01
Offline-slutgiltighet
Den mottagande parten avgör på plats, utan nätverk. Inte store-and-forward, där risken skjuts upp och bärs senare av någon annan — utan ett äkta, lokalt slutgiltigt mottagande.
Bakgrund
Fältet, uppmätt.
Ett påstående av typen ”inget annat system är känt” är värt exakt vad sökningen bakom det är värd. Därför följer här måttstocken, källorna och resultaten — namngivna, en i taget.
Måttstocken
Sju egenskaper, var och en avgörbar för sig, som vilket system som helst kan mätas mot — en akademisk konstruktion, en industriell produkt, en centralbankspilot, ett patent. De första sex är falsifierbara: visa ett system som uppfyller alla sex, och påståendet faller.
02
Utan hårdvaruförtroende
Säkerhetsargumentet vilar inte på en manipulationssäker komponent inuti användarens enhet. En vanlig smartmobil, utan säkerhetshårdvara. Att en sådan komponent används som tillval är godtagbart; ett påstående som faller utan chipet är det inte.
03
Överföring över flera hopp
Den digitala sedeln går vidare offline, från hand till hand — minst två hopp utan att återvända till utgivaren. Det är skillnaden mellan ett elektroniskt penningkort och kontanter: från kortet går värdet till handlaren och stannar där; en sedel går vidare.
04
Självavslöjande bedrägeri
Identiteten hos den som dubbelspenderar går att återskapa kryptografiskt ur spåren från de två betalningarna. Ingen betrodd tredje part låser upp något och ingen myndighet gör en bedömning — matematiken ger svaret, och vem som helst kan kontrollera det.
05
Identifiering som skonar de oskyldiga
Systemet pekar ut exakt den ursprunglige fuskaren, och varje annan ärlig medlem i kedjan behåller sin anonymitet — varken de ärliga innehavarna före fuskaren eller de som kom efter avslöjas, och ingen av dem blir ens misstänkt.
06
Inga falska anklagelser
Ett formellt teorem om att inget giltigt dubbelspenderingsbevis kan framställas mot en ärlig användare — varken av en illvillig utgivare eller av samverkande deltagare i kedjan. Litteraturen kallar detta exculpability, eller non-frameability. Det är det som skiljer verklig ansvarsutkrävbarhet från ren anklagbarhet.
07
Driftsättbarhet
En versionshanterad specifikation, en referensimplementation, en fungerande demonstrator, mätta storlekar och mätta körtider, ett namngivet kurvval, ett skarpt baslager, samt ett regelverk för tillsyn och skadereglering. En konstruktion som är korrekt på papperet men oanvändbar vid en kassa är inget betalningssystem.
Den vanliga invändningen mot en måttstock är att den som skrivit den har skurit till den efter sig själv. Därför är det värt att peka på att en helt oberoende systematisering mäter den femte egenskapen på precis samma sätt. En av kolumnerna i SoK: Offline Payment Systems från mars 2026 (Universitetet i Innsbruck, Universitetet i Wien, SBA Research; arXiv:2603.16320, trettiosex system) heter ”privacy revocation”, och den definieras så här: DS om upphävandet sker enbart vid dubbelspendering, och U om ärliga användares integritet oavsiktligt kan upphävas som en sidoeffekt av att en dubbelspenderare upptäcks. Författarna sätter U i rött, som en uttryckligen icke önskvärd egenskap. Av systemen med full offline-förmåga får exakt två ett U — samma två konstruktioner som måttstocken ovan namnger som motexempel. Kriteriet är alltså ingen uppfinning från Pactena.
Den akademiska linjen
Fyra decennier, post för post, var och en med vad den gav och vad den kostade. Läst i följd har linjen en form: varje steg som vann en egenskap fick betala för den någon annanstans.
- År
1982
Vad det varChaum: den blinda signaturen.
Vad det gavIdén om anonyma digitala kontanter, i en konstruktion elegant nog att vara grundläggande än i dag.
PrisetOnline. Handlaren måste ringa banken vid varje enskild betalning för att få veta om sedeln redan är spenderad. Oanvändbar offline, och ingen överföring finns.
