01
Finalidade offline
A parte que recebe decide no momento, sem rede. Não é store-and-forward, em que o risco é adiado e mais tarde suportado por outra pessoa — é aceitação genuína e localmente definitiva.
Antecedentes
O campo, medido.
Uma afirmação do tipo “não se conhece outro sistema” vale exatamente o que valer a pesquisa que a sustenta. Por isso, o que se segue é a medida, as fontes e as conclusões — nomeadas, uma a uma.
A medida
Sete propriedades, cada uma decidível por si só, com as quais qualquer sistema pode ser medido — uma construção académica, um produto industrial, um piloto de banco central, uma patente. As seis primeiras são falsificáveis: mostre um sistema que cumpra as seis, e a afirmação cai.
02
Sem confiança no hardware
O argumento de segurança não assenta num componente resistente a manipulação dentro do dispositivo do utilizador. Um smartphone comum, sem hardware de segurança. O uso opcional de um componente desses é aceitável; uma afirmação que se desmorona sem o chip não é.
03
Transferência multissalto
A nota digital segue viagem offline, de mão em mão — pelo menos dois saltos sem regressar ao emissor. É esta a diferença entre um cartão de dinheiro eletrónico e o dinheiro vivo: do cartão, o valor passa para o comerciante e fica por aí; uma nota continua a andar.
04
Fraude autodenunciante
A identidade de quem gasta duas vezes é criptograficamente recuperável a partir dos rastos dos dois pagamentos. Nenhum terceiro de confiança abre selo algum e nenhuma autoridade exerce juízo — a matemática entrega-a, e qualquer pessoa pode verificá-la.
05
Atribuição que poupa os inocentes
O sistema aponta exatamente o fraudador original, e todos os restantes membros honestos da cadeia mantêm o anonimato — nem os detentores honestos anteriores ao fraudador nem os posteriores são expostos, ou sequer postos sob suspeita.
06
Sem incriminação
Um teorema formal que garante que nenhuma prova válida de duplo gasto pode ser produzida contra um utilizador honesto — nem por um emissor mal-intencionado, nem por participantes da cadeia em conluio. A literatura chama-lhe exculpability, ou non-frameability. É o que separa a responsabilização real da mera possibilidade de acusar.
07
Implementabilidade
Uma especificação versionada, uma implementação de referência, um demonstrador funcional, tamanhos medidos e tempos de execução medidos, uma escolha de curva nomeada, uma camada de base em funcionamento real, e um enquadramento regulatório e de ressarcimento. Uma construção correta no papel mas inutilizável à caixa de uma loja não é um sistema de pagamentos.
A objeção habitual a uma medida é que o seu autor a talhou à sua feição. Vale por isso a pena assinalar que uma sistematização inteiramente independente mede a quinta propriedade exatamente da mesma forma. Uma das colunas do SoK: Offline Payment Systems de março de 2026 (Universidade de Innsbruck, Universidade de Viena, SBA Research; arXiv:2603.16320, trinta e seis sistemas) é a “privacy revocation”, definida assim: DS se a revogação ocorrer apenas em casos de duplo gasto, e U se a privacidade de utilizadores honestos puder ser revogada involuntariamente, como efeito secundário da deteção de quem gastou duas vezes. Os autores marcam o U a vermelho, como propriedade expressamente indesejável. Dos sistemas com capacidade offline plena, exatamente dois recebem um U — as mesmas duas construções que a medida acima nomeia como contraexemplos. O critério não é uma invenção do Pactena.
A linha académica
Quatro décadas, item a item, cada um com o que deu e com o que custou. Lida em sequência, a linha tem uma forma: cada passo que ganhou uma propriedade pagou-a noutro lugar.
- Ano
1982
O que eraChaum: a assinatura cega.
O que deuA ideia do dinheiro digital anónimo, numa construção suficientemente elegante para continuar a ser fundacional até hoje.
O preçoOnline. O comerciante tem de ligar ao banco em cada pagamento para saber se a nota já foi gasta. Inutilizável offline, e não há transferência.
- Ano
1988
O que eraChaum–Fiat–Naor: dinheiro eletrónico offline.
