01
את אותו השטר אי אפשר למסור פעמיים.
ברגע ששילמת בו, הוא כבר לא שלך. זה לא כלל, זו פיזיקה: הנייר הוא עצם אחד.
פריצת הדרך
מה שהמזומן הדיגיטלי לא הצליח לפתור ארבעים שנה.
זו השאלה הפתוחה הוותיקה ביותר בתולדות הכסף הדיגיטלי. היא נשארה פתוחה לא מפני שאיש לא עסק בה — אלא מפני שלכל פתרון היה מחיר שאיש לא רצה לשלם.
הבעיה
02
כסף דיגיטלי הוא נתונים. נתונים אפשר להעתיק.
לשלוח קובץ פעמיים קל בדיוק כמו לשלוח אותו פעם אחת.
03
בחיבור מקוון זה פתיר. ללא חיבור — לא.
מי שמחובר לרשת יכול לשאול מרשם מרכזי אם הכסף כבר הוצא. מי שלא מחובר, אין לו את מי לשאול.
לא כל דבר אפשר לפתור — וכדאי לומר את זה בקול.
אם המקבל אינו מחובר לרשת, אי אפשר לזהות הוצאה כפולה ברגע התשלום. ומה שאי אפשר לזהות, אי אפשר למנוע.
Qashmore אינו מבטיח מניעה. הוא מבטיח דבר אחר, ובפועל הוא כמעט טוב באותה מידה: חשיפה ודאית וניתנת להוכחה.
מה ניסו
עשר תחנות לאורך ארבעה עשורים. בכל אחת מהן אותן שלוש שאלות: מה זה היה, מה זה נתן, ומה היה המחיר.
-
1982–1988
מה זה היההרעיון. Chaum, ואחריו Chaum–Fiat–Naor: התשלום יישאר אנונימי, אבל מי שמוציא פעמיים יחשוף את עצמו מתמטית.
מה זה נתןהתשובה הנכונה — חשיפה עצמית במקום מניעה.
המחירזה נשאר על הנייר. מעולם לא רץ במערכת חיה, בקנה מידה אמיתי.
-
שנות ה-90
מה זה היהDigiCash. החברה של Chaum עצמו הפכה את העיקרון למוצר, עם בנקים ולקוחות אמיתיים. בלי חומרת אבטחה.
מה זה נתןהיא הוכיחה שתשלום דיגיטלי אנונימי עובד.
המחירבמוצר שיצא לשוק הבנק אימת כל שטר בחיבור מקוון; מצב ללא חיבור נשאר “הרחבה עתידית”. החברה פשטה רגל ב-1998.
-
1992–1995
מה זה היהCAFE, פרויקט המחקר של האיחוד האירופי, בהשתתפות Chaum.
מה זה נתןהמערכת היחידה בתקופתה עם זיהוי קריפטוגרפי של הרמאי: “Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.” (גם אם העמידות לחבלה נשברת, משתמשים שמוציאים כסף אלקטרוני יותר מפעם אחת מזוהים.)
המחירבלשון הפרויקט עצמו, “it allows just one transfer of the electronic money” (הוא מאפשר העברה אחת בלבד של הכסף האלקטרוני) — אין שרשרת.
-
שנות ה-90
מה זה היהMondex. מכרטיס לכרטיס, בלי רשת, מיד ליד. ITSEC E6.
מה זה נתןהמערכת היחידה שידעה לשאת שרשרת ללא חיבור באורך בלתי מוגבל.
המחירהאמון עבר אל השבב. הכרטיס לא הראה שאיש לא רימה — הוא בטח בכך שאי אפשר לרמות. זיהוי של הרמאי אין. השוק האחרון נסגר ב-2008.
-
1996–שנות ה-2000
מה זה היהGeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
מה זה נתןתשלום ללא חיבור, פועל ונפוץ — בכמה מדינות, במשך עשורים.
המחירכולן כרטיסי שבב עמידים לחבלה. העברה בין משתמשים או שאינה קיימת, או שהיא נשענת על אותה חומרה. אף אחת מהן אינה מזהה את הרמאי.
