01
Samma sedel kan inte lämnas över två gånger.
Har du betalat med den är den inte längre din. Det är ingen regel, det är fysik: papperet är ett enda föremål.
Genombrottet
Det digitala kontanter inte kunde lösa på fyrtio år.
Det här är den längst öppna frågan i de digitala pengarnas historia. Den förblev öppen inte för att ingen arbetade med den — utan för att varje lösning hade ett pris som ingen ville betala.
Problemet
02
Digitala pengar är data. Data går att kopiera.
Att skicka en fil två gånger är precis lika enkelt som att skicka den en gång.
03
Online går det att lösa. Offline gör det inte.
Med nätverk går det att fråga ett centralt register om pengarna redan är spenderade. Utan nätverk finns det ingen att fråga.
Allt går inte att lösa — och det är värt att säga högt.
Är mottagaren utan nätverk går en dubbelspendering inte att upptäcka i betalningsögonblicket. Det som inte kan upptäckas kan inte förhindras.
Qashmore lovar inte att förhindra. Löftet är ett annat, och i praktiken nästan lika bra: ett säkert, bevisbart avslöjande.
Vad som prövats
Tio hållplatser genom fyra decennier. Vid varje hållplats samma tre frågor: vad det var, vad det gav, och vad det kostade.
-
1982–1988
Vad det varIdén. Chaum, sedan Chaum–Fiat–Naor: låt betalningen förbli anonym, men låt den som spenderar två gånger avslöja sig själv matematiskt.
Vad det gavRätt svar — självavslöjande i stället för förhindrande.
PrisetDen stannade på papperet. Den kördes aldrig i ett skarpt system, i verklig skala.
-
1990-talet
Vad det varDigiCash. Chaums eget bolag gjorde principen till en produkt, med banker och riktiga kunder. Ingen säkerhetshårdvara användes.
Vad det gavBevisade att anonym digital betalning fungerar.
PrisetI den levererade produkten verifierade banken varje sedel online; offline-läget förblev en ”future extension” (en framtida utökning). Bolaget gick i konkurs 1998.
-
1992–1995
Vad det varCAFE, EU:s forskningsprojekt, med Chaum.
Vad det gavTidens enda system med kryptografisk identifiering av fuskaren: ”Even if the tamper-resistance is broken, users who spend electronic money more than once are identified.” (Även om manipulationsskyddet bryts identifieras de användare som spenderar elektroniska pengar mer än en gång.)
PrisetMed projektets egna ord: ”it allows just one transfer of the electronic money” (den tillåter bara en enda överföring av de elektroniska pengarna) — ingen kedja.
-
1990-talet
Vad det varMondex. Kort till kort, utan nätverk, från hand till hand. ITSEC E6.
Vad det gavDet enda systemet som klarade en offline-kedja av obegränsad längd.
PrisetFörtroendet flyttade in i chipet. Kortet visade inte att ingen hade fuskat — det litade på att ingen kunde. Ingen identifiering av fuskaren. Den sista marknaden lades ner 2008.
-
1996–2000-talet
Vad det varGeldKarte (DE), Octopus (HK), Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Vad det gavFungerande, utbredd offline-betalning — i flera länder, i decennier.
PrisetAlla bygger på manipulationssäkra chipkort. Överföring mellan användare saknas eller vilar på samma hårdvara. Ingen av dem identifierar fuskaren.
-
2009
Vad det varÖverförbar e-cash med konstant storlek (Fuchsbauer med kollegor).
Vad det gavÄntligen kunde pengarna gå genom flera händer innan de kom tillbaka till banken.
PrisetDe ärliga fick betala fuskarens pris. Vid en dubbelspendering kunde en betrodd spårare även avslöja identiteten på de ärliga innehavare vars händer de besmittade pengarna senare passerade.
-
2011
Vad det varAnonymitet med en domare (Blazy med kollegor).
Vad det gavGav den ärlige användaren anonymiteten tillbaka.
PrisetDet krävde en allseende ”domare” — och därmed föll just det löfte som hela linjen byggts för.
-
2015
Vad det varDet första helt anonyma överförbara e-cash-systemet (Baldimtsi–Chase–Fuchsbauer–Kohlweiss).
Vad det gavIngen betrodd tredje part. Ett teoretiskt genombrott.
PrisetByggstenarna gör den omöjlig att köra vid en kassa.
-
2021
Vad det varBauer–Fuchsbauer–Qian. Den första fullständiga konstruktionen med säkerhetsbevis — alla tre anonymitetsbegreppen, obegränsat kedjedjup.
Vad det gavVisade att uppgiften går att lösa. Det är inte omstritt; begreppet är deras.
PrisetIngen publicerad implementation, ingen mätt körtid, inget kurvval. Utifrån de publicerade elementantalen är deras betalningspaket omkring 19 kilobyte efter uttag, och växer med omkring 7 kilobyte per hopp.