- År
1988
Vad det varChaum–Fiat–Naor: offline elektroniska kontanter.
Vad det gavDen självavslöjande dubbelspenderingens födelse. Betalarens identitet kodas in i sedeln så att en betalning inte avslöjar något, medan två betalningar låter banken räkna fram fuskarens namn.
PrisetEtt hopp. Användaren betalar handlaren, handlaren sätter in. Ingen färd från hand till hand. Och en punkt värd att säga exakt: artikeln innehåller inget omöjlighetsbevis om förhindrande. Det den innehåller är ett designbeslut — den bygger på upptäckt snarare än förhindrande, eftersom förhindrande inte kan ges offline.
- År
1990–1992
Vad det varOkamoto–Ohta: de första överförbara elektroniska kontanterna.
Vad det gavPengar som kan gå vidare mellan hur många användare som helst.
PrisetAnonymiteten är svag. Även utan någon dubbelspendering alls går det att avgöra om två betalningar gjorts av samma användare. Litteraturen döpte senare detta till weak anonymity.
- År
1993
Vad det varChaum–Pedersen: ett negativt resultat.
Vad det gavEtt bevis för att en överförd sedel med nödvändighet växer vid varje överlämning, och att en observatör med obegränsade resurser alltid känner igen en sedel som den tidigare haft.
PrisetDet teoremet hänger över hela den linje som följer. Varje överförbar konstruktion måste betala per hopp. Den enda öppna frågan är hur mycket.
- År
2005
Vad det varCamenisch–Hohenberger–Lysyanskaya: Compact E-Cash.
Vad det gavEtt genombrott i uttagseffektivitet — många sedlar i en enda operation, i ett litet innehav. En flitigt använd byggsten sedan dess.
PrisetInte överförbar. Användare till handlare, och där tar vägen slut.
- År
2008
Vad det varCanard–Gouget: den formella modellen.
Vad det gavDen första formella systematiseringen av anonymitetsbegreppen för överförbara kontanter, och ett bevis för att det starkaste tänkbara begreppet är onåbart. De ger också en konstruktion som uppfyller varje nåbar egenskap.
PrisetMed litteraturens egna ord ”completely impractical” (fullständigt opraktisk) — den vilar på generiska komplexitetsteoretiska reduktioner, alltså ett principbevis snarare än ett byggbart system.
- År
2009
Vad det varFuchsbauer, Vergnaud och medförfattare: överförbara kontanter med konstant storlek.
Vad det gavEn elegant väg runt växtgränsen: kedjans historia bärs inte i sedeln utan lagras i kvitton hos användarna. Storleken förblir konstant.
PrisetDet här är hela historiens mest lärorika pris. Vid en dubbelspendering kunde en betrodd spårare avslöja identiteten på de ärliga innehavare som den besmittade sedeln senare passerade — de oskyldiga fick betala för den skyldige, om än bara inför en enda privilegierad part. Två förtydliganden i rättvisans namn: anonymiteten går inte förlorad offentligt, bara gentemot den betrodda parten, och processen är interaktiv och kräver att kvitton begärs in från användarna. Mätt mot måttstocken ovan brister egenskapen ändå: ärliga innehavare blir identifierade, och blir misstänkta.
- År
2011
Vad det varBlazy och medförfattare: anonymitet med en domare.
Vad det gavEn reparation av det föregående arbetets brister, som ger den ärlige användaren anonymiteten tillbaka.
PrisetDet krävs en allseende domare. Den nyckeln identifierar inte bara fuskaren: med den går vilken sedel och vilken användare som helst att spåra när som helst. Priset sjönk inte, det bytte form — en enda nyckel som öppnar hela systemets anonymitet.
- År
2015
Vad det varBaldimtsi–Chase–Fuchsbauer–Kohlweiss: helt anonyma överförbara kontanter.
Vad det gavDen första konstruktionen som siktar på litteraturens alla tre anonymitetsbegrepp utan betrodd tredje part. Så här beskriver författarna designmålet: ”it needs to ensure that the right user is accused while the anonymity of honest owners … will be preserved” (det måste säkerställas att det är rätt användare som anklagas, samtidigt som ärliga innehavares anonymitet bevaras) — i sak måttstockens femte egenskap, från 2015.
