01
Firmeza sin conexión
Quien recibe el pago decide en el acto, sin red. No store-and-forward, donde el riesgo se aplaza y acaba soportándolo otro — sino aceptación genuina y firme en el sitio.
Antecedentes
El campo, medido.
Una afirmación del tipo “no se conoce ningún otro sistema” vale exactamente lo que valga la búsqueda que hay detrás. Por eso, lo que sigue es la vara de medir, las fuentes y los hallazgos — uno por uno, con nombre.
La vara de medir
Siete propiedades, cada una decidible por separado, con las que se puede medir cualquier sistema — una construcción académica, un producto industrial, un piloto de banca central, una patente. Las seis primeras son falsables: basta con mostrar un sistema que cumpla las seis para que la afirmación caiga.
02
Sin confianza en hardware
El argumento de seguridad no descansa en un componente resistente a manipulación dentro del dispositivo del usuario. Un teléfono corriente, sin hardware de seguridad. Que un sistema lo use de forma opcional es aceptable; que la afirmación se derrumbe sin el chip, no.
03
Transferencia multisalto
El billete digital sigue viajando sin conexión, de mano en mano — al menos dos saltos sin volver al emisor. Esta es la diferencia entre una tarjeta de dinero electrónico y el efectivo: desde la tarjeta el valor va al comercio y se detiene; un billete continúa.
04
Fraude autodelator
La identidad de quien gasta dos veces se puede recuperar criptográficamente a partir de los rastros de los dos pagos. Ningún tercero de confianza abre nada y ninguna autoridad decide — lo entrega la matemática, y cualquiera puede comprobarlo.
05
Atribución que respeta al inocente
El sistema señala exactamente al tramposo original, y todos los demás miembros honestos de la cadena conservan su anonimato — ni los tenedores honestos anteriores al tramposo ni los posteriores quedan al descubierto, ni siquiera bajo sospecha.
06
Sin inculpación posible
Un teorema formal según el cual no puede producirse una prueba válida de doble gasto contra un usuario honesto — ni por un emisor malicioso ni por participantes de la cadena que se coaliguen. La literatura lo llama exculpability o non-frameability. Es lo que separa la rendición de cuentas real de la mera posibilidad de acusar.
07
Implantabilidad
Especificación versionada, implementación de referencia, demostrador en funcionamiento, tamaños y tiempos de ejecución medidos, elección de curva declarada, capa base en producción, y un marco regulatorio y de resarcimiento. Una construcción correcta sobre el papel pero inservible en una caja no es un sistema de pago.
La objeción habitual a una vara de medir es que su autor la cortó a su medida. Por eso conviene señalar que una sistematización totalmente independiente mide la quinta propiedad exactamente igual. Una de las columnas del SoK: Offline Payment Systems de marzo de 2026 (Universidad de Innsbruck, Universidad de Viena, SBA Research; arXiv:2603.16320, treinta y seis sistemas) es la de “privacy revocation”, y se define así: DS si la revocación se produce únicamente en casos de doble gasto, y U si la privacidad de los usuarios honestos puede revelarse de forma no intencionada, como efecto secundario de detectar a quien gasta dos veces. Los autores marcan la U en rojo, como propiedad expresamente indeseable. De los sistemas con capacidad plena sin conexión, exactamente dos reciben una U — las dos mismas construcciones que la vara de medir anterior señala como contraejemplos. El criterio no es un invento de Pactena.
La línea académica
Cuatro décadas, punto por punto, cada uno con lo que aportó y lo que costó. Leída en orden, la línea tiene una forma: cada paso que ganó una propiedad la pagó en otro sitio.
- Año
1982
Qué fueChaum: la firma ciega.
Qué aportóLa idea del efectivo digital anónimo, en una construcción lo bastante elegante como para seguir siendo fundamental hoy.
El precioEn línea. El comercio tiene que llamar al banco en cada pago para saber si el billete ya se gastó. Inservible sin conexión, y no hay transferencia.
- Año
1988
Qué fueChaum–Fiat–Naor: efectivo electrónico sin conexión.
