Qashmore

Przełom

Czego cyfrowa gotówka nie potrafiła rozwiązać przez czterdzieści lat.

To najdłużej otwarte pytanie w historii cyfrowego pieniądza. Zostało otwarte nie dlatego, że nikt się nim nie zajmował — ale dlatego, że każde rozwiązanie miało cenę, której nikt nie chciał zapłacić.

Problem

01

Tego samego banknotu nie da się wręczyć dwa razy.

Kiedy się nim zapłaci, przestaje należeć do płacącego. To nie reguła, to fizyka: papier jest jeden.

02

Cyfrowy pieniądz to dane. Dane da się kopiować.

Wysłanie pliku dwa razy jest dokładnie tak samo łatwe jak wysłanie go raz.

03

Online da się to rozwiązać. Offline nie.

Kto ma sieć, może zapytać centralnego rejestru, czy pieniądze nie zostały już wydane. Kto jej nie ma, nie ma kogo zapytać.

Nie wszystko da się rozwiązać — i warto to powiedzieć wprost.

Jeśli odbiorca nie jest w sieci, podwójnego wydania nie da się wykryć w chwili płatności. Czego nie da się wykryć, tego nie da się powstrzymać.

Qashmore nie obiecuje zapobiegania. Obiecuje co innego, a w praktyce jest to niemal tak samo dobre: pewne ujawnienie, poparte dowodem.

Co próbowano

Dziesięć przystanków na przestrzeni czterech dekad. Przy każdym te same trzy pytania: co to było, co dało i ile kosztowało.

  1. 1982–1988

    Co to było

    Pomysł. Chaum, potem Chaum–Fiat–Naor: płatność ma zostać anonimowa, ale kto wyda dwa razy, ten matematycznie sam się ujawni.

    Co dało

    Właściwa odpowiedź — samoujawnienie zamiast zapobiegania.

    Cena

    Zostało na papierze. Nigdy nie działało w żywym systemie, w realnej skali.

  2. Lata 90.

    Co to było

    DigiCash. Własna firma Chauma zamieniła zasadę w produkt, z bankami i prawdziwymi klientami. Bez sprzętu zabezpieczającego.

    Co dało

    Dowiodła, że anonimowa płatność cyfrowa działa.

    Cena

    We wdrożonym produkcie bank weryfikował każdy banknot online; tryb offline pozostał „przyszłym rozszerzeniem”. Firma zbankrutowała w 1998 roku.

  3. 1992–1995

    Co to było

    CAFE, projekt badawczy Unii Europejskiej, z udziałem Chauma.

    Co dało

    Jedyny system swojej epoki z kryptograficzną identyfikacją oszusta: „Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.” (Nawet jeśli odporność na manipulację zostanie złamana, użytkownicy wydający pieniądz elektroniczny więcej niż raz zostają zidentyfikowani.)

    Cena

    Słowami samego projektu: „it allows just one transfer of the electronic money” (pozwala na zaledwie jedno przekazanie pieniądza elektronicznego) — nie ma łańcucha.

  4. Lata 90.

    Co to było

    Mondex. Z karty na kartę, bez sieci, z ręki do ręki. ITSEC E6.

    Co dało

    Jedyny system, który potrafił poprowadzić łańcuch offline o nieograniczonej długości.

    Cena

    Zaufanie przeniosło się do układu scalonego. Karta nie wykazywała, że nikt nie oszukał — ufała, że nikt nie może. Identyfikacji oszusta brak. Ostatni rynek zamknięto w 2008 roku.

  5. 1996–lata 2000.

    Co to było

    GeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.

    Co dało

    Działająca, powszechna płatność offline — w kilku krajach, przez dziesięciolecia.

    Cena

    Wszystkie to karty chipowe odporne na manipulację. Przekazanie między użytkownikami albo nie istnieje, albo opiera się na tym samym sprzęcie. Żadna nie identyfikuje oszusta.

