01
Den samme seddel kan ikke gives videre to gange.
Har du betalt med den, er den ikke din længere. Det er ikke en regel, men fysik: papiret er én ting.
Gennembruddet
Det, digitale kontanter ikke kunne løse i fyrre år.
Det er det længst åbne spørgsmål i de digitale penges historie. Det blev ikke stående åbent, fordi ingen arbejdede med det — men fordi hver eneste løsning havde en pris, ingen ville betale.
Problemet
02
Digitale penge er data. Data kan kopieres.
At sende en fil to gange er lige så let som at sende den én gang.
03
Online kan det løses. Offline kan det ikke.
Med netværk kan man spørge et centralt register, om pengene allerede er brugt. Uden netværk er der ingen at spørge.
Ikke alt kan løses — og det er værd at sige højt.
Er modtageren uden netværk, kan et dobbeltforbrug ikke opdages i betalingsøjeblikket. Det, der ikke kan opdages, kan ikke forhindres.
Qashmore lover ikke forebyggelse. Løftet er et andet, og i praksis er det næsten lige så godt: sikker afsløring, der kan bevises.
Det, man prøvede
Ti stationer gennem fire årtier. Ved hver eneste de samme tre spørgsmål: hvad det var, hvad det gav, og hvad det kostede.
-
1982–1988
Hvad det varIdéen. Chaum, dernæst Chaum–Fiat–Naor: lad betalingen forblive anonym, men lad enhver, der bruger de samme penge to gange, afsløre sig selv matematisk.
Hvad det gavDet rigtige svar — selvafsløring i stedet for forebyggelse.
PrisenDet blev på papiret. Det kørte aldrig i et system i drift, i virkelig skala.
-
1990'erne
Hvad det varDigiCash. Chaums eget firma gjorde princippet til et produkt, med banker og rigtige kunder. Uden sikkerhedshardware.
Hvad det gavDet beviste, at anonym digital betaling virker.
PrisenI det leverede produkt kontrollerede banken hver eneste seddel online; offline-tilstanden forblev en ”future extension”. Firmaet gik konkurs i 1998.
-
1992–1995
Hvad det varCAFE, EU's forskningsprojekt, med Chaum.
Hvad det gavTidens eneste system med kryptografisk identifikation af svindleren: ”Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.” (Selv om sikringen mod manipulation brydes, bliver brugere, der bruger elektroniske penge mere end én gang, identificeret.)
PrisenMed projektets egne ord: ”it allows just one transfer of the electronic money” (den tillader kun én enkelt overdragelse af de elektroniske penge) — der er ingen kæde.
-
1990'erne
Hvad det varMondex. Kort til kort, uden netværk, fra hånd til hånd. ITSEC E6.
Hvad det gavDet eneste system, der kunne bære en offline kæde af ubegrænset længde.
PrisenTilliden flyttede ind i chippen. Kortet viste ikke, at ingen havde snydt — det stolede på, at ingen kunne. Der er ingen identifikation af svindleren. Det sidste marked lukkede i 2008.
-
1996–2000'erne
Hvad det varGeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Hvad det gavFungerende, udbredt offline-betaling — i flere lande, gennem årtier.
PrisenAlle sammen manipulationssikre chipkort. Overførsel mellem brugere mangler enten helt eller hviler på den samme hardware. Ingen af dem udpeger svindleren.
-
2009
Hvad det varOverførbar e-cash i konstant størrelse (Fuchsbauer og kolleger).
Hvad det gavEndelig kunne pengene gå gennem flere hænder, før de vendte tilbage til banken.
PrisenDe ærlige betalte svindlerens pris. Ved et dobbeltforbrug kunne en betroet sporingspart også afsløre identiteten på de ærlige indehavere, hvis hænder de smittede penge senere gik igennem.
-
2011
Hvad det varAnonymitet med en dommer (Blazy og kolleger).
Hvad det gavDen gav den ærlige brugers anonymitet tilbage.
PrisenDen krævede en altseende ”dommer” — og dermed forsvandt netop det løfte, hele linjen var bygget for.
-
2015
Hvad det varDen første fuldt anonyme overførbare e-cash (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).
Hvad det gavIngen betroet tredjepart. Et teoretisk gennembrud.
PrisenByggeklodserne gør den umulig at køre ved en kasse.
-
2021
Hvad det varBauer–Fuchsbauer–Qian. Den første komplette konstruktion med sikkerhedsbeviser — alle tre anonymitetsbegreber, ubegrænset kædedybde.
Hvad det gavDen viste, at opgaven kan løses. Det er ikke til diskussion; begrebet er deres.
PrisenDer er ingen publiceret implementering, ingen målt køretid og intet kurvevalg. Ud fra de publicerede elementtal fylder deres betalingspakke omkring 19 kilobyte efter hævning og vokser med omkring 7 kilobyte pr. hop.
