01
オフラインでの確定
受け取る側が、ネットワークなしで、その場で判断します。リスクを先送りして後から誰かが背負う store-and-forward ではなく — 本当に、その場で確定する受け入れです。
これまでの経緯
分野を、測りました。
「ほかにそのようなシステムは知られていない」という形の主張は、その背後にある調査の値打ちとちょうど同じだけの値打ちしかありません。そこで以下に置くのは、評価基準、調べた情報源、そして結果です — 一つひとつ、名指しで。
評価基準
それぞれ単独で判定できる7つの性質。これに照らせば、どんなシステムも — 学術的な構成、産業製品、中央銀行の実証実験、特許も — 測ることができます。最初の6つは反証可能です。6つすべてを満たすシステムをひとつ示せれば、この主張は崩れます。
02
ハードウェアへの信頼が不要
安全性の議論が、利用者の端末内の耐タンパー部品に依存しません。セキュリティハードウェアのない、ふつうのスマートフォンで成り立ちます。そうした部品を任意で使うのは差し支えありません。チップがなければ崩れる主張は、認められません。
03
多ホップの受け渡し
デジタル紙幣がオフラインのまま、手から手へ渡っていくこと — 発行体に戻ることなく、少なくとも2ホップ。これが電子マネーカードと現金の違いです。カードからは価値が加盟店へ移ってそこで止まりますが、紙幣は先へ進みます。
04
自ら露見する不正
二重使用をした者の身元が、2つの支払いの痕跡から暗号的に復元できること。信頼された第三者が何かを開封するのでも、当局が判断を下すのでもありません — 数学が答えを出し、誰でも確かめられます。
05
無実の者を巻き込まない特定
システムは最初の不正者だけを正確に名指しし、連鎖のほかの善意の参加者は全員、匿名のままです — 不正者より前の善意の保有者も、あとの保有者も露見せず、疑いをかけられることもありません。
06
濡れ衣の排除
善意の利用者に対して有効な二重使用の証明を作れないことを述べた、形式的な定理 — 悪意ある発行体にも、結託した連鎖の参加者にもできません。文献ではこれを exculpability、あるいは non-frameability と呼びます。本当の意味での責任追及を、単なる告発可能性から分けるのが、この性質です。
07
導入可能性
版が管理された仕様書、参照実装、動作するデモ、測定されたサイズと実行時間、名指しされた曲線の選択、実運用の基盤レイヤー、そして規制と救済の枠組み。紙の上では正しくても、レジで使えない構成は決済システムではありません。
評価基準に向けられる決まった反論は、作った本人が自分に合わせて仕立てたのだろう、というものです。だからこそ挙げておく値打ちがあります。まったく独立した体系化が、5つめの性質をこれとまったく同じ形で測っているのです。2026年3月の SoK: Offline Payment Systems（インスブルック大学、ウィーン大学、SBA Research；arXiv:2603.16320、36システム）の表の一列が「privacy revocation」で、その定義はこうです。二重使用の場合にのみ匿名性が解除されるなら DS、二重使用者を検出した副作用として善意の利用者の匿名性が意図せず解除されうるなら U。著者たちは U を赤で、明確に望ましくない性質として組んでいます。完全なオフライン能力をもつシステムのうち、U がつくのはちょうど2つ — 上の評価基準が反例として名指しするのと同じ2つの構成です。この判定基準は Pactena の発明ではありません。
学術の系譜
40年を、項目ごとに。それぞれ、何をもたらし、何を代償にしたかとともに。順に読むと、この系譜には形があることが分かります。ある性質を勝ち取った一歩は、どれも別のところでその代金を払っているのです。
- 年
1982
何だったのかChaum：ブラインド署名。
何をもたらしたか匿名のデジタル現金という着想。今日まで基礎であり続けるほど洗練された構成の中で示されました。
代償オンライン。加盟店は支払いのたびに銀行へ問い合わせ、その紙幣がすでに使われていないかを確かめなければなりません。オフラインでは使えず、受け渡しもありません。
- 年
1988
何だったのかChaum–Fiat–Naor：オフライン電子現金。
何をもたらしたか自ら露見する二重使用の誕生。使った人の身元は紙幣の中に符号化されており、1回の支払いでは何も分かりませんが、2回の支払いがあれば銀行が不正者の名前を計算できます。
代償1ホップ。利用者が加盟店に支払い、加盟店が預け入れる。手から手へ渡ることはありません。そして正確に述べておくべき点がひとつ。この論文には、防止に関する不可能性証明は含まれていません。含まれているのは設計上の判断です — オフラインでは防止を与えられないため、防止ではなく検出の上に築いたのです。