Qué aportóEl nacimiento del doble gasto autodelator. La identidad de quien gasta va codificada en el billete de modo que un pago no revela nada, mientras que dos pagos permiten al banco calcular el nombre del tramposo.
El precioUn salto. El usuario paga al comercio, el comercio deposita. No hay viaje de mano en mano. Y un punto que conviene precisar: el artículo no contiene ninguna prueba de imposibilidad sobre la prevención. Lo que contiene es una decisión de diseño — se apoya en la detección y no en la prevención, porque sin conexión la prevención no se puede dar.
- Año
1990–1992
Qué fueOkamoto–Ohta: el primer efectivo electrónico transferible.
Qué aportóDinero que puede seguir circulando entre cualquier número de usuarios.
El precioEl anonimato es débil. Incluso sin ningún doble gasto, se puede decidir si dos pagos los hizo el mismo usuario. La literatura llamó después a esto weak anonymity.
- Año
1993
Qué fueChaum–Pedersen: un resultado negativo.
Qué aportóLa prueba de que un billete transferido crece necesariamente con cada entrega, y de que un observador con recursos ilimitados siempre reconoce un billete que tuvo antes.
El precioEste teorema planea sobre toda la línea posterior. Cualquier construcción transferible tiene que pagar por salto. La única pregunta abierta es cuánto.
- Año
2005
Qué fueCamenisch–Hohenberger–Lysyanskaya: Compact E-Cash.
Qué aportóUn salto en la eficiencia de la retirada — muchos billetes en una sola operación, en un espacio pequeño. Desde entonces, un bloque de construcción muy utilizado.
El precioNo es transferible. Del usuario al comercio, y ahí acaba el camino.
- Año
2008
Qué fueCanard–Gouget: el modelo formal.
Qué aportóLa primera sistematización formal de las nociones de anonimato para el efectivo transferible, y la prueba de que la noción más fuerte concebible es inalcanzable. Dan además una construcción que cumple todas las propiedades alcanzables.
El precioEn palabras de la propia literatura, “completely impractical” (completamente impracticable) — se apoya en reducciones genéricas de la teoría de la complejidad, así que es una prueba de concepto y no un sistema construible.
- Año
2009
Qué fueFuchsbauer, Vergnaud y coautores: efectivo transferible de tamaño constante.
Qué aportóUn rodeo elegante al límite de crecimiento: la historia de la cadena no viaja en el billete, sino que se guarda en recibos que conservan los usuarios. El tamaño se mantiene constante.
El precioEste es el precio más instructivo de toda la historia. Ante un doble gasto, un rastreador de confianza podía revelar la identidad de los tenedores honestos por cuyas manos pasó después el billete contaminado — los inocentes pagaron por el culpable, aunque solo fuera ante una parte privilegiada. Dos precisiones, en justicia: el anonimato no se pierde públicamente, sino frente a esa parte de confianza, y el proceso es interactivo, pues hay que pedir los recibos a los usuarios. Según la vara de medir anterior, la propiedad falla igualmente: los tenedores honestos quedan identificados y pasan a ser sospechosos.
- Año
2011
Qué fueBlazy y coautores: anonimato con un juez.
Qué aportóLa reparación de las carencias del trabajo anterior, devolviendo el anonimato al usuario honesto.
El precioNecesita un juez que lo vea todo. Esa clave no solo identifica al tramposo: con ella se puede rastrear en cualquier momento cualquier billete y cualquier usuario. El precio no bajó, cambió de forma — una sola clave que abre el anonimato de todo el sistema.
- Año
2015
Qué fueBaldimtsi–Chase–Fuchsbauer–Kohlweiss: efectivo transferible plenamente anónimo.
Qué aportóLa primera construcción que persigue las tres nociones de anonimato de la literatura sin tercero de confianza. Los autores formulan así el objetivo de diseño: “it needs to ensure that the right user is accused while the anonymity of honest owners … will be preserved” (hay que garantizar que el acusado sea el usuario correcto, preservando al mismo tiempo el anonimato de los tenedores honestos) — en esencia, la quinta propiedad de la vara de medir, ya en 2015.
