הבנק להסדרים בינלאומיים (BIS) פרסם ב-13 באוקטובר 2026 אב-טיפוס שמראה כיצד מטבע דיגיטלי של בנק מרכזי (CBDC) יוכל לאפשר לאנשים לשלם מבלי לחשוף את היסטוריית העסקאות שלהם, ובמקביל להעניק לבנקים את הכוח להקפיא מטבע בודד, תת-קבוצה של מטבעות או ארנק שלם. פרויקט אורום שלב 2 הוא מחסנית חקר, לא רשת תשלומים פעילה, וה-BIS מציין שהוא אינו מוכן לייצור.
שני יומנים, מופרדים כפליים
אורום שומר על המבנה הדו-שכבתי המוכר מעיצובי CBDC אחרים. שכבה סיטונאית מקשרת בין הבנק המרכזי, בנקים מסחריים ומאמתים על תשתית יומן מבוזר. השכבה הקמעונאית פועלת ברשת ארנקים אלקטרוניים שאינה מבוססת DLT, שבה מזומן דיגיטלי מוחזק כאסימוני פלט עסקה שלא נוצלו (UTXO).
ההפרדה מרחיקה לכת יותר מרוב העיצובים. היומנים הסיטונאי והקמעונאי נפרדים, כך שהבנק המרכזי אינו יכול לקרוא את היומן הקמעונאי כלל. כל בנק גם מחזיק יומן נפרד משלו. בנק יודע את הזהות החוקית של הלקוח שהוא קיבל, אך המאמת, כל בנק צד שכנגד והבנק המרכזי אינם מקבלים את בסיס הלקוחות הזה.
פסאודונימים שעדיין ניתנים לאיתור דרך KYC
לאחר שמשתמש משלים KYC, הבנק שלו מנפיק אישור BBS+ על המפתח הציבורי המאושר של המשתמש. הארנק יכול לאחר מכן ליצור מספר פסאודונימים מתפתחים מבלי לחשוף את המפתח הציבורי הבסיסי. כל פסאודונים נשאר ניתן לאימות כשייך לחשבון שעבר בדיקת KYC, כך שמערכת התשלומים יכולה לאשר שהשולח לגיטימי מבלי לראות מי הוא.
הוכחות אפס-ידע מאמתות תשלומים תוך הגבלת הנראות של הפרטים, כולל הסכום. כל תשלום הופך לאירוע עצמאי במקום עדכון להיסטוריית חשבון גלויה.
גילוי סלקטיבי מוסיף מסלול ציות הניתן להגדרה. כברירת מחדל לא נחשף מידע אישי אלא אם כלל ציות דורש זאת. משתמשים יכולים להתנדב למסור פרטים נבחרים. בנק יכול גם לדרוש מידע ממוסך על המשלם כאשר תשלום חוצה סף שהגדיר.
ארנק אחד לאדם, בלי הזהות
הדוח הטכני מתאר ארנקים אנונימיים מבוקרים שבהם מתווך ייעודי יוכל לאכוף ארנק אחד לכל מזהה חוקי ומכשיר מבלי לשמור את הזהות בתוך מערכת התשלומים. בנקים יכולים לקבוע מגבלות ארנק והוצאות מעל לכך.
ההצטרפות מודולרית. האפשרויות נעות מבלי בדיקות זהות כלל, יחד עם מגבלות הנפקה ועסקאות, ועד בדיקות מקיפות ששומרות מידע אישי. בין לבין ישנם מודלים שמקשרים ארנק לטלפון, מקבלים הוכחת זכאות לשימוש מוגבל, משתמשים באסימון שאינו ניתן לקישור מספק זהות, או מאמתים תעודה תוך שמירת מזהה ייחודי בלבד המשמר פרטיות.
המטרה המשותפת היא לאכוף משתמש אחד וארנק אחד מבלי להפיץ מידע אישי באופן נרחב יותר. החלטות הציות עוברות לשליטה מפורשת שנקבעת על ידי בנקים: ספי גילוי, מגבלות ארנק, כללי הצטרפות והתנאים שבהם ניתן לנעול מטבעות או ארנקים.
הקפאת ערך ועקיפה בהוראת בית משפט
הנעילה גרנולרית. בנק יכול להקפיא מטבע בודד, תת-קבוצה של מטבעות או ארנק שלם. אם העברה חשודה מגיעה למשתמש, הבנק יכול להקפיא את המטבעות שהתקבלו ולהשאיר ערך לא קשור זמין.
קיימת גם עסקת צו נפרדת. היא מאפשרת לבנק להעביר מטבע ללא מפתח הבעלים במקרים חריגים כגון החרמה בהוראת בית משפט. ה-BIS מציין כי הדבר ידרוש בקרות מנהליות חזקות כדי למנוע ניצול לרעה.
מה משתמשים מוותרים למען הפרטיות
פרטיות חזקה יותר משנה את השחזור. פסאודונים המקושר ל-KYC עדיין ניתן לפענח על ידי הבנק המנפיק כאשר הדבר נדרש על פי חוק. לארנק אנונימי לחלוטין אין קישור לזהות, כך שלא ניתן לשחזר כספים אם פרטי הגישה אבדו.
הפסאודונים של אב-הטיפוס הוא כ-2 KB לפני דחיסה ו-1.5 KB לאחריה, קטן מספיק כדי להיכנס לקוד QR בודד. ה-BIS מצא שמצלמת טלפון של 12 מגה-פיקסל אמורה לסרוק אותו בתנאים מתאימים, בעוד שמצלמה ישנה יותר של 5 מגה-פיקסל עשויה להתקשות.
הדוח משאיר את שאלות המדיניות פתוחות. איזו דרגת הצטרפות תחום שיפוט מאפשר, אילו ספים בנקים מגדירים וכיצד נשלטות עסקאות צו יקבעו אם הפרטיות של אורום תחזיק מעמד מחוץ למעבדה.