-
2020-talet
Vad det varCentralbankerna. Den digitala eurons offline-lager, offline-läget i Kinas e-CNY, Indiens UPI Lite.
Vad det gavOffline-betalning i skarpa system i stor skala.
PrisetAlla bygger på säkerhetshårdvara. I Bank of Englands försök 2025 använde fem av fem leverantörer secure elements; Riksbanken prövade en lösning med enbart telefoner och förkastade den skriftligen.
Två mönster. Där offline togs på allvar lades hårdvara i botten. Där matematiken valdes blev det antingen inget levererat system, eller så fick de ärliga betala fuskarens pris. Kedjan och den exakta utpekningen av fuskaren har aldrig gått ihop.
Det ingen levererade på fyrtio år.
Ett. Spenderar du två gånger avslöjar du dig själv.
De två spåren från en dubbelspendering ger tillsammans fuskarens egen nyckel, matematiskt. Det sker automatiskt, det går inte att förneka, och det kräver att ingen övervakas.
Två. Det fungerar även i en offline-kedja av överföringar.
Har pengarna gått genom flera händer, alla offline, och någonstans i kedjan har någon fuskat — då pekar systemet ut exakt den personen.
Tre. Alla andra förblir orörda.
Varje annan, ärlig medlem i kedjan behåller sin anonymitet — varken de ärliga innehavarna före fuskaren eller de som kom efter avslöjas, och ingen av dem blir misstänkt. Inte ens om någon medvetet försökte styra misstanken mot dem.
Det var precis där 2009 års lösning föll.
Kedjan
Fyra personer, fyra roller. Pengarna är offline hela vägen.
- A
betalaren
Får den digitala sedeln från sin bank. Lämnar den vidare offline.
- B
mellaninnehavaren
Tar emot den och lämnar den vidare. Offline hela tiden.
- C
fuskaren
Spenderar samma sedel två gånger.
- D
den ärlige mottagaren
Tar emot den. Anar inte att något är fel.
Nästa gång någon punkt i kedjan når ett nätverk pekar systemet ut C — personligen. A, B och D förblir anonyma, och ingen av dem kan dras in i misstankar. D hålls skadeslös av utgivargarantin: fuskarens bank betalar och kräver sedan beloppet av fuskaren.
Två skilda saker, värda att hålla isär. Att misstanken inte kan styras mot de ärliga innehavarna följer av ett teorem i konstruktionen. Att också deras pengar är trygga följer av utgivargarantin — det är den kommersiella uppgörelsen, med ett tak.
Överföringsdjupet offline bestäms av driftsättningen — i dag tio steg — och därefter måste pengarna uppdateras online en gång. Betalningspaketet som lämnas till mottagaren är omkring 456 byte nyutgivet och omkring 956 byte vid den djupaste kedjan; verifieringen tar omkring 12 millisekunder.
Vad det betyder i praktiken
Ingen särskild telefon behövs.
Inget säkerhetschip, ingen tillverkare som portvakt.
Den ärlige mottagaren blir inte lidande.
Risken stannar inte hos mottagaren.
Tillsynen behöver inte se allt som sker.
Kontrollerna sker där värde kommer in och där det lämnar.
Om du vill invända
Chaum-linjens självavslöjande detektion stannade på papperet; den kördes aldrig i ett skarpt system, i verklig skala. Publicerade offline-försök från centralbanker bygger på säkerhetshårdvara — om fem leverantörer skriver Bank of Englands rapport 2025 ordagrant: ”All solutions used secure elements.” (Samtliga lösningar använde säkerhetselement.)
Den första konstruktionen som visade att den här egenskapskombinationen är uppnåelig gavs av Bauer, Fuchsbauer och Qian 2021, med en fullständig, granskad säkerhetsmodell och bevis, och enligt sin egen måttstock kallar de den praktisk. Det är inte omstritt. Skillnaden är däremot mätbar: utifrån de publicerade elementantalen är betalningspaketet omkring 19 kilobyte och växer med omkring 7 kilobyte per hopp, utan implementation, utan mätt körtid och utan kurvval. Pactena-lösningen ligger på omkring 956 byte även efter tio hopp, verifierad på omkring 12 millisekunder. Avvägningen är medveten: Pactenas kedjedjup är avsiktligt begränsat (och är en inställbar parameter).
En extern kryptografisk granskning av betalningslagret pågår; resultatet kommer att publiceras.
Fram till augusti 2026 är inget offentligt dokumenterat, fungerande system känt som levererar allt detta samlat. IACR ePrint, DBLP, hela texten i Google Patents, dokumentarkiven hos BIS, ECB, Fed och EDPB, tolv CBDC-leverantörer och hela Real World Crypto-korpusen från 2015 till 2026 har genomsökts. Känner du till en annan sådan lösning, skulle vi uppriktigt vilja läsa om den.