  6. 2009

    Co to było

    Przekazywalna gotówka elektroniczna o stałym rozmiarze (Fuchsbauer i współautorzy).

    Co dało

    Nareszcie pieniądze mogły przejść przez kilka par rąk, zanim wrócą do banku.

    Cena

    Cenę oszusta płacili uczciwi. Przy podwójnym wydaniu zaufany podmiot śledzący mógł ujawnić także tożsamość uczciwych posiadaczy, przez których ręce skażone pieniądze przeszły później.

  7. 2011

    Co to było

    Anonimowość z sędzią (Blazy i współautorzy).

    Co dało

    Przywróciła anonimowość uczciwemu użytkownikowi.

    Cena

    Potrzebowała wszechwidzącego „sędziego” — a więc traciła dokładnie tę obietnicę, dla której cały ten nurt powstał.

  8. 2015

    Co to było

    Pierwsza w pełni anonimowa przekazywalna gotówka elektroniczna (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).

    Co dało

    Bez zaufanej strony trzeciej. Przełom teoretyczny.

    Cena

    Jej elementy składowe sprawiają, że nie da się jej uruchomić przy kasie.

  9. 2021

    Co to było

    Bauer–Fuchsbauer–Qian. Pierwsza kompletna konstrukcja z dowodami bezpieczeństwa — wszystkie trzy pojęcia anonimowości, nieograniczona głębokość łańcucha.

    Co dało

    Pokazała, że zadanie da się rozwiązać. To nie podlega dyskusji; koncepcja należy do nich.

    Cena

    Nie ma opublikowanej implementacji, zmierzonego czasu działania ani wyboru krzywej. Z opublikowanej liczby elementów wynika, że ich pakiet płatności po wypłacie ma około 19 kilobajtów i rośnie o około 7 kilobajtów na przeskok.

  10. Lata 2020.

    Co to było

    Banki centralne. Warstwa offline cyfrowego euro, tryb offline chińskiego e-CNY, indyjskie UPI Lite.

    Co dało

    Płatność offline w żywych systemach o dużej skali.

    Cena

    Wszystkie opierają się na sprzęcie zabezpieczającym. W eksperymencie Bank of England z 2025 roku pięciu dostawców na pięciu użyło komponentów secure element; Riksbank spróbował rozwiązania opartego wyłącznie na telefonach i odrzucił je na piśmie.

Dwa wzorce. Wszędzie tam, gdzie offline potraktowano poważnie, podłożono pod niego sprzęt. Wszędzie tam, gdzie wybrano matematykę, albo nie powstał z tego wdrożony system, albo cenę oszusta płacili uczciwi. Łańcuch i dokładne wskazanie oszusta nigdy dotąd nie szły w parze.

Czego przez czterdzieści lat nikt nie dostarczył.

Raz. Kto wyda dwa razy, sam się ujawnia.

Dwa ślady podwójnego wydania razem dają matematycznie własny klucz oszusta. Dzieje się to automatycznie, nie da się temu zaprzeczyć i nie trzeba do tego nikogo obserwować.

Dwa. Działa też w łańcuchu przekazań offline.

Jeśli pieniądze przeszły przez kilka par rąk, wszystkie offline, i gdzieś w łańcuchu ktoś oszukał — system wskazuje dokładnie tę jedną osobę.

Trzy. Wszyscy pozostali są nietknięci.

Każdy inny, uczciwy uczestnik łańcucha zachowuje anonimowość — nie ujawniają się ani uczciwi posiadacze sprzed oszusta, ani ci po nim, i żaden z nich nie staje się podejrzany. Nawet wtedy, gdyby ktoś celowo próbował skierować na nich podejrzenie.

Dokładnie na tym poległo rozwiązanie z 2009 roku.

Łańcuch

Cztery osoby, cztery role. Pieniądze przez całą drogę zostają offline.