- 年
1990–1992
何だったのかOkamoto–Ohta：初の譲渡可能な電子現金。
何をもたらしたか何人の利用者のあいだでも先へ渡っていけるお金。
代償匿名性が弱いこと。二重使用がまったくなくても、2つの支払いが同じ利用者によるものかどうかを判定できてしまいます。文献はのちにこれを weak anonymity と呼びました。
- 年
1993
何だったのかChaum–Pedersen：ひとつの否定的結果。
何をもたらしたか譲渡された紙幣は受け渡しのたびに必然的に大きくなること、そして資源に上限のない観測者は、かつて自分が持っていた紙幣をつねに見分けられることの証明。
代償この定理は、以後の系譜すべての上にのしかかります。譲渡可能な構成は、どれもホップごとに代金を払わなければなりません。残された問いは、いくら払うのかだけです。
- 年
2005
何だったのかCamenisch–Hohenberger–Lysyanskaya：Compact E-Cash。
何をもたらしたか引き出しの効率における突破 — 一度の操作で多数の紙幣を、小さな保持量で。以来、広く使われる構成要素になりました。
代償譲渡できません。利用者から加盟店へ、そこで道は終わりです。
- 年
2008
何だったのかCanard–Gouget：形式モデル。
何をもたらしたか譲渡可能な現金の匿名性概念についての初の形式的体系化と、考えうる最強の概念が到達不能であることの証明。到達可能な性質をすべて満たす構成も与えています。
代償文献自身の言葉で「completely impractical」（まったく実用的でない） — 一般的な計算量理論の帰着に依拠しているため、構築できるシステムではなく概念実証にとどまります。
- 年
2009
何だったのかFuchsbauer、Vergnaud ら：サイズが一定の譲渡可能な現金。
何をもたらしたか増大の限界を巧みに迂回する方法。連鎖の履歴を紙幣の中ではなく、利用者が持つ受領証の中に保存します。サイズは一定のままです。
代償これは物語全体でもっとも示唆に富む代償です。二重使用が起きると、信頼された追跡者は、汚れた紙幣がそのあと通った善意の保有者の身元まで明らかにできました — 無実の者が有罪の者の代金を払ったのです。たとえ、それが特権をもつ一者に対してだけだとしても。公平のために2点補っておきます。匿名性が失われるのは公に対してではなく、その信頼された相手に対してだけであること、そして手続きは対話的で、利用者から受領証を取り寄せる必要があることです。それでも上の評価基準では、この性質は満たされません。善意の保有者が特定され、疑われる立場になるからです。
- 年
2011
何だったのかBlazy ら：裁判官を置いた匿名性。
何をもたらしたか先行研究の欠点を修復し、善意の利用者の匿名性を取り戻しました。
代償すべてを見通す裁判官が必要です。しかもその鍵は不正者を特定するだけではありません。それを使えば、いつでも、どの紙幣も、どの利用者も追跡できてしまいます。代償は下がったのではなく、形を変えたのです — システム全体の匿名性を開けてしまう、たったひとつの鍵へと。
- 年
2015
何だったのかBaldimtsi–Chase–Fuchsbauer–Kohlweiss：完全に匿名な譲渡可能現金。
何をもたらしたか信頼された第三者なしに、文献の3つの匿名性概念すべてを狙った初の構成。著者たちは設計目標をこう述べています。「it needs to ensure that the right user is accused while the anonymity of honest owners … will be preserved」（告発される利用者が真の不正者であり、しかも善意の保有者の匿名性は保たれるようにしなければならない） — 実質的に、上の評価基準の5つめの性質そのものです。2015年の時点で。
代償代償は2つ。最強の匿名性概念に対する証明には、のちに誤りが見つかりました — 見つけたのは次の章の著者たちです。もうひとつは、文献自身の評価によれば「hardly practical」（とうてい実用的とは言えない）であり、構成要素は「far from being implementable on constrained mobile devices」（資源の限られたモバイル端末に実装するには程遠い）だということです。
Bauer–Fuchsbauer–Qian、2021年 — 唯一の真の対抗馬