O que deuO nascimento do duplo gasto autodenunciante. A identidade de quem gasta é codificada na nota de tal forma que um pagamento nada revela, ao passo que dois pagamentos permitem ao banco calcular o nome do fraudador.
O preçoUm salto. O utilizador paga ao comerciante, o comerciante deposita. Não há circulação de mão em mão. E um ponto que vale a pena dizer com precisão: o artigo não contém nenhuma prova de impossibilidade sobre a prevenção. O que contém é uma decisão de conceção — assenta na deteção em vez da prevenção, porque offline a prevenção não pode ser garantida.
- Ano
1990–1992
O que eraOkamoto–Ohta: o primeiro dinheiro eletrónico transferível.
O que deuDinheiro que pode seguir entre um número qualquer de utilizadores.
O preçoO anonimato é fraco. Mesmo sem qualquer duplo gasto, é decidível se dois pagamentos foram feitos pelo mesmo utilizador. A literatura viria a chamar-lhe weak anonymity.
- Ano
1993
O que eraChaum–Pedersen: um resultado negativo.
O que deuA prova de que uma nota transferida cresce necessariamente a cada passagem de mão, e de que um observador com recursos ilimitados reconhece sempre uma nota que já teve.
O preçoEste teorema paira sobre toda a linha que se lhe segue. Qualquer construção transferível tem de pagar por salto. A única questão em aberto é quanto.
- Ano
2005
O que eraCamenisch–Hohenberger–Lysyanskaya: Compact E-Cash.
O que deuUm avanço na eficiência do levantamento — muitas notas numa só operação, num pequeno acervo. Desde então, um bloco de construção largamente usado.
O preçoNão é transferível. Do utilizador para o comerciante, e a estrada acaba ali.
- Ano
2008
O que eraCanard–Gouget: o modelo formal.
O que deuA primeira sistematização formal das noções de anonimato para dinheiro transferível, e a prova de que a noção mais forte concebível é inatingível. Dão também uma construção que cumpre todas as propriedades atingíveis.
O preçoNas palavras da própria literatura, “completely impractical” (completamente impraticável) — assenta em reduções genéricas da teoria da complexidade, pelo que é uma prova de conceito e não um sistema construível.
- Ano
2009
O que eraFuchsbauer, Vergnaud e coautores: dinheiro transferível de tamanho constante.
O que deuUma forma elegante de contornar o limite de crescimento: o histórico da cadeia não viaja na nota, fica guardado em recibos na posse dos utilizadores. O tamanho mantém-se constante.
O preçoEste é o preço mais instrutivo de toda a história. Num duplo gasto, um rastreador de confiança podia revelar a identidade de detentores honestos por cujas mãos a nota contaminada passou depois — os inocentes pagaram pelo culpado, ainda que apenas perante uma parte privilegiada. Duas clarificações, por justiça: o anonimato não se perde publicamente, apenas perante essa parte de confiança, e o processo é interativo, exigindo que se peçam recibos aos utilizadores. Pela medida acima, a propriedade continua a falhar: os detentores honestos tornam-se identificados, e tornam-se suspeitos.
- Ano
2011
O que eraBlazy e coautores: anonimato com um juiz.
O que deuUma reparação das deficiências do trabalho anterior, devolvendo o anonimato ao utilizador honesto.
O preçoPrecisa de um juiz que vê tudo. Essa chave não identifica apenas o fraudador: com ela, qualquer nota e qualquer utilizador podem ser rastreados a qualquer momento. O preço não baixou, mudou de forma — uma única chave que abre o anonimato de todo o sistema.
- Ano
2015
O que eraBaldimtsi–Chase–Fuchsbauer–Kohlweiss: dinheiro transferível totalmente anónimo.
O que deuA primeira construção a visar as três noções de anonimato da literatura sem terceiro de confiança. Os autores descrevem assim o objetivo de conceção: “it needs to ensure that the right user is accused while the anonymity of honest owners … will be preserved” (é preciso garantir que o utilizador acusado seja o verdadeiro infrator, mantendo-se ao mesmo tempo o anonimato dos detentores honestos) — em substância, a quinta propriedade da medida acima, já em 2015.
