国际清算银行：数字现金可实现“类现金隐私”，但技术尚未成熟

国际清算银行（BIS）指出，数字现金系统在原则上能够提供与物理现金类似的隐私保护，同时也强调，当前的实施仍存在重大的安全和运营问题未解。

在其《Project Aurum 第二阶段报告》中，BIS 描述了一个基于其现有 Aurum 代码库构建的、旨在保护隐私的数字现金原型。该机构将这一努力定位为在“完全匿名”与“完全透明”之间的平衡之道，并警告称，现实世界中的风险——特别是来自银行端数据泄露的风险——仍是设计挑战的核心。

核心要点

• BIS 认为，数字现金可以通过工程手段提供“类现金隐私”，但强调底层技术栈尚未达到“生产就绪”状态。
• Project Aurum 第二阶段利用 BIS 的 Aurum 代码库，为具有隐私保护功能的央行数字货币（CBDC）式系统构建了技术模块原型。
• 据 BIS 所述，若一家银行遭受入侵，可能会泄露该银行持有的客户数据，但这不应自动导致与其他交易对手关联的客户身份暴露。
• 报告指出，仅靠验证者层面的入侵不足以暴露终端用户的信息。

“类现金隐私”应有的形态

Project Aurum 第二阶段的重点在于，央行数字货币（CBDC）应如何设计以保护用户隐私，使其类似于现金的使用限制。BIS 并未声称现有技术已能大规模解决这一问题，而是将该原型视为迈向增强隐私系统的工程步骤。

在第二阶段工作中，BIS 实施了基于其 Aurum 代码库的隐私保护数字现金原型。BIS 将这种方法定位为一种权衡：旨在保留用户隐私的同时，仍提供网络运行所需的问责水平。这种定位至关重要，因为关于 CBDC 的辩论往往分裂为两个极端——绝对匿名与完全可追溯性，而现实系统通常需要防止滥用、对账余额以及管理运营控制的能力。

隐私可能失效之处：银行入侵与数据泄露

BIS 研究发现的一个主要主题是，在部分故障情况下，隐私保证如何表现。BIS 指出，如果银行遭受入侵，可能会暴露客户数据。然而，它补充了一个重要的边界条件：此类入侵不会暴露与其他交易对手关联的客户身份。

换言之，BIS 实际上描述了一种威胁模型，其中隐私保护被设计为隔离的。如果系统中的某个参与者受到侵害，损害应限于该受侵害方可以访问的数据，而不是整个网络所有用户的全面披露。

BIS 还解决了验证者风险问题。它表示，仅在验证者层面进行入侵，不足以暴露终端用户。虽然这些声明并未消除所有担忧——因为实际部署涉及多层基础设施和治理结构——但它们比单纯的广泛隐私声明提供了更清晰的指导。

为何在 CBDC 监控担忧背景下，BIS 的方法论具有重要意义

CBDC 一直面临隐私倡导者的持续批评，他们认为中央银行的发行可能导致金融监控和对个人资金的更大控制。这些恐惧通常源于一种认知，即让 CBDC 便于监管的技术特性，也可能使其变得具有侵入性。

BIS 的报告试图通过展示如何围绕隐私约束来构建类似 CBDC 的系统，来回应这一批评。尽管如此，BIS 反复强调该技术尚未“生产就绪”，这表明该问题尚未定论。对于关注 CBDC 辩论的投资者、开发人员和政策制定者而言，实际问题在于：在真实的运营条件下，增强隐私的功能是否能变得稳健？这包括密钥管理、可审计性、事件响应以及参与机构的多样化行为。

近期的政策与代码争议使辩论愈发激烈

BIS 报告的发布正值 CBDC 工作屡次引发争议的时期。2023年，巴西中央银行发布了其 CBDC 试点的源代码，随后观察者在几天内指出了代码中嵌入的监控和控制机制，包括中央银行冻结或减少 CBDC 钱包中用户资金的能力。

此外，今年早些时候，美国总统签署了一项行政命令，禁止联邦机构发行 CBDC，引用的担忧包括金融稳定性和隐私问题。

综上所述，这些事件凸显了为何 BIS 第二阶段强调在遭受攻击时的隐私保护会在学术界之外引起共鸣。核心争论不仅在于一个系统理论上是否可以保持私密，还在于当系统受到压力时——无论是黑客攻击、内部滥用还是行政控制——其表现如何。

未来展望

BIS 的 Project Aurum 第二阶段为如何构建具有隐私保护功能的数字现金提供了更具体的视角，并坦率地评估了现有的差距。接下来需要关注的关键发展是：BIS 能否在不削弱其所描述的隐私边界的情况下，从原型过渡到可部署的基础设施；以及政策制定者将如何根据现有的隐私和治理关切来评估这些保证。