2021年、Balthazar Bauer、Georg Fuchsbauer、Chen Qian は PKC で Transferable E-Cash: A Cleaner Model and the First Practical Instantiation を発表しました。この構成は、反証可能な6つの性質すべてを満たします。オフラインでの確定、ハードウェアへの信頼が不要であること、上限のない受け渡しの深さ、自ら露見する二重使用、無実の者を巻き込まない特定、そして形式的な濡れ衣排除の定理 — 最後のものは、悪意ある銀行と結託した連鎖の参加者の双方に対して同時に成り立ちます。文献の3つの匿名性概念はすべて、最強のものを含めて証明されています。2026年の独立した体系化もこれを追認し、彼らを「二重使用の場合にのみ」の側に置いています。
したがって、この性質の組み合わせが実現可能であることを示したのは彼らです。それは争いようがありません。このページの残りの記述が検証できるのは、概念の出どころが名指しされ、そこに何が加わったのかも同じだけ正確に示されているからです。
行われなかったことは、あくまで事実の範疇であり、3つの要素からなります。公表された実装がないこと、測定された実行時間がないこと、曲線の選択がないことです。これは3つの独立した情報源が裏づけています — この論文を引用する ACNS 2026 の論文（「the performance of Bauer et al. is not reported」）、実装・秒あたり取引数・遅延の各セルが空欄になっている2026年の SoK の表、そして筆頭著者自身の博士論文です。その全文を実行時間、バイトサイズ、試作、曲線について検索しても、実質的な結果は返りません。
We view this as practical by current standards.
| 指標 | Bauer–Fuchsbauer–Qian 2021 | Pactena v8 |
|---|---|---|
| 受取人に渡される支払いパッケージ、引き出し直後 | 19,248 バイト | ~456 バイト |
| 受け渡し1回あたりの増加 | +7,392 バイト | +48 バイト |
| もっとも深い連鎖 | 深さに上限なし | ~956 バイト（10ホップ） |
| オフライン検証 | 測定なし | ~12 ms |
| 実装、ベンチマーク、曲線の選択 | 公表なし | 参照実装と動作するデモ |
この数値は論文の効率分析から得たものです。そこではサイズが抽象的な群要素の個数で示されており、著者たち自身が検討した曲線に換算すると — この換算は引用文献でも行われ、同じ結果に達しています — 上のバイトサイズが得られます。彼らの紙幣は発行直後でおよそ19キロバイト、受け渡しのたびにおよそ7キロバイトずつ増え、10段階の連鎖のあとには90キロバイトの桁になります。これは著者たちの誤りではありません。最強の匿名性概念の代価であり、彼らはそれを意識して引き受け、論文の中で理由も述べています。比較の対象を証明ではなく支払いパッケージにしているのは、彼らの有罪の証明が96バイトで、深さによらず一定だからです。証明サイズで測れば、2つのシステムは見分けがつきません。
違いは、2つの点における意図的なトレードオフです。Pactena の受け渡しの深さは10ホップに制限されており（設定可能なパラメータです）、Bauer–Fuchsbauer–Qian の構成には制限がありません。Pactena のプライバシーは取引単位のもので、システム全体ではなく発行体の境界で区画化されています。加盟店は誰が支払ったかを知らず、受け取る側は目の前の相手を検証しますが、それより前の保有者については何も分かりません。発行体が知るのは自分の顧客と、清算相手の発行体だけです。連鎖の中間の利用者は、誰に対しても露見しません。文献における最強の匿名性概念は、発行体が自分の発行したものを追えないことまで求めます — 規制され、KYC に基づく仕組みの中では、それは必要でも望ましくもありません。発行体の境界でこそ、説明責任が要るからです。トレードオフの代価は測れます。Pactena の支払いパッケージは受け渡し1回につき48バイトしか増えません。7キロバイトではなく。実現できることを示したのは Bauer、Fuchsbauer、Qian です。それを実際に導入できることを示すのが Pactena です。
産業と中央銀行の系譜
1990年代には、実際にオフラインのデジタル現金がありました。多くの国で、大きな規模で。ここは多くの解説が省く部分ですが、いまの状況が理解できるのは、まさにこの部分からです。
- 年
1990年代