O preçoDois preços. A prova da noção de anonimato mais forte viria a revelar-se com um erro — descoberto pelos autores do capítulo seguinte. E, pela avaliação da própria literatura, é “hardly practical” (dificilmente prático); os blocos de construção estão “far from being implementable on constrained mobile devices” (longe de serem implementáveis em dispositivos móveis com recursos limitados).
Bauer–Fuchsbauer–Qian, 2021 — o único verdadeiro rival
Em 2021, Balthazar Bauer, Georg Fuchsbauer e Chen Qian apresentaram na PKC o trabalho Transferable E-Cash: A Cleaner Model and the First Practical Instantiation. A construção deles cumpre as seis propriedades falsificáveis. Finalidade offline, sem confiança no hardware, profundidade de transferência ilimitada, duplo gasto autodenunciante, atribuição que poupa os inocentes, e um teorema formal de impossibilidade de incriminar — este último contra um banco mal-intencionado e participantes da cadeia em conluio ao mesmo tempo. As três noções de anonimato da literatura estão provadas, incluindo a mais forte. A sistematização independente de 2026 confirma-o e coloca-os do lado do “only in cases of double-spending”.
A viabilidade da combinação de propriedades foi, portanto, demonstrada por eles. Isso não se discute. O resto desta página é verificável precisamente porque a fonte do conceito está nomeada, e porque o que lhe foi acrescentado está nomeado com igual exatidão.
O que não foi feito é estritamente uma categoria de facto, e tem três elementos: não há implementação publicada, não há tempo de execução medido e não há escolha de curva. Três fontes independentes confirmam-no — um artigo da ACNS 2026 que cita o trabalho (“the performance of Bauer et al. is not reported”), a tabela do SoK de 2026, onde as células da implementação, das transações por segundo e da latência estão vazias, e a própria tese de doutoramento do primeiro autor, na qual uma pesquisa do texto integral por tempos de execução, tamanhos em bytes, um protótipo ou uma curva não devolve nada de substancial.
We view this as practical by current standards.
| Medida | Bauer–Fuchsbauer–Qian 2021 | Pactena v8 |
|---|---|---|
| Pacote de pagamento entregue ao recetor, após o levantamento | 19 248 bytes | ~456 bytes |
| Crescimento por transferência | +7 392 bytes | +48 bytes |
| Cadeia mais profunda | profundidade ilimitada | ~956 bytes (dez saltos) |
| Verificação offline | não medida | ~12 ms |
| Implementação, benchmark, escolha de curva | nada publicado | implementação de referência e demonstrador funcional |
Os números da tabela vêm da análise de eficiência do artigo, que dá os tamanhos em contagens abstratas de elementos de grupo. Convertidas para a curva que os próprios autores examinaram — uma conversão que a literatura citante também fez, chegando ao mesmo resultado —, essas contagens dão os tamanhos em bytes acima. A nota deles tem cerca de dezanove kilobytes quando acabada de emitir e cresce cerca de sete kilobytes a cada passagem de mão; ao fim de uma cadeia de dez passos, anda pela ordem dos noventa kilobytes. Isto não é um erro dos autores: é o preço da noção de anonimato mais forte, que assumiram deliberadamente e justificaram no artigo. A comparação é feita em pacotes de pagamento e não em provas porque a prova de culpa deles tem 96 bytes e é constante com a profundidade — medidos pelo tamanho da prova, os dois sistemas seriam indistinguíveis.
A diferença é uma contrapartida deliberada em dois pontos. A profundidade de transferência do Pactena é limitada — dez saltos, como parâmetro configurável — e a deles não é. A privacidade do Pactena é transacional e compartimentada na fronteira do emissor, e não à escala de todo o sistema: o comerciante não fica a saber quem pagou; o recetor verifica a contraparte que tem à sua frente, mas nada fica a saber sobre os detentores anteriores; e um emissor conhece apenas o seu próprio cliente, mais o emissor com quem tem de liquidar. Os utilizadores intermédios da cadeia não ficam expostos perante ninguém. A noção de anonimato mais forte da literatura exigiria também que um emissor não pudesse seguir a sua própria emissão; num sistema regulado e assente em KYC, isso não é necessário nem desejável, porque é precisamente responsabilização o que se exige na fronteira do emissor. O preço da contrapartida é mensurável: o pacote de pagamento do Pactena cresce 48 bytes por transferência, e não sete kilobytes. Bauer, Fuchsbauer e Qian mostraram que se pode fazer; o Pactena mostra que se pode implementar.