PrisetTvå priser. Beviset för det starkaste anonymitetsbegreppet visade sig senare innehålla ett fel — upptäckt av författarna till nästa kapitel. Och enligt litteraturens egen bedömning är den ”hardly practical” (knappast praktisk); byggstenarna är ”far from being implementable on constrained mobile devices” (långt ifrån möjliga att implementera på resursbegränsade mobila enheter).
Bauer–Fuchsbauer–Qian, 2021 — den enda verkliga utmanaren
År 2021 presenterade Balthazar Bauer, Georg Fuchsbauer och Chen Qian Transferable E-Cash: A Cleaner Model and the First Practical Instantiation på PKC. Deras konstruktion uppfyller alla sex falsifierbara egenskaper. Offline-slutgiltighet, utan hårdvaruförtroende, obegränsat överföringsdjup, en självavslöjande dubbelspendering, identifiering som skonar de oskyldiga, och ett formellt teorem om att ingen kan anklagas falskt — det sista mot en illvillig bank och samverkande deltagare i kedjan samtidigt. Litteraturens alla tre anonymitetsbegrepp är bevisade, inklusive det starkaste. Den oberoende systematiseringen från 2026 bekräftar detta och placerar dem på sidan ”endast vid dubbelspendering”.
Egenskapskombinationens genomförbarhet visades alltså av dem. Det är inte omstritt. Resten av den här sidan går att kontrollera just därför att begreppets källa är namngiven, och därför att det som lagts till den anges lika exakt.
Det som inte gjordes är strikt en faktakategori, och den har tre delar: ingen publicerad implementation, ingen mätt körtid och inget kurvval. Tre oberoende källor bekräftar det — en ACNS 2026-artikel som citerar arbetet (”the performance of Bauer et al. is not reported”), tabellen i 2026 års SoK, där cellerna för implementation, transaktioner per sekund och latens är tomma, och förstaförfattarens egen doktorsavhandling, där en sökning i hela texten efter körtider, bytestorlekar, en prototyp eller en kurva inte ger någon substantiell träff.
We view this as practical by current standards.
| Mått | Bauer–Fuchsbauer–Qian 2021 | Pactena v8 |
|---|---|---|
| Betalningspaket som lämnas till mottagaren, efter uttag | 19 248 byte | ~456 byte |
| Tillväxt per överföring | +7 392 byte | +48 byte |
| Djupaste kedjan | obegränsat djup | ~956 byte (tio hopp) |
| Offline-verifiering | inte mätt | ~12 ms |
| Implementation, benchmark, kurvval | inget publicerat | referensimplementation och fungerande demonstrator |
Siffrorna i tabellen kommer från artikelns effektivitetsanalys, som anger storlekarna som abstrakta antal gruppelement. Omräknade till den kurva författarna själva undersökte — en omräkning som även den citerande litteraturen har gjort, med samma resultat — ger de antalen bytestorlekarna ovan. Deras sedel är ungefär nitton kilobyte när den är ny och växer med ungefär sju kilobyte vid varje överlämning; efter en kedja på tio steg ligger den i storleksordningen nittio kilobyte. Det är inget misstag från författarnas sida: det är priset för det starkaste anonymitetsbegreppet, som de medvetet tog på sig och motiverar i artikeln. Jämförelsen görs på betalningspaket och inte på bevis, eftersom deras skuldbevis är 96 byte och konstant med djupet — mätt på bevisstorlek skulle de två systemen inte gå att skilja åt.