El precioDos precios. Más tarde se halló un error en la prueba de la noción de anonimato más fuerte — y lo hallaron los autores del capítulo siguiente. Y según la valoración de la propia literatura es “hardly practical” (difícilmente práctica); los bloques de construcción están “far from being implementable on constrained mobile devices” (lejos de poder implementarse en dispositivos móviles de recursos limitados).
Bauer–Fuchsbauer–Qian, 2021 — el único rival de verdad
En 2021, Balthazar Bauer, Georg Fuchsbauer y Chen Qian presentaron en PKC el trabajo Transferable E-Cash: A Cleaner Model and the First Practical Instantiation. Su construcción cumple las seis propiedades falsables. Firmeza sin conexión, sin confianza en hardware, profundidad de transferencia ilimitada, doble gasto autodelator, atribución que respeta al inocente, y un teorema formal de imposibilidad de inculpación — este último frente a un banco malicioso y frente a participantes de la cadena coaligados a la vez. Las tres nociones de anonimato de la literatura quedan probadas, incluida la más fuerte. La sistematización independiente de 2026 lo confirma y los sitúa en el lado del “only in cases of double-spending”.
La viabilidad de esa combinación de propiedades la mostraron, por tanto, ellos. Eso no se discute. El resto de esta página es comprobable precisamente porque la fuente del concepto está nombrada, y porque lo que se le ha añadido está señalado con la misma precisión.
Lo que no se hizo es estrictamente una categoría de hechos, y tiene tres elementos: no hay implementación publicada, ni tiempo de ejecución medido, ni elección de curva. Lo confirman tres fuentes independientes — un artículo de ACNS 2026 que cita el trabajo (“the performance of Bauer et al. is not reported”), la tabla del SoK de 2026, donde las celdas de implementación, transacciones por segundo y latencia están vacías, y la propia tesis doctoral del primer autor, en la que una búsqueda en el texto completo de tiempos de ejecución, tamaños en bytes, prototipo o curva no devuelve nada sustancial.
We view this as practical by current standards.
| Medida | Bauer–Fuchsbauer–Qian 2021 | Pactena v8 |
|---|---|---|
| El paquete de pago entregado al receptor, tras la retirada | 19 248 bytes | ~456 bytes |
| Crecimiento por transferencia | +7 392 bytes | +48 bytes |
| La cadena más profunda | profundidad ilimitada | ~956 bytes (diez saltos) |
| Verificación sin conexión | no medida | ~12 ms |
| Implementación, benchmark, elección de curva | nada publicado | implementación de referencia y demostrador en funcionamiento |
Las cifras de la tabla proceden del análisis de eficiencia del artículo, que expresa los tamaños como recuentos abstractos de elementos de grupo. Convertidos a la curva que los propios autores examinaron — una conversión que la literatura que los cita también ha hecho, llegando al mismo resultado —, esos recuentos dan los tamaños en bytes de arriba. Su billete ronda los diecinueve kilobytes recién emitido y crece unos siete kilobytes en cada entrega; tras una cadena de diez pasos anda por el orden de los noventa kilobytes. No es un error de los autores: es el precio de la noción de anonimato más fuerte, que asumieron deliberadamente y justifican en el artículo. La comparación se hace sobre paquetes de pago y no sobre pruebas porque su prueba de culpabilidad ocupa 96 bytes y no crece con la profundidad — medidos por tamaño de prueba, los dos sistemas serían indistinguibles.
La diferencia es una contrapartida deliberada en dos puntos. La profundidad de transferencia de Pactena está acotada — diez saltos, como parámetro configurable —; la de ellos, no. La privacidad de Pactena es transaccional y está separada en la frontera del emisor, no abarca todo el sistema: el comercio no averigua quién pagó; quien recibe verifica a la contraparte que tiene delante, pero no averigua nada de los tenedores anteriores; y un emisor conoce solo a su propio cliente y al emisor con el que tiene que liquidar. Los usuarios intermedios de la cadena no quedan al descubierto ante nadie. La noción de anonimato más fuerte de la literatura exigiría además que un emisor no pudiera seguir su propia emisión; en un sistema regulado y basado en KYC eso no es necesario ni deseable, porque en la frontera del emisor lo que hace falta es precisamente rendición de cuentas. El precio de la contrapartida es medible: el paquete de pago de Pactena crece 48 bytes por transferencia, no siete kilobytes. Bauer, Fuchsbauer y Qian mostraron que se puede hacer; Pactena muestra que se puede implantar.