A linha industrial e dos bancos centrais
Nos anos 90 houve mesmo dinheiro digital offline, em muitos países e à escala. É esta a parte que a maioria dos relatos deixa de fora, e é a partir dela que se compreende a situação atual.
- Ano
Anos 90
O que eraDigiCash / eCash — a empresa de Chaum.
O que deuA prova de que o pagamento digital anónimo funciona, num computador pessoal comum, sem hardware de segurança.
O preçoNo produto que chegou ao mercado, o banco verificava cada nota online; o modo offline ficou como “future extension” (extensão futura). A empresa faliu em 1998.
- Ano
1992–1995
O que eraCAFE — o projeto ESPRIT da UE, com a participação de Chaum.
O que deuA construção mais apurada do período — e a única construção dessa altura com identificação criptográfica do fraudador: “Even if the tamper-resistance is broken, users who spend electronic money more than once are identified, and the identity of the user whose guardian was used for this fraud can be proved.” (Mesmo que a resistência à manipulação seja quebrada, os utilizadores que gastam dinheiro eletrónico mais do que uma vez são identificados, e é possível provar a identidade do utilizador cujo dispositivo guardião foi usado nesta fraude.) Já em 1994 os autores viam que o que conta é uma prova que se sustente em tribunal, e não a deteção por si só.
O preçoNas palavras do próprio projeto, “it allows just one transfer of the electronic money” (permite apenas uma única passagem do dinheiro eletrónico). Um salto. Sem cadeia. O projeto encerrou como previsto em novembro de 1995 e nunca chegou a ser produto.
- Ano
Anos 90
O que eraMondex — NatWest, mais tarde Mastercard.
O que deuDe cartão para cartão, offline, de mão em mão, sem compensação pelo meio — na sua época, o único sistema capaz de fazer a cadeia com comprimento ilimitado. Um certificado ITSEC E6, um modelo de segurança formal, e operação real em mais de uma dezena de países.
O preçoA confiança passou para dentro do chip. O cartão não provava que ninguém tinha enganado; apoiava-se em que enganar fosse inviável. Não há identificação do fraudador: o cartão guardava apenas as últimas dez transações, e não existia qualquer registo de auditoria global. A crítica da época dizia exatamente isto. O último mercado fechou em 2008.
- Ano
1996–anos 2020
O que eraGeldKarte, Octopus, Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
O que deuPagamento offline a funcionar e generalizado, em vários países, nalguns casos durante décadas.
O preçoTodos assentes num cartão com chip resistente a manipulação. A transferência entre utilizadores ou está expressamente excluída — a documentação alemã do GeldKarte dedica uma secção ao princípio da “Nichtübertragbarkeit von Guthaben” (a não transmissibilidade dos saldos) — ou passa por uma aplicação online, como no Octopus. Nenhum tem identificação criptográfica do fraudador; o abuso é tratado com contas-sombra centrais e listas negras.
- Ano
Anos 2020
O que eraOs bancos centrais: a camada offline do euro digital, o e-CNY, o UPI Lite X, o piloto da e-krona, a libra digital, o BIS Project Polaris.
O que deuPagamento offline em sistemas reais e de grande volume, em ambiente regulado, nalguns casos com mais do que um salto.
O preçoA âncora de segurança é, em todo o lado, um chip dentro do dispositivo do utilizador, e a identificação do fraudador ou não existe ou é institucional, e não criptográfica. Na experiência de 2025 do Bank of England, cinco fornecedores em cinco usaram secure elements; o Riksbank tentou uma conceção assente apenas em telemóveis e rejeitou-a por escrito.
