonymní digitální platba funguje.

    Cena

    V dodaném produktu ověřovala banka každou bankovku online; offline režim zůstal „future extension“ (budoucí rozšíření). Firma v roce 1998 zkrachovala.

  3. 1992–1995

    Co to bylo

    CAFE, výzkumný projekt Evropské unie, s Chaumem.

    Co to dalo

    Jediný systém své doby s kryptografickou identifikací podvodníka: „Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.“ (I když je odolnost proti manipulaci prolomena, uživatelé, kteří elektronické peníze utratí více než jednou, jsou identifikováni.)

    Cena

    Vlastními slovy projektu: „it allows just one transfer of the electronic money“ (umožňuje jediný převod elektronických peněz) — žádný řetězec.

  4. 90. léta

    Co to bylo

    Mondex. Z karty na kartu, bez sítě, z ruky do ruky. ITSEC E6.

    Co to dalo

    Jediný systém, který zvládl offline řetězec neomezené délky.

    Cena

    Důvěra se přestěhovala do čipu. Karta nedokazovala, že nikdo nepodváděl — spoléhala na to, že to nejde. Identifikace podvodníka žádná. Poslední trh se uzavřel v roce 2008.

  5. 1996–2000. léta

    Co to bylo

    GeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.

    Co to dalo

    Funkční, široce rozšířená offline platba — v několika zemích, po desetiletí.

    Cena

    Vesměs čipové karty odolné proti manipulaci. Převod mezi uživateli buď chybí, nebo stojí na témže hardwaru. Podvodníka neidentifikuje ani jeden.

  6. 2009

    Co to bylo

    Převoditelná e-cash konstantní velikosti (Fuchsbauer a kolegové).

    Co to dalo

    Peníze konečně mohly projít několika rukama, než se vrátily do banky.

    Cena

    Cenu za podvodníka zaplatili poctiví. Při dvojím utracení mohla důvěryhodná stopovací strana odhalit i totožnost poctivých držitelů, jejichž rukama poznamenané peníze později prošly.

  7. 2011

    Co to bylo

    Anonymita se soudcem (Blazy a kolegové).

    Co to dalo

    Vrátila anonymitu poctivému uživateli.

    Cena

    Potřebovala vševidoucího „soudce“ — a ztratila přesně ten příslib, kvůli kterému celá linie vznikla.

  8. 2015

    Co to bylo

    První plně anonymní převoditelná e-cash (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).

    Co to dalo

    Bez důvěryhodné třetí strany. Teoretický průlom.

    Cena

    Kvůli stavebním prvkům ji u pokladny provozovat nelze.

  9. 2021

    Co to bylo

    Bauer–Fuchsbauer–Qian. První úplná konstrukce s bezpečnostními důkazy — všechny tři pojmy anonymity, neomezená hloubka řetězce.

    Co to dalo

    Ukázala, že úloha je řešitelná. To není sporné; ten pojem je jejich.

    Cena

    Není publikovaná implementace, změřený čas běhu ani volba křivky. Z publikovaných počtů prvků vychází jejich platební balíček po výběru na zhruba 19 kilobajtů a s každým krokem roste asi o 7 kilobajtů.

  10. 2020. léta

    Co to bylo

    Centrální banky. Offline vrstva digitálního eura, offline režim čínské e-CNY, indická UPI Lite.

    Co to dalo

    Offline platba v ostrých, velkých systémech.

    Cena

    Všechny stojí na bezpečnostním hardwaru. V experimentu Bank of England z roku 2025 použilo secure element pět dodavatelů z pěti; Riksbank to zkusila jen s telefony a písemně to zamítla.

Dva vzorce. Kde brali offline vážně, tam pod něj dali hardware. Kde zvolili matematiku, tam z toho buď nevzešel dodaný systém, nebo cenu za podvodníka zaplatili poctiví. Řetězec a přesné označení podvodníka spolu dosud nikdy nešly.

Co za čtyřicet let nikdo nedodal.

Za prvé. Kdo utratí dvakrát, prozradí sám sebe.

Dvě stopy dvojího utracení dají dohromady matematicky vlastní klíč podvodníka. Je to automatické, nepopiratelné, a nevyžaduje to sledování nikoho.