La línea industrial y de banca central
En los años noventa hubo efectivo digital sin conexión de verdad, en muchos países y a gran escala. Es la parte que la mayoría de los relatos deja fuera, y es la parte desde la que se entiende la situación actual.
- Año
Años noventa
Qué fueDigiCash / eCash — la empresa de Chaum.
Qué aportóLa prueba de que el pago digital anónimo funciona, en un ordenador personal corriente, sin hardware de seguridad.
El precioEn el producto que llegó al mercado el banco verificaba cada billete en línea; el modo sin conexión se quedó en “future extension” (extensión futura). La empresa quebró en 1998.
- Año
1992–1995
Qué fueCAFE — el proyecto ESPRIT de la UE, con la participación de Chaum.
Qué aportóLa construcción más refinada del periodo — y la única de esa época con identificación criptográfica del tramposo: “Even if the tamper-resistance is broken, users who spend electronic money more than once are identified, and the identity of the user whose guardian was used for this fraud can be proved.” (Aunque se rompa la resistencia a manipulación, los usuarios que gasten el dinero electrónico más de una vez quedan identificados, y puede demostrarse la identidad del usuario cuyo dispositivo guardián se empleó para el fraude.) Ya en 1994 los autores veían que lo que importa es una demostrabilidad que aguante ante un tribunal, y no la detección por sí sola.
El precioEn palabras del propio proyecto, “it allows just one transfer of the electronic money” (solo permite una transferencia del dinero electrónico). Un salto. Sin cadena. El proyecto se cerró según lo previsto en noviembre de 1995 y nunca llegó a ser un producto.
- Año
Años noventa
Qué fueMondex — NatWest, después Mastercard.
Qué aportóDe tarjeta a tarjeta, sin conexión, de mano en mano, sin compensación de por medio — en su época, el único sistema capaz de sostener la cadena con longitud ilimitada. Certificado ITSEC E6, modelo formal de seguridad y operación real en más de una docena de países.
El precioLa confianza se mudó al chip. La tarjeta no demostraba que nadie hubiera hecho trampa; se fiaba de que hacerla fuera inviable. No hay identificación del tramposo: la tarjeta guardaba solo las diez últimas transacciones, y no existía ninguna traza de auditoría global. La crítica de la época señalaba exactamente esto. El último mercado cerró en 2008.
- Año
1996–años 2020
Qué fueGeldKarte, Octopus, Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Qué aportóPago sin conexión funcionando y extendido, en varios países, en algunos casos durante décadas.
El precioTodos construidos sobre una tarjeta con chip resistente a manipulación. La transferencia entre usuarios o está expresamente excluida — la documentación alemana de GeldKarte dedica un apartado al principio de “Nichtübertragbarkeit von Guthaben” (la intransferibilidad del saldo) — o pasa por una aplicación en línea, como en Octopus. Ninguno tiene identificación criptográfica del tramposo; el abuso se gestiona con cuentas espejo centrales y listas negras.
- Año
Años 2020
Qué fueLos bancos centrales: la capa sin conexión del euro digital, el e-CNY, UPI Lite X, el piloto de la e-krona, la libra digital, el BIS Project Polaris.
Qué aportóPago sin conexión en sistemas reales de gran volumen, en un entorno regulado, y en algunos casos con más de un salto.
El precioEl anclaje de seguridad es en todos los casos un chip dentro del dispositivo del usuario, y la identificación del tramposo o falta, o es institucional y no criptográfica. En el experimento de 2025 del Bank of England, cinco proveedores de cinco usaron secure elements; el Riksbank probó un diseño basado solo en teléfonos y lo descartó por escrito.