Dois padrões, e valem ao longo de quarenta anos. Onde o pagamento offline foi levado a sério, puseram-lhe hardware por baixo. Onde a matemática foi a escolhida, ou daí não saiu nenhum sistema que chegasse ao mercado, ou foram os honestos a pagar o preço do fraudador. Nenhum sistema histórico cumpriu ao mesmo tempo a cadeia offline em múltiplos saltos e a identificação criptográfica do fraudador: o Mondex tinha a cadeia mas não a identificação, o CAFE tinha a identificação mas não a cadeia.
O apontamento histórico mais forte é este. Quando o próprio David Chaum regressou ao pagamento offline, de mão em mão, em 2022, foi buscar um cartão físico, e escreveu: “Solutions relying only on software, including previous proposals by the present author, do not provide strong assurance of finality.” (As soluções que assentam apenas em software — incluindo propostas anteriores do presente autor — não oferecem garantia forte de finalidade.) É uma citação de dois gumes, e ambas as leituras pertencem aqui. Numa delas, o fundador da área declara que ninguém tinha conseguido pela via exclusivamente de software. Na outra, uma autoridade considerável declara que essa via não leva a lado nenhum. A segunda leitura é um desafio sério — e é a razão pela qual a construção do Pactena foi medida, e não apenas desenhada.
Fontes examinadas
Uma afirmação do tipo “nada mais foi encontrado” vale o que valer a pesquisa que a sustenta. Por isso, as fontes ficam aqui nomeadas uma a uma, e com elas o alcance de cada uma.
- Arquivo IACR ePrint
- O corpus completo de e-cash transferível — cinco itens, sendo o mais recente a pré-publicação de 2020 de Bauer–Fuchsbauer–Qian. Desde então não apareceu nenhuma construção transferível nova.
- DBLP
- A lista completa de publicações posteriores a 2021 de todos os autores da linha, e os trinta e oito artigos que citam Bauer–Fuchsbauer–Qian, lidos um a um.
- SoK: Offline Payment Systems, 2026
- Os trinta e seis sistemas do levantamento, célula a célula, lidos a partir do código-fonte LaTeX do artigo.
- Programas de conferências
- A Real World Crypto na íntegra, de 2015 a 2026, o arquivo de vídeo da IACR com 2 290 gravações, o programa principal da Financial Cryptography e o workshop CoDecFin de 2019 a 2026.
- Teses de doutoramento e mestrado
- Os arquivos HAL, CORE, TU Delft, Normandie e CUHK — incluindo uma tese defendida em março de 2026 que, após quatro anos de investigação dirigida, continua a assentar em hardware de segurança.
- Google Patents
- Pesquisa de texto integral e por classificação, cerca de quarenta consultas, com vinte e sete patentes lidas ao nível das reivindicações.
- Documentos de bancos centrais e internacionais
- Vinte e quatro projetos, treze deles no texto integral do documento oficial — BIS, BCE, Bank of England, Riksbank, Fed e EDPB —, e cada um dos doze fornecedores do BIS Project Polaris, individualmente.
- Organismos de normalização
- ISO/TS 12812, EMVCo, ISO 20022, W3C, ETSI, X9 e GSMA. Onde o texto integral está atrás de uma barreira de pagamento, afirma-se apenas o que o âmbito publicado sustenta.
- Sistemas históricos de valor armazenado
- Vinte e cinco sistemas seguidos até às fontes primárias — Mondex, DigiCash, CAFE, GeldKarte, Octopus e o resto do campo.
- Corpus industrial e não académico
- O arquivo integral do media.ccc.de e a DEF CON 27 a 33.
- Registos de financiamento à investigação
- Através do agregador OpenAIRE: CORDIS, ANR, DFG, UKRI, NWO, NSF e FWF. A consulta offline AND payment devolve zero projetos.
- Literatura não anglófona
- Fontes chinesas, japonesas, coreanas, russas, alemãs e francesas. Todos os itens acessíveis assentam, sem exceção, numa âncora de confiança em hardware.