Skillnaden är en medveten avvägning på två punkter. Pactenas överföringsdjup är begränsat — tio hopp, som en inställbar parameter — deras är det inte. Pactenas integritet är transaktionsbunden och avdelad vid utgivargränsen i stället för systemomfattande: handlaren får inte veta vem som betalade; mottagaren verifierar motparten framför sig men får inte veta något om de tidigare innehavarna; och en utgivare känner bara sin egen kund, plus den utgivare den ska avveckla med. Kedjans mellanliggande användare blottas inte för någon. Litteraturens starkaste anonymitetsbegrepp skulle dessutom kräva att en utgivare inte kan följa sin egen utgivning; i ett reglerat, KYC-baserat system är det varken nödvändigt eller önskvärt, eftersom det är just ansvarsutkrävbarhet som behövs vid utgivargränsen. Priset för avvägningen går att mäta: Pactenas betalningspaket växer med 48 byte per överföring, inte med sju kilobyte. Bauer, Fuchsbauer och Qian visade att det går att göra; Pactena visar att det går att driftsätta.
Industrins och centralbankernas linje
Nittiotalet hade verkligen offline digitala kontanter, i många länder och i stor skala. Det är den delen som de flesta skildringar utelämnar, och det är den delen som gör dagens läge begripligt.
- År
1990-talet
Vad det varDigiCash / eCash — Chaums bolag.
Vad det gavBevis för att anonym digital betalning fungerar, på en vanlig persondator, utan säkerhetshårdvara.
PrisetI den levererade produkten verifierade banken varje sedel online; offline-läget förblev en ”future extension” (en framtida utökning). Bolaget gick i konkurs 1998.
- År
1992–1995
Vad det varCAFE — EU:s ESPRIT-projekt, med Chaum som deltagare.
Vad det gavPeriodens mest förfinade konstruktion — och den enda från den tiden med kryptografisk identifiering av fuskaren: ”Even if the tamper-resistance is broken, users who spend electronic money more than once are identified, and the identity of the user whose guardian was used for this fraud can be proved.” (Även om manipulationsskyddet bryts identifieras de användare som spenderar elektroniska pengar mer än en gång, och identiteten på den användare vars enhet användes för bedrägeriet går att bevisa.) Redan 1994 såg författarna att det avgörande är en bevisbarhet som håller i domstol, inte upptäckten i sig.
PrisetMed projektets egna ord: ”it allows just one transfer of the electronic money” (den tillåter bara en enda överföring av de elektroniska pengarna). Ett hopp. Ingen kedja. Projektet avslutades planenligt i november 1995 och blev aldrig en produkt.
- År
1990-talet
Vad det varMondex — NatWest, senare Mastercard.
Vad det gavKort till kort, offline, från hand till hand, utan clearing däremellan — i sin tid det enda systemet som klarade kedjan i obegränsad längd. ITSEC E6-certifikat, en formell säkerhetsmodell, och skarp drift i mer än ett dussin länder.
PrisetFörtroendet flyttade in i chipet. Kortet bevisade inte att ingen hade fuskat; det förlitade sig på att fusk var ogenomförbart. Ingen identifiering av fuskaren finns: kortet lagrade bara de tio senaste transaktionerna, och något globalt spårningsunderlag fanns inte. Samtidens kritik sade precis detta. Den sista marknaden lades ner 2008.
- År
1996–2020-talet
Vad det varGeldKarte, Octopus, Proton, Chipknip, Danmønt, Quick, Moneo, Visa Cash.
Vad det gavFungerande, utbredd offline-betalning, i flera länder, i vissa fall i decennier.
PrisetAlla bygger på ett manipulationssäkert chipkort. Överföring mellan användare är antingen uttryckligen utesluten — den tyska GeldKarte-dokumentationen ägnar ett eget avsnitt åt principen ”Nichtübertragbarkeit von Guthaben” (att tillgodohavanden inte kan överlåtas) — eller går via en onlineapplikation, som hos Octopus. Ingen har kryptografisk identifiering av fuskaren; missbruk hanteras med centrala skuggkonton och spärrlistor.
- År
2020-talet
Vad det varCentralbankerna: den digitala eurons offline-lager, e-CNY, UPI Lite X, e-kronapiloten, det digitala pundet, BIS Project Polaris.
Vad det gavOffline-betalning i skarpa system med stora volymer, i en reglerad miljö, i vissa fall med mer än ett hopp.
PrisetSäkerhetsankaret är överallt ett chip inuti användarens enhet, och identifieringen av fuskaren saknas eller sker institutionellt snarare än kryptografiskt. I Bank of Englands försök 2025 använde fem av fem leverantörer secure elements; Riksbanken prövade en lösning byggd enbart på telefoner och förkastade den skriftligen.
