01
A mesma nota não se entrega duas vezes.
Depois de a usar para pagar, deixa de ser sua. Não é uma regra, é física: o papel é um só objeto.
O grande avanço
O que o dinheiro digital não conseguiu resolver durante quarenta anos.
É a questão que ficou em aberto durante mais tempo na história do dinheiro digital. E não ficou por falta de quem trabalhasse nela — ficou porque todas as soluções tinham um preço que ninguém queria pagar.
O problema
02
O dinheiro digital é dados. Os dados copiam-se.
Enviar um ficheiro duas vezes é exatamente tão fácil como enviá-lo uma.
03
Online isto resolve-se. Offline não.
Com rede, é possível perguntar a um registo central se o dinheiro já foi gasto. Sem rede, não há a quem perguntar.
Nem tudo se resolve — e vale a pena dizê-lo em voz alta.
Se o recetor não estiver em rede, o duplo gasto não pode ser detetado no momento do pagamento. E o que não se deteta não se impede.
O Qashmore não promete impedir. Promete outra coisa, que na prática é quase tão boa: a exposição certa e demonstrável.
O que se tentou
Dez paragens ao longo de quatro décadas. Em todas elas, as mesmas três perguntas: o que era, o que deu e quanto custou.
-
1982–1988
O que eraA ideia. Chaum, depois Chaum–Fiat–Naor: que o pagamento continue anónimo, mas que quem gastar duas vezes se revele matematicamente.
O que deuA resposta certa — autodenúncia em vez de prevenção.
O preçoFicou no papel. Nunca funcionou num sistema real, à escala real.
-
Anos 90
O que eraDigiCash. A empresa do próprio Chaum transformou o princípio num produto, com bancos e clientes reais. Não usava hardware de segurança.
O que deuProvou que o pagamento digital anónimo funciona.
O preçoNo produto que chegou ao mercado, o banco verificava cada nota online; o modo offline ficou como “future extension” (extensão futura). A empresa faliu em 1998.
-
1992–1995
O que eraCAFE, o projeto de investigação da União Europeia, com Chaum.
O que deuO único sistema da sua época com identificação criptográfica do fraudador: “Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.” (Mesmo que a resistência à manipulação seja quebrada, os utilizadores que gastam dinheiro eletrónico mais do que uma vez são identificados.)
O preçoNas palavras do próprio projeto, “it allows just one transfer of the electronic money” (permite apenas uma única passagem do dinheiro eletrónico) — não há cadeia.
-
Anos 90
O que eraMondex. De cartão para cartão, sem rede, de mão em mão. ITSEC E6.
O que deuO único sistema capaz de suportar uma cadeia offline de comprimento ilimitado.
O preçoA confiança passou para dentro do chip. O cartão não mostrava que ninguém tinha enganado — confiava em que ninguém conseguisse. Não há identificação do fraudador. O último mercado fechou em 2008.
-
1996–anos 2000
O que eraGeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
O que deuPagamento offline a funcionar e amplamente adotado — em vários países, durante décadas.
O preçoTodos eles cartões com chip resistente a manipulação. A transferência entre utilizadores ou não existe, ou assenta no mesmo hardware. Nenhum identifica o fraudador.
-
2009
O que eraE-cash transferível de tamanho constante (Fuchsbauer e colegas).
O que deuFinalmente o dinheiro podia passar por várias mãos antes de voltar ao banco.
O preçoForam os honestos a pagar o preço do fraudador. Num duplo gasto, um rastreador de confiança podia também revelar a identidade dos detentores honestos por cujas mãos o dinheiro contaminado passou depois.
-
2011
O que eraAnonimato com um juiz (Blazy e colegas).
O que deuDevolveu o anonimato ao utilizador honesto.
O preçoExigia um “juiz” que via tudo — perdendo exatamente a promessa para a qual toda a linha tinha sido construída.
-
2015
O que eraO primeiro e-cash transferível totalmente anónimo (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).
O que deuSem terceiro de confiança. Um avanço teórico.
O preçoOs seus blocos de construção tornam-no impossível de executar à caixa de uma loja.
-
2021
O que eraBauer–Fuchsbauer–Qian. A primeira construção completa com provas de segurança — as três noções de anonimato, profundidade de cadeia ilimitada.
O que deuMostrou que a tarefa pode ser resolvida. Isso não se discute; o conceito é deles.
O preçoNão há implementação publicada, tempo de execução medido nem escolha de curva. Pelas contagens de elementos publicadas, o pacote de pagamento deles ronda os 19 kilobytes após o levantamento e cresce cerca de 7 kilobytes por salto.
-
Anos 2020
O que eraOs bancos centrais. A camada offline do euro digital, o modo offline do e-CNY chinês, o UPI Lite indiano.