A segunda e a terceira rondas de investigação não trouxeram nenhuma conclusão nova contra as seis primeiras propriedades. A pesquisa atingiu a saturação.
Vozes de fora
Citações sobre o próprio dinheiro digital e sobre o pagamento offline.
Each faces open challenges: complete reliance on trusted hardware, the deanonymisation of honest users in the case of double-spending, or growing transactions with each offline payment. To date, no system providing offline functionality has been implemented.
(Cada um enfrenta desafios em aberto: a dependência total de hardware de confiança, a desanonimização de utilizadores honestos em caso de duplo gasto, ou transações que crescem a cada pagamento offline. Até à data, não foi implementado nenhum sistema com funcionalidade offline.)
In a fully offline setting without secure hardware, double-spending cannot be prevented. … [O modo de múltiplos saltos] hinges entirely on the security of the hardware.
(Num ambiente totalmente offline e sem hardware seguro, o duplo gasto não pode ser evitado. … [O modo de múltiplos saltos] depende inteiramente da segurança do hardware.)
Local storage settlement model — a settlement model referring to secure element (SE) in the digital euro user's devices performing the technical tasks of verification and registration of holdings…
(Modelo de liquidação com armazenamento local — um modelo de liquidação que remete para o elemento seguro (SE) nos dispositivos do utilizador do euro digital, que executa as tarefas técnicas de verificação e de registo dos saldos detidos…)
All solutions used secure elements to support double spend and counterfeit prevention or to protect cryptographic key information.
(Todas as soluções usaram elementos seguros para apoiar a prevenção do duplo gasto e da contrafação, ou para proteger a informação das chaves criptográficas.)
This was not possible as our assessment is that it was not possible to achieve adequate safety. We therefore chose to base the offline solution solely on cards.
(Não foi possível, porque a nossa avaliação é a de que não era possível alcançar segurança adequada. Optámos, por isso, por assentar a solução offline exclusivamente em cartões.)
Any solution will depend on the tamper resistance of the user device to protect against physical and cyber attacks.
(Qualquer solução dependerá da resistência à manipulação do dispositivo do utilizador para proteger contra ataques físicos e informáticos.)
Mais duas frases descrevem o aparente dilema para o qual toda a investigação apontou. O BIS: “if there are no links between devices and user identity, there would be no way to identify potentially malicious users even if malicious devices can be blocked in the system.” (Se não existirem ligações entre os dispositivos e a identidade do utilizador, não haverá forma de identificar utilizadores potencialmente mal-intencionados, mesmo que os dispositivos mal-intencionados possam ser bloqueados no sistema.) O Bank of England: “if double spending were to occur, there would be no way of knowing which device initiated it.” (Se ocorresse um duplo gasto, não haveria forma de saber que dispositivo o iniciou.)
Em 2026, o campo dos bancos centrais trata o anonimato e a identificação do fraudador como mutuamente exclusivos. A literatura criptográfica sabe desde 2021 que não o são. O que faltava era a concretização que se pode implementar.
Onde se situa o Pactena
A viabilidade criptográfica da combinação de propriedades foi estabelecida pela literatura académica — Baldimtsi–Chase–Fuchsbauer–Kohlweiss em 2015 e Bauer–Fuchsbauer–Qian em 2021. Isso não se discute. O que o Pactena acrescenta é a inovação e a concretização: tamanhos medidos, tempo de verificação medido, uma implementação de referência e uma demonstração funcional, num telemóvel comum, sem hardware de segurança. O pacote de pagamento entregue ao recetor ronda os 456 bytes quando acabado de emitir e os 956 bytes na cadeia mais profunda, verificado em cerca de 12 ms.
A profundidade de transferência é deliberadamente limitada a dez saltos, com a privacidade preservada. A revisão criptográfica externa da camada de pagamentos está em curso; o resultado será publicado. A especificação está completa.
Até agosto de 2026 não é conhecido nenhum outro sistema de pagamentos publicamente documentado e em funcionamento que ofereça esta combinação de propriedades em conjunto, em forma implementada e medida.
A investigação decorre de forma contínua. Se conhecer um sistema deste tipo, gostaríamos sinceramente de o conhecer.