Za druhé. Funguje to i v offline řetězci převodů.

Pokud peníze prošly několika rukama, všemi offline, a někde v řetězci někdo podvedl — systém označí přesně toho jednoho člověka.

Za třetí. Všech ostatních se to nedotkne.

Všichni ostatní, poctiví členové řetězce si udrží anonymitu — neprozradí se poctiví držitelé před podvodníkem ani ti po něm a nikdo z nich se nestane podezřelým. Ani tehdy, kdyby na ně někdo chtěl podezření svést schválně.

Přesně na tomhle řešení z roku 2009 ztroskotalo.

Řetězec

Čtyři lidé, čtyři role. Peníze jdou celou cestu offline.

  1. A

    plátce

    Dostane digitální bankovku od své banky. Předá ji dál offline.

  2. B

    mezidržitel

    Přijme ji a předá dál. Celou dobu offline.

  3. C

    podvodník

    Tutéž bankovku utratí dvakrát.

  4. D

    poctivý příjemce

    Přijme ji. Netuší, že je něco špatně.

Jakmile se kterýkoli bod řetězce příště dostane na síť, systém označí C — jmenovitě. A, B a D zůstávají anonymní a nikoho z nich nelze zatáhnout do podezření. D odškodní záruka vydavatele: zaplatí banka podvodníka a částku pak vymáhá po něm.

Jsou to dvě různé věci a vyplatí se je nezaměňovat. Že na poctivé držitele nelze svést podezření, plyne z věty o konstrukci. Že jsou v bezpečí i jejich peníze, plyne ze záruky vydavatele — to je obchodní ujednání, s limitem.

Hloubku offline převodu určuje nasazení — dnes deset kroků —, poté se peníze musí jednou obnovit online. Platební balíček předaný příjemci má čerstvě vydaný asi 456 bajtů a při nejhlubším řetězci asi 956 bajtů; ověření trvá asi 12 milisekund.

Co to znamená v praxi

Není potřeba zvláštní telefon.

Žádný bezpečnostní čip, žádný výrobce v roli vrátného.

Poctivý příjemce na tom netratí.

Riziko nezůstává na něm.

Dohled nemusí vidět všechno.

Kontroly probíhají tam, kde hodnota vstupuje a kde odchází.

Pokud s tím chcete polemizovat

Sebeprozrazující detekce Chaumovy linie zůstala na papíře; v ostrém provozu, ve skutečném měřítku, nikdy neběžela. Publikované offline experimenty centrálních bank stojí na bezpečnostním hardwaru — o pěti dodavatelích píše zpráva Bank of England z roku 2025 doslova: „All solutions used secure elements.“ (Všechna řešení použila bezpečnostní prvky.)

První konstrukci, která ukázala, že je tahle kombinace vlastností dosažitelná, dali v roce 2021 Bauer, Fuchsbauer a Qian — s úplným, recenzovaným bezpečnostním modelem a důkazy, a podle vlastního měřítka ji označují za praktickou. To není sporné. Rozdíl je ovšem měřitelný: z publikovaných počtů prvků vychází jejich platební balíček na zhruba 19 kilobajtů a s každým krokem roste asi o 7 kilobajtů, bez implementace, bez změřeného času běhu a bez volby křivky. Řešení Pactena zůstává i po deseti krocích na asi 956 bajtech, ověřených za asi 12 milisekund. Ten kompromis je vědomý: hloubka řetězce je u Pactena záměrně omezená (a je to nastavitelný parametr).

Externí kryptografické posouzení platební vrstvy probíhá; výsledek bude zveřejněn.

K srpnu 2026 není znám žádný veřejně dokumentovaný, funkční systém, který by tohle všechno nabízel pohromadě. Pročesány byly IACR ePrint, DBLP, plný text Google Patents, dokumentové archivy BIS, ECB, Fedu a EDPB, dvanáct dodavatelů CBDC a celý korpus Real World Crypto z let 2015 až 2026. Pokud o jiném takovém řešení víte, upřímně bychom si o něm rádi přečetli.

Celý průzkum ↗

Podvod se prozradí sám. Poctivost ne.

Podívejte se na demo Jak to funguje

Proč Qashmore →