O que deuPagamento offline em sistemas reais e de grande escala.
O preçoTodos assentam em hardware de segurança. Na experiência de 2025 do Bank of England, cinco fornecedores em cinco usaram secure elements; o Riksbank tentou apenas com telemóveis e rejeitou essa via por escrito.
Dois padrões. Onde o offline foi levado a sério, puseram-lhe hardware por baixo. Onde a matemática foi a escolhida, ou daí não saiu nenhum sistema que chegasse ao mercado, ou foram os honestos a pagar o preço do fraudador. A cadeia e a identificação exata do fraudador nunca andaram juntas.
O que ninguém entregou em quarenta anos.
Um. Quem gasta duas vezes denuncia-se.
Os dois rastos de um duplo gasto dão, em conjunto e por via matemática, a própria chave do fraudador. É automático, não se pode negar, e não exige a vigilância de ninguém.
Dois. Funciona também numa cadeia offline de transferências.
Se o dinheiro passou por várias mãos, todas offline, e algures na cadeia alguém enganou — o sistema aponta exatamente essa pessoa.
Três. Todos os outros ficam intocados.
Todos os restantes membros honestos da cadeia mantêm o anonimato — nem os detentores honestos anteriores ao fraudador nem os posteriores são expostos, e nenhum deles se torna suspeito. Nem sequer se alguém tentar deliberadamente virar as suspeitas para eles.
Foi exatamente aqui que a solução de 2009 falhou.
A cadeia
Quatro pessoas, quatro papéis. O dinheiro fica offline todo o caminho.
- A
quem paga
Recebe a nota digital do seu banco. Passa-a adiante offline.
- B
o detentor intermédio
Aceita-a e depois passa-a adiante. Offline do princípio ao fim.
- C
o fraudador
Gasta a mesma nota duas vezes.
- D
o recetor honesto
Aceita-a. Não faz ideia de que há algo errado.
Da próxima vez que qualquer ponto da cadeia chegar a uma rede, o sistema aponta C — pessoalmente. A, B e D continuam anónimos, e nenhum deles pode ser arrastado para a suspeita. D é ressarcido pela garantia do emissor: o banco do fraudador paga e depois cobra-lhe o montante.
São duas coisas distintas, e vale a pena mantê-las separadas. Que a suspeita não possa ser dirigida aos detentores honestos decorre de um teorema da construção. Que o dinheiro deles também esteja a salvo decorre da garantia do emissor — essa é a montagem comercial, com um limite.
A profundidade da transferência offline é fixada por cada implementação — hoje, dez saltos — findos os quais o dinheiro tem de ser atualizado online uma vez. O pacote de pagamento entregue ao recetor ronda os 456 bytes quando acabado de emitir e os 956 bytes na cadeia mais profunda; a verificação demora cerca de 12 milissegundos.
O que isto significa na prática
Não é preciso um telemóvel especial.
Sem chip de segurança, sem fabricante a fazer de guardião.
O recetor honesto não fica a perder.
O risco não fica com ele.
A supervisão não tem de ver tudo.
Os controlos acontecem onde o valor entra e onde sai.
Se quiser contestar
A deteção autodenunciante da linha de Chaum ficou no papel; nunca funcionou num sistema real, à escala real. As experiências offline de bancos centrais publicadas assentam em hardware de segurança — a respeito de cinco fornecedores, o relatório de 2025 do Bank of England escreve textualmente: “All solutions used secure elements.” (Todas as soluções usaram elementos seguros.)
A primeira construção a mostrar que esta combinação de propriedades é alcançável foi dada por Bauer, Fuchsbauer e Qian em 2021, com um modelo de segurança completo e revisto por pares, e com as respetivas provas; pelo seu próprio critério, chamam-lhe prática. Isso não se discute. A diferença, porém, é mensurável: pelas contagens de elementos publicadas, o pacote de pagamento ronda os 19 kilobytes e cresce cerca de 7 kilobytes por salto, sem implementação, sem tempo de execução medido e sem escolha de curva. A solução Pactena fica-se pelos 956 bytes mesmo depois de dez saltos, verificados em cerca de 12 milissegundos. A contrapartida é deliberada: a profundidade de cadeia do Pactena é limitada de propósito (e é um parâmetro configurável).
A revisão criptográfica externa da camada de pagamentos está em curso; o resultado será publicado.
Até agosto de 2026 não é conhecido nenhum sistema publicamente documentado e em funcionamento que ofereça tudo isto em conjunto. Foram examinados o IACR ePrint, a DBLP, o texto integral do Google Patents, os arquivos documentais do BIS, do BCE, da Fed e do EDPB, doze fornecedores de CBDC e todo o corpus da Real World Crypto de 2015 a 2026. Se conhecer outra solução assim, gostaríamos genuinamente de a ler.