Chaumian eCash

Quando Ana consulta um aplicativo de pagamentos comum, geralmente vê o saldo de uma conta mantida pelo operador. Com eCash, ela pode guardar diretamente comprovantes digitais de valor, chamados de moedas ou tokens. Cada comprovante contém dados e uma confirmação calculada por um programa com os dados secretos do emissor. Não se trata de uma moeda de metal nem, necessariamente, de uma nova criptomoeda. A ideia é aproximar o pagamento do dinheiro em espécie: uma pequena compra não precisa sempre deixar um registro fácil de vincular ao pagador. David Chaum desenvolveu essa proposta muito antes do Bitcoin, e sua empresa DigiCash tentou colocá-la em prática. [1] [3]

O emissor costuma ser chamado de mint, ou casa da moeda. Aqui, isso significa um serviço, não uma máquina que cunha metal. Ana pode enviar recursos a ele e receber moedas digitais na carteira. Em sistemas ligados ao Bitcoin, os valores podem aparecer em sats, abreviação de satoshi, as menores unidades do Bitcoin. A pergunta importante é: quem guarda os recursos reais que deram origem às moedas? Se estão com a mint, Ana tem um direito de resgate perante ela, e não bitcoin sob controle exclusivo de suas próprias chaves, os dados secretos usados para assinar transferências de Bitcoin. O mesmo saldo em sats pode esconder formas bem diferentes de custódia. [8] [6] [7]

A carteira prepara dados secretos e aleatórios para a nova moeda e os mascara matematicamente antes da assinatura. O emissor vê o valor solicitado e verifica se a emissão está autorizada, mas não vê os dados originais ocultos. Depois da assinatura, a carteira retira a máscara sem invalidar a confirmação. Esse mecanismo é uma blind signature, ou assinatura cega. Imagine um carimbo verificável numa folha dentro de um envelope opaco; na prática, a garantia vem da matemática. O ponto central é que uma assinatura corretamente executada, por si só, não revela ao emissor a qual retirada anterior pertence a moeda apresentada. Os métodos de assinatura e verificação variam de um sistema para outro. [1] [3] [8]

Ana envia um token a Pedro, por exemplo, numa mensagem. Pedro recebeu os dados necessários, mas Ana pode ter guardado uma cópia. Por isso, no Cashu, a carteira do destinatário pede à mint que troque as moedas recebidas por novas moedas preparadas pelo próprio destinatário. A mint invalida as antigas e emite as novas. Só depois de concluir a troca com sucesso o remetente perde a possibilidade de gastar sua cópia das moedas antigas. Esse processo também permite separar as novas moedas das entregues. Portanto, uma imagem de QR code ou um sinal verde de mensagem entregue não comprova que o destinatário já controla o valor com segurança. [8] [9]

Double spend é a tentativa de gastar o mesmo valor mais de uma vez. Uma mint online registra os dados das moedas já usadas e rejeita seu uso repetido. Assim, impede que o usuário simplesmente copie dinheiro. Essa base de dados, porém, não comprova que o emissor tem reservas suficientes nem que não esteja emitindo moedas adicionais sem lastro. É preciso separar a proteção contra um usuário desonesto da confiança no operador. Nem mesmo uma confirmação criptográfica válida funciona como um extrato das reservas. Se o emissor parar de colaborar, alguém pode ter um token válido e ainda assim não conseguir resgatá-lo. [2] [6] [8]

Passar dados entre dois celulares sem conexão é uma coisa; verificar com segurança que ninguém os gastou em outro lugar é outra. Alguns métodos permitem conferir a origem de uma assinatura sem internet. Isso, sozinho, não confirma a situação atual da moeda. Pesquisas históricas de Chaum, Amos Fiat e Moni Naor também descreveram dinheiro offline no qual um gasto repetido poderia revelar o responsável posteriormente. Isso não significa que toda carteira atual use esse mecanismo. Ao encontrar uma promessa de pagamento offline, vale distinguir transmissão dos dados, verificação de autenticidade e proteção contra gasto duplo. [2] [10]

A carteira não precisa ter uma moeda para cada valor imaginável. Pode combinar moedas de diferentes valores e trocá-las quando necessário. Imagine um saldo de 500 sats e um pagamento de 300 sats. Sem considerar taxas, Ana quer preparar moedas que somem 300 sats para enviar e guardar 200 sats. Se não tiver a combinação adequada, o Cashu permite uma troca na mint, que substitui as moedas antigas por novas. Não há conversão cambial nem lucro por fazer troco. As taxas reais e os valores disponíveis dependem das regras de cada sistema. [8] [9]

A assinatura cega dificulta ligar a emissão de uma moeda ao seu gasto. Mas não apaga o endereço de entrega informado ao comerciante, o login no aplicativo, os rastros de rede ou uma combinação peculiar de horário e valor. Um token comum, sem bloqueio adicional, pode ser gasto por quem obtiver seus dados secretos. Publicá-lo não equivale, portanto, a divulgar um endereço para receber pagamentos. Também não convém presumir que uma cópia de segurança resolve qualquer problema. No Cashu, por exemplo, a recuperação pode exigir tanto as palavras de backup quanto a colaboração da mint. O backup não recupera um valor já gasto por outra pessoa nem repõe reservas que faltam ao emissor. [3] [11] [12]

O GNU Taler usa assinaturas cegas para proteger o cliente, mas também permite a auditoria das receitas dos comerciantes. Não foi concebido, portanto, para ocultar todos os participantes de todos os demais. O Cashu oferece um protocolo de dinheiro eletrônico ligado ao Bitcoin, com mints. O Fedimint distribui a administração entre uma federação, um grupo de responsáveis, para evitar que uma única pessoa controle os recursos. Ainda assim, uma parcela suficiente desses responsáveis pode comprometer a custódia ou emitir moedas sem lastro. A federação distribui a confiança; não a elimina. Esses projetos não são intercambiáveis apenas porque usam uma ideia criptográfica semelhante. [4] [5] [6] [13]

O Bitcoin verifica transferências em uma rede com regras comuns, sem emissor central, mas tem um histórico público de transações. O eCash pode levar parte dos pagamentos a um ambiente mais privado oferecido pelo emissor e se conectar ao Bitcoin, por exemplo, pela Lightning Network, uma rede de canais de pagamento para transferências rápidas. Os participantes de um canal atualizam a divisão dos bitcoins depositados previamente, sem registrar cada pagamento individual no histórico público do Bitcoin. Depositar ou sacar pela Lightning, porém, não transforma automaticamente o token da mint em bitcoin sob autocustódia. Para começar, acompanhe três perguntas: quem guarda os recursos que dão lastro, quem pode recusar o resgate e quem enxerga quais informações sobre os pagamentos? Só o conjunto dessas respostas mostra de maneira honesta o que um determinado eCash oferece. [6] [7] [13] [14]