進退維谷：CBDC離綫應用

对零售CBDC離綫功能的需求

用戶之間可以離線完成中央銀行數字貨幣（CBDC）交易，無需連接外部電源或總賬。離線應用被視爲零售CBDC ^[1]的核心特徵，也是成功實現關鍵政策目標的組成部分，包括公衆持續獲得央行提供的流動性。它也是金融普惠性與可及性的關鍵，但其應用可能受限于偏遠的位置和/或通信網路或電力基礎設施的不足。

國際清算銀行（BIS）最近發佈的新興市場經濟體中央銀行調查報告，將離線應用列為提升金融可及性的最重要特徵^[2]。數字金融服務專家戴維·伯奇（David Birch）注意到『發達國家和發展中國家的國民級數字貨幣必須是能夠離線使用的，否則就不是可行的現金替代品。』^[3]

支付系統針對現有綫上基礎設施的中斷或不可用的能力是離線CBDC能力的另一個關鍵驅動因素^[4]。脆弱的線上基礎設施例子比比皆是：歐洲的TARGET2大額支付系統停擺8小時^[5]、加拿大兩大全國性電信網路之一最近大規模斷網^[6]、導致嚴重連鎖反應的AWS中斷^[7]，更有甚者2022年年初的新興零售CBDC崩潰（導致東加勒比中央銀行（ECCB）DCash下線達數週之久^[8]）。因此，美國聯邦儲備局在其一份文件中認為『設計一種具備離線應用功能的CBDC可以增強支付系統的運營彈性。^[9]』

相比商業銀行的銀行卡和電子貨幣，離線應用也可能是CBDC一個主要的最終用戶價值主張^[10]差異化因素。可以理解，消費者并不瞭解商業銀行負債與中央銀行負債之間的區別。因此，離線應用以及强化私隱保護與可編程之類的其他功能，可能是他們所青睞的。

離綫應用案例

離線支付場景取決於它與總賬的關係。瑞典央行（Riksbank）在其一份文件中指出『所有CBDC支付都涉及遠程分類賬，沒有哪個CBDC可以像現金一樣真正做到點對點[和]離線支付……。^[11]』雖然現金是即時轉賬結算，但離線CBDC交易必須記錄在用戶設備的本地分類賬中，而且在隨後與中央銀行的一般負債核對之后，結算才告完成且不可撤銷。因此，零售CBDC離線功能設計選擇取決於它與總賬的異步程度：

間歇性中斷與臨時中斷： 在這種情況下，系統可能具有一定的抗短期網路或電源中斷能力。有限交易金額和交易量之類的支付數據可能會臨時存儲在CBDC設備上，以便在重新連接后完成交易。
超範圍應用：對於特定的地理區域、大宗交易/大額交易、或網路服務長時間持續不可用等情形，可能需要更強大的離線處理能力。在這種情況下，需要透過基於網路的定期身份驗證和協調來重置超範圍容量，就像非接觸式支付卡偶爾需要重新輸入PIN。
離網應用：在這種情況下，需要透過防篡改存儲和應用程式來降低最終用戶的結算風險，允許透過本地設備進行長時間大量交易。與總賬重新連接后，離網應用就需要具備更加複雜的分配功能、互操作性和協調性。

離綫應用面臨的挑戰

支出翻倍^[12]和偽造^[13]：如果離線設備被駭客攻擊或出現故障，相同價值的目標對應的支出可能要翻倍，或超出可用餘額。事實上，遭受破壞的設備就像一臺『印刷機』，生成看似有效的交易，但要到對賬時才能發現^[14]。世界經濟論壇（World Economic Forum）在一份文件中警告『進行離線交易且不具備線上交易常見的高安全性驗證過程的實體，其支出可能要翻倍。^[15]』不良行為相互作用可能會加劇這種風險。^[16]價值對象或代幣的可偽造性是相關的問題，是任何CBDC系統線上綫下都必須應對的問題。^[17]
資金損失：離線應用需要基於設備的存儲，因此設備受損、放錯地方或被盜可能導致交易失敗，資金也可能丟失。事實上，每年的設備損失風險估計在8-16%之間^[18]。為找回丟失的資金進行的任何數據備份，都可能使支出加倍^[19]。加拿大銀行（Bank of Canada）在其一份文件中提出離線支出的『三重困境』，即系統在特定時間内只能提供離線應用、支出、杜絕重複支出和恢復數據維護這三個功能中的兩個。^[20]
『唯一的』和『相互分離的』用戶設備：離線支付需要使用獨立於全局賬本的唯一的用戶設備^[21]，從而在防篡改環境中存儲和處理資金。用戶設備還必須具備足夠的交互性，來執行基本的用戶啟動型操作並顯示賬本最新狀態。通常都是將基於內部可信執行環境（TEE）的智能手機，視爲離線CBDC應用的主要競爭者。但正如瑞典央行所說，『不幸的是，這種100%防篡改設備並不存在。』^[22]此外，篡改此類設備的經濟動機很强烈，系統不會支持『優雅降級』^[23]。加拿大銀行分析稱『相關研究報告并不清楚防篡改設備能否經受長時間的離線應用而完好無損』，而且『透過CBDC存儲資金以及支撐智能手機運行相關應用程式都將面臨復雜的多重因素威脅。』^[24]此外，為確保金融普惠性和CBDC可及性，除了智能手機或功能手機，設計人員還必須開發交互式智能卡之類的其他技術。這將是嚴重的成本、風險和設計難度問題。^[25]

我們可能會輕率地說缺乏連通性是小事一樁，尤其是我們在政策層面努力擴大快速互聯網接入。^[26]然而，無處不在的寬頻接入依然任重道遠，特別是在人口稀少的地區和發展中經濟體。^[27]因此，離線應用仍然是一項重要功能。

大多數中央銀行還認為在可預見的未來，CBDC都將與現金共存。雖然可能會抵消CBDC離綫應用面臨的部分挑戰，但棘手之處在於發達經濟體的現金使用量在下降（有些情況下是急劇下降^[28]），而且其作為交換媒介的接受度和可用性也隨之下降。

離綫解決方案

對於CBDC離線應用面臨的挑戰，可能存在潛在的補救措施。例如根據交易金額和數量或『跳』數來限制離線交易，然後與集成分類賬核對，藉以降低風險，就像是控制離線設備的可用資金數目、損失和潛在的結算失效。^[29]本地多因素身份驗證機制^[30]還提升了離線設備的安全性。加拿大銀行的一份文件表明，離線設備中存儲的資金可能會『過期』，可以作為綫上資金重新發行，或者透過綫上身份驗證機制或與總賬對賬后自動更新。^[31]

問題在於受信第三方必須就其提出的解決方案提供相應的安全和性能。這會將中央銀行置於險境，即可能無法充分控制相關風險，以及除了對第三方產品的穩健性、完整性和性能的擔憂之外^[32]，『製造商控制平台，且可以限制央行對關鍵系統組件的訪問，包括嵌入式安全飛地和訂戶身份模組（SIM）卡。』^[33]

結論

中央銀行在推出穩健、安全和廣泛應用的零售CBDC時面臨其他衆多設計挑戰。除此之外，離線應用還面臨一個特別棘手的問題。但可能必須讓數字貨幣具備離綫應用功能，籍此實現目標，為最終用戶提供有用的中央銀行支付替代方案。

參考