-
2009
מה זה היהe-cash הניתן להעברה בגודל קבוע (Fuchsbauer ועמיתיו).
מה זה נתןסוף סוף הכסף יכול היה לעבור דרך כמה ידיים לפני שחזר לבנק.
המחירהישרים שילמו את מחיר הרמאי. בהוצאה כפולה, גורם מעקב מהימן יכול היה לחשוף גם את זהותם של המחזיקים הישרים שדרך ידיהם עבר הכסף הנגוע לאחר מכן.
-
2011
מה זה היהאנונימיות עם שופט (Blazy ועמיתיו).
מה זה נתןהיא החזירה למשתמש הישר את האנונימיות שלו.
המחירהיא הצריכה “שופט” רואה־כול — ובדיוק ההבטחה שלמענה נבנה כל הקו הזה אבדה.
-
2015
מה זה היהה-e-cash הניתן להעברה, האנונימי לחלוטין, הראשון (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).
מה זה נתןבלי צד שלישי מהימן. פריצת דרך תאורטית.
המחיראבני הבניין שלה לא מאפשרות להריץ אותה ליד קופה.
-
2021
מה זה היהBauer–Fuchsbauer–Qian. המבנה השלם הראשון עם הוכחות אבטחה — שלושת מושגי האנונימיות, עומק שרשרת בלתי מוגבל.
מה זה נתןהוא הראה שאפשר לפתור את המשימה. זה אינו שנוי במחלוקת; הרעיון שלהם.
המחיראין מימוש שפורסם, אין זמן ריצה מדוד ואין בחירת עקומה. לפי ספירות האיברים שפורסמו, חבילת התשלום שלהם היא כ-19 קילובייט לאחר המשיכה, וגדלה בכ-7 קילובייט בכל קפיצה.
-
שנות ה-2020
מה זה היההבנקים המרכזיים. השכבה ללא חיבור של היורו הדיגיטלי, מצב הפעולה ללא חיבור של ה-e-CNY הסיני, UPI Lite ההודי.
מה זה נתןתשלום ללא חיבור במערכות חיות וגדולות.
המחירכולם בנויים על חומרת אבטחה. בניסוי של Bank of England מ-2025 חמישה ספקים מתוך חמישה השתמשו ב-secure elements; ה-Riksbank ניסה זאת עם טלפונים בלבד ודחה את הדרך הזו בכתב.
שתי תבניות. בכל מקום שבו התייחסו ברצינות לפעולה ללא חיבור, הניחו מתחתיה חומרה. בכל מקום שבו בחרו במתמטיקה, או שלא יצא מזה מוצר שהגיע לשוק, או שהישרים שילמו את מחיר הרמאי. השרשרת והנקיבה המדויקת בשם הרמאי מעולם לא הלכו יחד.
מה שאיש לא הצליח לספק בארבעים שנה.
אחת. מי שמוציא פעמיים, חושף את עצמו.
שני העקבות של ההוצאה הכפולה נותנים יחד, מתמטית, את המפתח של הרמאי עצמו. אוטומטי, בלי אפשרות הכחשה, ובלי לעקוב אחרי אף אחד.
שתיים. זה עובד גם בשרשרת העברות ללא חיבור.
אם הכסף עבר דרך כמה ידיים, כולן ללא חיבור, ואי־שם בשרשרת מישהו רימה — המערכת נוקבת בשמו של אותו אדם אחד בדיוק.
שלוש. איש מלבדו אינו נפגע.
כל שאר חברי השרשרת הישרים שומרים על האנונימיות שלהם — לא המחזיקים הישרים שלפני הרמאי ולא אלה שאחריו נחשפים, ואיש מהם אינו הופך לחשוד. גם לא אם מישהו ינסה בכוונה להסיט אליהם את החשד.
בדיוק בזה נכשל הפתרון מ-2009.
השרשרת
ארבעה אנשים, ארבעה תפקידים. הכסף נשאר ללא חיבור לאורך כל הדרך.