-
2020'erne
Hvad det varCentralbankerne. Den digitale euros offline-lag, offline-tilstanden i Kinas e-CNY, Indiens UPI Lite.
Hvad det gavOffline-betaling i store systemer i drift.
PrisenAlle bygger på sikkerhedshardware. I Bank of Englands forsøg i 2025 brugte fem ud af fem leverandører secure elements; Riksbank prøvede med telefoner alene og forkastede det skriftligt.
To mønstre. Hvor offline blev taget alvorligt, lagde man hardware under. Hvor matematikken blev valgt, kom der enten intet leveret system ud af det, eller også betalte de ærlige svindlerens pris. Kæden og den præcise udpegning af svindleren har aldrig fulgtes ad.
Det, ingen leverede i fyrre år.
Ét. Bruger du dem to gange, afslører du dig selv.
De to spor fra et dobbeltforbrug giver tilsammen svindlerens egen nøgle, matematisk. Det sker automatisk, det kan ikke benægtes, og det kræver ikke overvågning af nogen.
To. Det virker også i en offline kæde af overdragelser.
Er pengene gået gennem flere hænder, alle offline, og har nogen snydt et sted i kæden — så udpeger systemet præcis den ene person.
Tre. Alle andre er urørte.
Alle kædens øvrige, ærlige deltagere beholder deres anonymitet — hverken de ærlige indehavere før svindleren eller dem efter bliver afsløret, og ingen af dem bliver mistænkt. Heller ikke, hvis nogen bevidst forsøgte at lede mistanken hen på dem.
Det er præcis dér, løsningen fra 2009 faldt.
Kæden
Fire personer, fire roller. Pengene forbliver offline hele vejen.
- A
betaleren
Får den digitale seddel fra sin bank. Giver den videre offline.
- B
den mellemliggende indehaver
Tager imod den og giver den videre. Offline hele vejen.
- C
svindleren
Bruger den samme seddel to gange.
- D
den ærlige modtager
Tager imod den. Aner ikke, at noget er galt.
Næste gang et hvilket som helst punkt i kæden får netværk, udpeger systemet C — personligt. A, B og D forbliver anonyme, og ingen af dem kan trækkes ind i mistanken. D holdes skadesløs af udstedergarantien: svindlerens bank betaler og henter derefter beløbet hos svindleren.
To forskellige ting, og de er værd at holde adskilt. At mistanken ikke kan ledes hen på de ærlige indehavere, følger af en sætning i konstruktionen. At deres penge også er i behold, følger af udstedergarantien — det er den forretningsmæssige aftale, med en grænse.
Dybden af den offline overdragelse fastsættes ved udrulningen — ti trin i dag — hvorefter pengene skal opdateres online én gang. Betalingspakken, som modtageren får, fylder omkring 456 byte, når den er nyudstedt, og omkring 956 byte ved den dybeste kæde; verifikationen tager omkring 12 millisekunder.
Hvad det betyder i praksis
Der kræves ingen særlig telefon.
Ingen sikkerhedschip, ingen producent som portvogter.
Den ærlige modtager står ikke tilbage med tabet.
Risikoen bliver ikke hos vedkommende.
Tilsynet behøver ikke at se det hele.
Kontrollen sker dér, hvor værdi kommer ind, og dér, hvor den går ud.
Hvis du vil anfægte det
Chaum-linjens selvafslørende detektion blev på papiret; den kørte aldrig i et system i drift, i virkelig skala. De publicerede offline-forsøg fra centralbanker bygger på sikkerhedshardware — om fem leverandører skriver Bank of Englands rapport fra 2025 ordret: ”All solutions used secure elements.” (Alle løsninger brugte secure elements.)
Den første konstruktion, der viste, at denne kombination af egenskaber kan nås, kom fra Bauer, Fuchsbauer og Qian i 2021, med en komplet, fagfællebedømt sikkerhedsmodel og beviser, og efter deres egen målestok kalder de den praktisk. Det er ikke til diskussion. Forskellen lader sig derimod måle: ud fra de publicerede elementtal fylder betalingspakken omkring 19 kilobyte og vokser med omkring 7 kilobyte pr. hop, uden implementering, uden målt køretid og uden kurvevalg. Pactena-løsningen bliver på omkring 956 byte selv efter ti hop, verificeret på omkring 12 millisekunder. Byttehandlen er bevidst: Pactenas kædedybde er med vilje afgrænset (og er en parameter, der kan indstilles).
En ekstern kryptografisk gennemgang af betalingslaget er i gang; resultatet bliver offentliggjort.
Pr. august 2026 kendes intet offentligt dokumenteret system i drift, der leverer alt dette samlet. IACR ePrint, DBLP, den fulde tekst i Google Patents, dokumentarkiverne hos BIS, ECB, Fed og EDPB, tolv CBDC-leverandører og hele Real World Crypto-korpusset fra 2015 til 2026 er gennemgået. Kender du en anden sådan løsning, vil vi oprigtigt gerne læse om den.