Dos patrones, y se mantienen a lo largo de cuarenta años. Donde el pago sin conexión se tomó en serio, se puso hardware debajo. Donde en su lugar se eligió la matemática, o no se entregó nada, o los honestos pagaron el precio del tramposo. Ningún sistema histórico cumplió a la vez la cadena sin conexión de varios saltos y la identificación criptográfica del tramposo: Mondex tenía la cadena pero no la identificación; CAFE tenía la identificación pero no la cadena.
Y la nota histórica más fuerte de todas. Cuando el propio David Chaum volvió en 2022 al pago sin conexión, de mano en mano, echó mano de una tarjeta física, y escribió: “Solutions relying only on software, including previous proposals by the present author, do not provide strong assurance of finality.” (Las soluciones que se apoyan solo en software — incluidas las propuestas anteriores del propio autor — no ofrecen una garantía sólida de firmeza.) Esa cita corta por los dos lados, y las dos lecturas caben aquí. En una, el fundador del campo afirma que nadie lo había conseguido por la vía puramente de software. En la otra, una autoridad considerable afirma que esa vía no lleva a ninguna parte. La segunda lectura es un desafío serio — y es la razón por la que la construcción de Pactena se midió, y no solo se diseñó.
Fuentes examinadas
Una afirmación del tipo “no se encontró nada más” vale lo que valga la búsqueda que hay detrás. Por eso las fuentes se nombran aquí una a una, con el alcance de cada una.
- Archivo IACR ePrint
- El corpus completo de efectivo electrónico transferible — cinco entradas, la más reciente el preprint de 2020 de Bauer–Fuchsbauer–Qian. Desde entonces no ha aparecido ninguna construcción transferible nueva.
- DBLP
- La lista completa de publicaciones posteriores a 2021 de cada autor de la línea, y los treinta y ocho artículos que citan a Bauer–Fuchsbauer–Qian, leídos uno a uno.
- SoK: Offline Payment Systems, 2026
- Los treinta y seis sistemas del estudio, celda por celda, leídos del código fuente LaTeX del artículo.
- Programas de congresos
- Real World Crypto al completo de 2015 a 2026, el archivo de vídeo de IACR con 2 290 grabaciones, el programa principal de Financial Cryptography y el taller CoDecFin de 2019 a 2026.
- Tesis doctorales y de máster
- Los archivos de HAL, CORE, TU Delft, Normandie y CUHK — entre ellos una tesis defendida en marzo de 2026 que, tras cuatro años de investigación dirigida, sigue apoyándose en hardware de seguridad.
- Google Patents
- Búsqueda a texto completo y por clasificación, unas cuarenta consultas, con veintisiete patentes leídas a nivel de reivindicación.
- Documentos de bancos centrales
- Veinticuatro proyectos, trece de ellos en el texto completo del documento oficial — BIS, el BCE, el Bank of England, el Riksbank, la Fed y el EDPB — y cada uno de los doce proveedores del BIS Project Polaris, por separado.
- Organismos de normalización
- ISO/TS 12812, EMVCo, ISO 20022, W3C, ETSI, X9 y GSMA. Donde el texto completo está tras un muro de pago, solo se afirma aquello que respalda el ámbito publicado.
- Sistemas históricos de valor almacenado
- Veinticinco sistemas rastreados hasta las fuentes primarias — Mondex, DigiCash, CAFE, GeldKarte, Octopus y el resto del campo.
- Corpus industrial y no académico
- El archivo completo de media.ccc.de y DEF CON 27 a 33.
- Registros de financiación de investigación
- A través del agregador OpenAIRE: CORDIS, ANR, DFG, UKRI, NWO, NSF y FWF. La consulta offline AND payment devuelve cero proyectos.
- Literatura no anglófona
- Fuentes chinas, japonesas, coreanas, rusas, alemanas y francesas. Todo lo accesible descansa, sin excepción, en un anclaje de confianza en el hardware.