Två mönster, och båda håller över fyrtio år. Där offline-betalning togs på allvar lades hårdvara i botten. Där matematiken valdes i stället blev det antingen ingen leverans, eller så fick de ärliga betala fuskarens pris. Inget historiskt system uppfyllde samtidigt offline-kedjan över flera hopp och kryptografisk identifiering av fuskaren: Mondex hade kedjan men inte identifieringen, CAFE hade identifieringen men inte kedjan.
Den starkaste historiska fotnoten är denna. När David Chaum själv återvände till offline-betalning från hand till hand 2022 grep han tillbaka till ett fysiskt kort, och skrev: ”Solutions relying only on software, including previous proposals by the present author, do not provide strong assurance of finality.” (Lösningar som enbart bygger på mjukvara — inklusive den här författarens egna tidigare förslag — ger ingen stark garanti för slutgiltighet.) Det citatet skär åt båda hållen, och båda läsningarna hör hemma här. Enligt den ena konstaterar fältets grundare att ingen hade lyckats på den rent mjukvarubaserade vägen. Enligt den andra hävdar en betydande auktoritet att vägen inte leder någonstans. Den andra läsningen är en allvarlig invändning — och den är skälet till att Pactena-konstruktionen mättes, inte bara ritades.
Genomgångna källor
Ett påstående av typen ”inget annat hittades” är värt vad sökningen bakom det är värd. Därför står källorna namngivna här, en i taget, med hur långt genomgången sträckte sig i var och en.
- IACR ePrint-arkivet
- Hela korpusen om överförbar e-cash — fem poster, den senaste 2020 års förhandsversion av Bauer–Fuchsbauer–Qian. Ingen ny överförbar konstruktion har tillkommit sedan dess.
- DBLP
- Den fullständiga publikationslistan efter 2021 för varje författare i linjen, och samtliga trettioåtta artiklar som citerar Bauer–Fuchsbauer–Qian, lästa en och en.
- SoK: Offline Payment Systems, 2026
- Alla trettiosex system i genomgången, cell för cell, utlästa ur artikelns LaTeX-källa.
- Konferensprogram
- Real World Crypto i sin helhet från 2015 till 2026, IACR:s videoarkiv med 2 290 inspelningar, Financial Cryptographys huvudprogram och workshoppen CoDecFin från 2019 till 2026.
- Doktors- och masteruppsatser
- Arkiven vid HAL, CORE, TU Delft, Normandie och CUHK — däribland en avhandling som försvarades i mars 2026 och som efter fyra års riktad forskning ändå vilar på säkerhetshårdvara.
- Google Patents
- Fulltext- och klassificeringssökning, ett fyrtiotal frågor, med tjugosju patent lästa på patentkravsnivå.
- Centralbanks- och internationella dokument
- Tjugofyra projekt, tretton av dem i det officiella dokumentets fulltext — BIS, ECB, Bank of England, Riksbanken, Fed och EDPB — och var och en av de tolv leverantörerna i BIS Project Polaris, individuellt.
- Standardiseringsorgan
- ISO/TS 12812, EMVCo, ISO 20022, W3C, ETSI, X9 och GSMA. Där fulltexten ligger bakom betalvägg hävdas bara det som det publicerade tillämpningsområdet bär.
- Historiska system med lagrat värde
- Tjugofem system spårade tillbaka till primärkällor — Mondex, DigiCash, CAFE, GeldKarte, Octopus och resten av fältet.
- Industriell och icke-akademisk korpus
- Hela media.ccc.de-arkivet och DEF CON 27–33.
- Register över forskningsfinansiering
- Via aggregatorn OpenAIRE: CORDIS, ANR, DFG, UKRI, NWO, NSF och FWF. Frågan offline AND payment ger noll projekt.
- Icke-engelskspråkig litteratur
- Kinesiska, japanska, koreanska, ryska, tyska och franska källor. Varje åtkomlig post vilar undantagslöst på ett hårdvarubaserat förtroendeankare.