何だったのかDigiCash / eCash — Chaum の会社。
何をもたらしたか匿名のデジタル決済が成り立つことの証明。ふつうのパーソナルコンピュータで、セキュリティハードウェアなしに。
代償出荷された製品では、銀行がすべての紙幣をオンラインで検証していました。オフラインモードは「future extension」（後日の拡張）のままでした。会社は1998年に倒産しました。
- 年
1992–1995
何だったのかCAFE — Chaum が参加した EU の ESPRIT プロジェクト。
何をもたらしたか当時もっとも洗練された構成であり — 不正者を暗号的に特定できた、当時唯一の構成でもありました。「Even if the tamper-resistance is broken, users who spend electronic money more than once are identified, and the identity of the user whose guardian was used for this fraud can be proved.」（改ざん耐性が破られたとしても、電子マネーを二度以上使った利用者は特定され、その不正に使われた保護装置の持ち主が誰であるかも証明できる。） 1994年の時点で著者たちは、重要なのは検出そのものではなく、法廷で通用する証明可能性だと見抜いていました。
代償プロジェクト自身の言葉では「it allows just one transfer of the electronic money」（電子マネーの受け渡しを一度しか認めない）。1ホップ。連鎖はありません。プロジェクトは1995年11月に予定どおり終了し、製品になることはありませんでした。
- 年
1990年代
何だったのかMondex — NatWest、のちに Mastercard。
何をもたらしたかカードからカードへ、オフラインで、手から手へ、あいだに清算を挟まずに — 当時、連鎖を長さの上限なく実現できた唯一のシステムでした。ITSEC E6 の認証、形式的な安全性モデル、そして十数か国での実運用。
代償信頼はチップの中に移りました。カードは誰も不正をしていないことを証明したのではなく、不正が実行不可能であることに頼っていたのです。不正者の特定はありません。カードは直近の10取引しか保存せず、全体を通した監査記録は存在しませんでした。当時の批判が指摘したのは、まさにこの点です。最後の市場は2008年に閉じました。
- 年
1996–2020年代
何だったのかGeldKarte、Octopus、Proton、Chipknip、Danmønt、Quick、Moneo、Visa Cash。
何をもたらしたか実際に動き、広く普及したオフライン決済。複数の国で、場合によっては何十年にもわたって。
代償いずれも耐タンパー性のあるICカードの上に築かれています。利用者どうしの受け渡しは、明確に排除されているか — ドイツの GeldKarte の文書は「Nichtübertragbarkeit von Guthaben」（残高の譲渡不可能性）の原則に一節を割いています — Octopus のようにオンラインのアプリケーションを介して行われます。不正者を暗号的に特定できるものはひとつもありません。悪用は中央のシャドー口座とブラックリストで処理されます。
- 年
2020年代
何だったのか中央銀行：デジタルユーロのオフライン層、e-CNY、UPI Lite X、e-krona の実証実験、デジタルポンド、BIS Project Polaris。
何をもたらしたか規制された環境の、実運用で大量の取引を扱うシステムにおけるオフライン決済。場合によっては1ホップを超えるものも。
代償安全性の拠りどころは、どこでも利用者の端末内のチップであり、不正者の特定は、ないか、暗号的ではなく制度的な手段によります。Bank of England の2025年の実験では、5社中5社がセキュアエレメントを使いました。Riksbank はスマートフォンだけに基づく設計を試み、それを書面で退けています。
2つのパターンがあり、どちらも40年を通じて成り立ちます。オフライン決済を本気で扱ったところでは、下にハードウェアが敷かれました。代わりに数学を選んだところでは、何も世に出ないか、正直な者が不正者の代償を払いました。多ホップのオフライン連鎖と、不正者の暗号的な特定を同時に満たした歴史上のシステムはありません。Mondex は連鎖はもっていましたが特定はもたず、CAFE は特定はもっていましたが連鎖はもちませんでした。