  1. A

    płacący

    Otrzymuje cyfrowy banknot ze swojego banku. Przekazuje go dalej offline.

  2. B

    posiadacz pośredni

    Przyjmuje, potem przekazuje dalej. Przez cały czas offline.

  3. C

    oszust

    Wydaje ten sam banknot dwa razy.

  4. D

    uczciwy odbiorca

    Przyjmuje. Nie ma pojęcia, że coś jest nie tak.

Gdy którykolwiek punkt łańcucha następnym razem trafi do sieci, system wskazuje C — imiennie. A, B i D pozostają anonimowi i żadnego z nich nie da się wciągnąć w krąg podejrzeń. D zostaje wyrównany przez gwarancję emitenta: płaci bank oszusta, a potem odzyskuje kwotę od oszusta.

To dwie osobne rzeczy i warto je rozdzielić. To, że podejrzenia nie da się skierować na uczciwych posiadaczy, wynika z twierdzenia tej konstrukcji. To, że ich pieniądze też są bezpieczne, wynika z gwarancji emitenta — a to już ustalenie biznesowe, z limitem.

Głębokość przekazywania offline ustala wdrożenie — dziś dziesięć kroków — po czym pieniądze trzeba raz odświeżyć online. Pakiet płatności przekazywany odbiorcy ma około 456 bajtów świeżo po emisji i około 956 bajtów przy najgłębszym łańcuchu; weryfikacja trwa około 12 milisekund.

Co to znaczy w praktyce

Nie trzeba specjalnego telefonu.

Żadnego układu zabezpieczającego, żadnego producenta w roli strażnika.

Uczciwy odbiorca na tym nie traci.

Ryzyko nie zostaje przy nim.

Nadzór nie musi widzieć wszystkiego.

Kontrole odbywają się tam, gdzie wartość wchodzi i skąd wychodzi.

Gdyby ktoś chciał z tym polemizować

Samoujawniające wykrywanie z linii Chauma zostało na papierze; nigdy nie działało w żywym systemie, w realnej skali. Opublikowane eksperymenty offline banków centralnych opierają się na sprzęcie zabezpieczającym — o pięciu dostawcach raport Bank of England z 2025 roku pisze dosłownie: „All solutions used secure elements.” (Wszystkie rozwiązania korzystały z komponentów secure element.)

Pierwszą konstrukcję pokazującą, że to połączenie właściwości jest osiągalne, podali w 2021 roku Bauer, Fuchsbauer i Qian — z pełnym, recenzowanym modelem bezpieczeństwa i dowodami — i według własnej miary nazywają ją praktyczną. To nie podlega dyskusji. Różnica jest jednak mierzalna: z opublikowanej liczby elementów wynika, że ich pakiet płatności ma około 19 kilobajtów i rośnie o około 7 kilobajtów na przeskok, bez implementacji, bez zmierzonego czasu działania i bez wyboru krzywej. Rozwiązanie Pacteny nawet po dziesięciu przeskokach zostaje przy około 956 bajtach, zweryfikowanych w około 12 milisekund. Kompromis jest świadomy: głębokość łańcucha Pacteny jest celowo ograniczona (i stanowi konfigurowalny parametr).

Zewnętrzna recenzja kryptograficzna warstwy płatności jest w toku; jej wynik zostanie opublikowany.

Do sierpnia 2026 roku nie jest znany żaden publicznie udokumentowany, działający system, który dawałby to wszystko naraz. Przeszukane zostały: IACR ePrint, DBLP, pełny tekst Google Patents, archiwa dokumentów BIS, EBC, Fedu i EDPB, dwunastu dostawców CBDC oraz cały korpus Real World Crypto z lat 2015–2026. Jeśli ktoś zna inne takie rozwiązanie — naprawdę chcielibyśmy o nim przeczytać.

Pełny przegląd ↗

Oszustwo samo się ujawnia. Uczciwość nie.

Zobacz demo Jak to działa

Dlaczego Qashmore →