- A
המשלם
מקבל את השטר הדיגיטלי מהבנק שלו. מעביר אותו הלאה ללא חיבור.
- B
המחזיק שבאמצע
מקבל אותו, ואז מעביר הלאה. הכול ללא חיבור.
- C
הרמאי
מוציא את אותו השטר פעמיים.
- D
המקבל תם הלב
מקבל אותו. אין לו מושג שמשהו לא בסדר.
בפעם הבאה שנקודה כלשהי בשרשרת מגיעה לרשת, המערכת נוקבת ב-C — אישית. A, B ו-D נשארים אנונימיים, ואיש מהם אינו יכול להיגרר לחשד. את D מפצה ערבות המנפיק: הבנק של הרמאי משלם, ואחר כך גובה את הסכום מהרמאי.
שני דברים נפרדים, וכדאי להפריד ביניהם. שאי אפשר להסיט את החשד אל המחזיקים הישרים — זה נובע ממשפט של המבנה. שגם כספם מוגן — זה נובע מערבות המנפיק, וזה הסדר עסקי, עם תקרה.
את עומק ההעברה ללא חיבור קובעת הפריסה — כיום עשרה צעדים — ולאחר מכן יש לרענן את הכסף פעם אחת בחיבור מקוון. חבילת התשלום הנמסרת למקבל היא כ-456 בייטים בהנפקה טרייה וכ-956 בייטים בשרשרת העמוקה ביותר; האימות אורך כ-12 אלפיות שנייה.
מה זה אומר בפועל
לא צריך טלפון מיוחד.
אין שבב אבטחה, אין יצרן שמשמש שומר־סף.
המקבל תם הלב לא יוצא נפסד.
הסיכון לא נשאר אצלו.
הפיקוח לא חייב לראות הכול.
הבדיקות מתבצעות במקום שבו הערך נכנס ובמקום שבו הוא יוצא.
אם רוצים להתווכח עם זה
הזיהוי שחושף את עצמו בקו של Chaum נשאר על הנייר; הוא מעולם לא רץ במערכת חיה, בקנה מידה אמיתי. ניסויי הבנקים המרכזיים ללא חיבור שפורסמו בנויים על חומרת אבטחה — על חמישה ספקים כותב דוח Bank of England מ-2025 מילה במילה: “All solutions used secure elements.” (כל הפתרונות השתמשו ברכיבים מאובטחים.)
את המבנה הראשון שהראה שצירוף התכונות הזה בר-השגה נתנו Bauer, Fuchsbauer ו-Qian ב-2021, עם מודל אבטחה שלם שעבר שיפוט ועם הוכחות, ולפי אמת המידה שלהם עצמם הם מכנים אותו מעשי. זה אינו שנוי במחלוקת. ההבדל, לעומת זאת, ניתן למדידה: לפי ספירות האיברים שפורסמו חבילת התשלום היא כ-19 קילובייט וגדלה בכ-7 קילובייט בכל קפיצה, בלי מימוש, בלי זמן ריצה מדוד ובלי בחירת עקומה. הפתרון של Pactena נשאר כ-956 בייטים גם אחרי עשר קפיצות, ומאומת תוך כ-12 אלפיות שנייה. הפשרה מכוונת: עומק השרשרת של Pactena חסום בכוונה (והוא פרמטר הניתן לכיוונון).
ביקורת קריפטוגרפית חיצונית של שכבת התשלום נמצאת בעיצומה; התוצאה תפורסם.
נכון לאוגוסט 2026 לא ידועה מערכת פועלת ומתועדת בפומבי שמספקת את כל אלה יחד. נסרקו IACR ePrint, DBLP, הטקסט המלא של Google Patents, ארכיוני המסמכים של BIS, הבנק המרכזי האירופי, Fed ו-EDPB, שנים־עשר ספקי CBDC, וכל קורפוס Real World Crypto מ-2015 עד 2026. אם ידוע לכם על פתרון אחר כזה, נשמח באמת לקרוא עליו.