La segunda y la tercera ronda de investigación no aportaron ningún hallazgo nuevo contra las seis primeras propiedades. La búsqueda llegó a saturación.
Voces de fuera
Citas sobre el dinero digital y el pago sin conexión en sí.
Each faces open challenges: complete reliance on trusted hardware, the deanonymisation of honest users in the case of double-spending, or growing transactions with each offline payment. To date, no system providing offline functionality has been implemented.
(Cada uno se enfrenta a retos abiertos: dependencia total de hardware de confianza, la desanonimización de los usuarios honestos en caso de doble gasto, o transacciones que crecen con cada pago sin conexión. Hasta la fecha no se ha implementado ningún sistema que ofrezca funcionamiento sin conexión.)
In a fully offline setting without secure hardware, double-spending cannot be prevented. … [El modo de varios saltos] hinges entirely on the security of the hardware.
(En un entorno plenamente sin conexión y sin hardware seguro, el doble gasto no se puede impedir. … [El modo de varios saltos] depende por completo de la seguridad del hardware.)
Local storage settlement model — a settlement model referring to secure element (SE) in the digital euro user's devices performing the technical tasks of verification and registration of holdings…
(Modelo de liquidación con almacenamiento local — un modelo de liquidación que remite al elemento seguro (SE) de los dispositivos del usuario del euro digital, encargado de las tareas técnicas de verificación y registro de los saldos…)
All solutions used secure elements to support double spend and counterfeit prevention or to protect cryptographic key information.
(Todas las soluciones usaron elementos seguros para sostener la prevención del doble gasto y de la falsificación, o para proteger la información de claves criptográficas.)
This was not possible as our assessment is that it was not possible to achieve adequate safety. We therefore chose to base the offline solution solely on cards.
(No fue posible, porque a nuestro juicio no se podía alcanzar una seguridad adecuada. Por eso optamos por basar la solución sin conexión únicamente en tarjetas.)
Any solution will depend on the tamper resistance of the user device to protect against physical and cyber attacks.
(Cualquier solución dependerá de la resistencia a manipulación del dispositivo del usuario para protegerse frente a ataques físicos y cibernéticos.)
Otras dos frases describen exactamente el dilema aparente al que apuntaba toda la investigación. El BIS: “if there are no links between devices and user identity, there would be no way to identify potentially malicious users even if malicious devices can be blocked in the system.” (Si no hay vínculos entre los dispositivos y la identidad del usuario, no habría forma de identificar a los usuarios potencialmente maliciosos, aunque los dispositivos maliciosos sí se puedan bloquear en el sistema.) El Bank of England: “if double spending were to occur, there would be no way of knowing which device initiated it.” (Si se produjera un doble gasto, no habría forma de saber qué dispositivo lo inició.)
En 2026 el campo de la banca central trata el anonimato y la identificación del tramposo como alternativas excluyentes. La literatura criptográfica sabe desde 2021 que no lo son. Lo que faltaba era la instanciación que se puede implantar.
Dónde se sitúa Pactena
La viabilidad criptográfica de esta combinación de propiedades la estableció la literatura académica — Baldimtsi–Chase–Fuchsbauer–Kohlweiss en 2015 y Bauer–Fuchsbauer–Qian en 2021. Eso no se discute. Lo que Pactena añade es la innovación y la implementación: tamaños medidos, tiempo de verificación medido, implementación de referencia y demo en funcionamiento, en un teléfono corriente y sin hardware de seguridad. El paquete de pago que se entrega al receptor ocupa unos 456 bytes recién emitido y unos 956 bytes en la cadena más profunda, verificado en unos 12 ms.
La profundidad de transferencia está acotada a propósito en diez saltos, preservando la privacidad. La revisión criptográfica externa de la capa de pago está en marcha; el resultado se publicará. La especificación está completa.
Hasta agosto de 2026 no se conoce ningún otro sistema de pago documentado públicamente y en funcionamiento que ofrezca esta combinación de propiedades en conjunto, de forma implementada y medida.
La investigación se ejecuta de forma continua. Si conoce un sistema así, sinceramente nos gustaría conocerlo.