そして、もっとも重い歴史の脚注。David Chaum 自身が2022年にオフラインの、手から手へ渡る決済に立ち戻ったとき、彼は物理カードに手を伸ばし、こう書きました。「Solutions relying only on software, including previous proposals by the present author, do not provide strong assurance of finality.」（ソフトウェアだけに依拠する解決策は — 本稿の著者による従来の提案も含めて — 確定性について強い保証を与えない。） この引用は両刃であり、その両方の読み方がここに属します。ひとつは、この分野の創始者が、純粋にソフトウェアだけの道では誰も成功していないと述べているという読み方。もうひとつは、大きな権威が、その道はどこにも通じていないと述べているという読み方です。後者は重い問いかけであり — Pactena の構成が、設計されるだけでなく測定された理由も、そこにあります。
精査した情報源
「ほかには見つからなかった」という形の主張は、その背後にある調査の値打ちだけの重みしかありません。そこで以下に、情報源を一つひとつ名前で挙げ、どこまで調べたかも添えます。
- IACR ePrint アーカイブ
- 譲渡可能な電子現金のコーパス全体 — 5件、最新のものは Bauer–Fuchsbauer–Qian の2020年のプレプリントです。以後、新しい譲渡可能な構成は現れていません。
- DBLP
- この系譜に連なる全著者の2021年以降の出版リスト、そして Bauer–Fuchsbauer–Qian を引用する38本の論文を、1本ずつ読了。
- SoK: Offline Payment Systems, 2026
- この調査が扱う36システムすべてを、論文の LaTeX ソースから読み出し、セル単位で確認。
- 会議プログラム
- Real World Crypto の2015年から2026年までの全プログラム、IACR の動画アーカイブ2,290本、Financial Cryptography の本会議と CoDecFin ワークショップの2019年から2026年まで。
- 博士論文と修士論文
- HAL、CORE、TU Delft、Normandie、CUHK の各アーカイブ — 2026年3月に審査された論文も含みます。4年にわたる的を絞った研究の末にも、なおセキュリティハードウェアに依拠しています。
- Google Patents
- 全文検索と分類検索、約40件のクエリ。うち27件の特許は請求項の水準まで読了。
- 中央銀行と国際機関の文書
- 24件のプロジェクト、うち13件は公式文書の全文で — BIS、ECB、Bank of England、Riksbank、Fed、EDPB。BIS Project Polaris の12社のベンダーは、それぞれ個別に。
- 標準化団体
- ISO/TS 12812、EMVCo、ISO 20022、W3C、ETSI、X9、GSMA。全文が有料の場合は、公開されている適用範囲から裏づけられることだけを述べています。
- 歴史上のストアドバリュー方式
- 25件のシステムを一次資料までさかのぼって追跡 — Mondex、DigiCash、CAFE、GeldKarte、Octopus、そして同時代のほかの顔ぶれ。
- 産業・非学術のコーパス
- media.ccc.de の全アーカイブと、DEF CON 27 から 33 まで。
- 研究資金の登録簿
- OpenAIRE のアグリゲータを通じて、CORDIS、ANR、DFG、UKRI、NWO、NSF、FWF。offline AND payment のクエリは、プロジェクトをゼロ件返します。
- 非英語の文献
- 中国語、日本語、韓国語、ロシア語、ドイツ語、フランス語の資料。アクセスできたものは例外なく、ハードウェアによる信頼の拠りどころの上に立っています。
2回目と3回目の調査は、最初の6つの性質について新しい発見をひとつももたらしませんでした。調査は飽和に達しています。
外部の声
デジタルマネーとオフライン決済そのものについての引用です。
Each faces open challenges: complete reliance on trusted hardware, the deanonymisation of honest users in the case of double-spending, or growing transactions with each offline payment. To date, no system providing offline functionality has been implemented.