Den andra och den tredje forskningsrundan gav inget nytt fynd mot de första sex egenskaperna. Sökningen nådde mättnad.
Röster utifrån
Citat om själva de digitala pengarna och om offline-betalningen.
Each faces open challenges: complete reliance on trusted hardware, the deanonymisation of honest users in the case of double-spending, or growing transactions with each offline payment. To date, no system providing offline functionality has been implemented.
(Alla möter olösta utmaningar: fullständigt beroende av betrodd hårdvara, avanonymisering av ärliga användare vid dubbelspendering, eller transaktioner som växer med varje offline-betalning. Hittills har inget system med offline-funktionalitet implementerats.)
In a fully offline setting without secure hardware, double-spending cannot be prevented. … [Flerhoppsläget] hinges entirely on the security of the hardware.
(I en helt offline-miljö utan säker hårdvara går dubbelspendering inte att förhindra. … [Flerhoppsläget] vilar helt och hållet på hårdvarans säkerhet.)
Local storage settlement model — a settlement model referring to secure element (SE) in the digital euro user's devices performing the technical tasks of verification and registration of holdings…
(Avvecklingsmodell med lokal lagring — en avvecklingsmodell som hänvisar till ett säkerhetselement (SE) i den digitala euroanvändarens enheter, vilket utför de tekniska uppgifterna att verifiera och registrera innehav…)
All solutions used secure elements to support double spend and counterfeit prevention or to protect cryptographic key information.
(Samtliga lösningar använde säkerhetselement för att stödja förhindrandet av dubbelspendering och förfalskning eller för att skydda kryptografisk nyckelinformation.)
This was not possible as our assessment is that it was not possible to achieve adequate safety. We therefore chose to base the offline solution solely on cards.
(Det var inte möjligt, eftersom vår bedömning är att tillräcklig säkerhet inte gick att uppnå. Vi valde därför att bygga offline-lösningen enbart på kort.)
Any solution will depend on the tamper resistance of the user device to protect against physical and cyber attacks.
(Varje lösning kommer att vara beroende av användarenhetens manipulationsmotstånd för skydd mot fysiska attacker och cyberattacker.)
Ytterligare två meningar beskriver exakt det skenbara dilemma som hela forskningen riktades mot. BIS: ”if there are no links between devices and user identity, there would be no way to identify potentially malicious users even if malicious devices can be blocked in the system.” (Finns det inga kopplingar mellan enheter och användaridentitet går potentiellt illvilliga användare inte att identifiera, även om illvilliga enheter kan spärras i systemet.) Bank of England: ”if double spending were to occur, there would be no way of knowing which device initiated it.” (Om en dubbelspendering skulle inträffa skulle det inte gå att veta vilken enhet som initierade den.)
År 2026 behandlar centralbanksfältet anonymitet och identifiering av fuskaren som ömsesidigt uteslutande. Den kryptografiska litteraturen har vetat sedan 2021 att de inte är det. Det som saknades var den instansiering som går att driftsätta.
Var Pactena står
Egenskapskombinationens kryptografiska genomförbarhet lades fast av den akademiska litteraturen — Baldimtsi–Chase–Fuchsbauer–Kohlweiss 2015 och Bauer–Fuchsbauer–Qian 2021. Det är inte omstritt. Det Pactena lägger till är innovationen och genomförandet: mätta storlekar, mätt verifieringstid, en referensimplementation och en fungerande demo, på en vanlig telefon, utan säkerhetshårdvara. Betalningspaketet som lämnas till mottagaren är omkring 456 byte nyutgivet och omkring 956 byte vid den djupaste kedjan, verifierat på omkring 12 ms.
Överföringsdjupet är medvetet begränsat till tio hopp, med integriteten bevarad. En extern kryptografisk granskning av betalningslagret pågår; resultatet kommer att publiceras. Specifikationen är klar.
Fram till augusti 2026 är inget annat offentligt dokumenterat, fungerande betalningssystem känt som tillhandahåller den här egenskapskombinationen samlat, i implementerad och uppmätt form.
Kartläggningen pågår löpande. Om du känner till ett sådant system vill vi uppriktigt gärna se det.