(いずれも未解決の課題を抱えています。信頼されたハードウェアへの全面的な依存、二重使用が起きた場合の善意の利用者の匿名性の喪失、あるいはオフライン決済のたびに大きくなる取引データです。現在までに、オフライン機能を備えたシステムは実装されていません。)
In a fully offline setting without secure hardware, double-spending cannot be prevented. … [The multi-hop mode] hinges entirely on the security of the hardware.
(完全にオフラインの環境では、セキュリティハードウェアなしに二重使用を防ぐことはできません。……[多ホップモード]は、全面的にハードウェアの安全性に依存します。)
Local storage settlement model — a settlement model referring to secure element (SE) in the digital euro user's devices performing the technical tasks of verification and registration of holdings…
(ローカル保管型の決済モデル — デジタルユーロの利用者の端末内にあるセキュアエレメント（SE）を指す決済モデルであり、そのセキュアエレメントが保有額の検証と記録という技術的な作業を行う…)
All solutions used secure elements to support double spend and counterfeit prevention or to protect cryptographic key information.
(すべての解決策が、二重使用と偽造の防止を支えるため、あるいは暗号鍵の情報を保護するために、セキュアエレメントを使用していました。)
This was not possible as our assessment is that it was not possible to achieve adequate safety. We therefore chose to base the offline solution solely on cards.
(これは実現できませんでした。十分な安全性を達成することはできない、というのが私たちの評価だからです。そのため、オフラインの解決策はカードのみに基づくことを選びました。)
Any solution will depend on the tamper resistance of the user device to protect against physical and cyber attacks.
(いかなる解決策も、物理的な攻撃とサイバー攻撃から守るために、利用者端末の耐タンパー性に依存することになります。)
さらに2つの文が、この調査全体が向き合ってきた見かけ上のジレンマを言い表しています。BIS：「if there are no links between devices and user identity, there would be no way to identify potentially malicious users even if malicious devices can be blocked in the system.」（端末と利用者の身元とのあいだに結びつきがなければ、悪意ある端末をシステムから締め出せたとしても、悪意ある利用者を特定する手立てはありません。）Bank of England：「if double spending were to occur, there would be no way of knowing which device initiated it.」（二重使用が起きたとしても、どの端末がそれを始めたのかを知る手立てはありません。）
2026年の中央銀行の世界は、匿名性と不正者の特定を両立しないものとして扱っています。暗号の文献は2021年から、そうではないと知っています。欠けていたのは、実際に導入できる具体化でした。
Pactena の立ち位置
この性質の組み合わせが暗号的に実現可能であることは、学術文献が確立しました — 2015年のBaldimtsi–Chase–Fuchsbauer–Kohlweiss、そして2021年の Bauer–Fuchsbauer–Qian です。それは争いようがありません。Pactena が加えるのは、革新と実装です。測定されたサイズ、測定された検証時間、参照実装と動作するデモ。しかも、ふつうのスマートフォンで、セキュリティハードウェアなしに。受取人に渡される支払いパッケージは、発行直後で約456バイト、連鎖が最大の深さでも約956バイト、検証は約12ミリ秒です。
受け渡しの深さは意図して10ホップに制限されており、プライバシーは保たれます。決済レイヤーの外部暗号レビューは進行中で、その結果は公表されます。仕様は完成しています。
2026年8月時点で、この性質の組み合わせを実装され、測定された形でまとめて備える、公に文書化された動作する決済システムは、ほかに知られていません。
この調査は継続的に実施しています。そのようなシステムをご存じでしたら、ぜひ拝見したく存じます。