Kitobni o'qish: «Доверие в долг. Криптовалюты как деньги и кредит: механизм, циклы, правила»

Данные — на 27 сентября 2026 года. Книга не служит инвестиционной рекомендацией.

Введение. Зачем разбираться в механизме

Осенью 2025 года биткоин стоил дороже, чем когда-либо: 6 октября за него давали около 126 000 долларов¹. Через четыре дня рынок за одни сутки принудительно закрыл позиций с плечом больше чем на 19 млрд долларов по публичным данным, а на деле, скорее всего, больше, и таких ликвидаций крипторынок ещё не видел². (Плечо — это покупка на заёмные деньги. Когда цена падает, биржа сама продаёт купленное, чтобы вернуть себе долг, и такая продажа называется ликвидацией.) В начале февраля 2026 года цена опускалась примерно до 60 000³, а самая низкая точка, около 57 700 долларов на бирже Bitstamp, пришлась на 1 июля по всемирному времени и была примерно на 54% ниже вершины⁴.⁵

Сам биткоин за эти месяцы никто не взламывал, и сведений об успешной атаке большинства на его запись (попытке переписать её, собрав больше половины вычислительной мощности сети) нет за всё время его работы⁶. Ломалось другое. По оценке Galaxy Research, объём кредитов под залог криптовалют в третьем квартале 2025 года превысил рекорд 2021 года, и оба пика кредита совпали с пиками цены с точностью до квартала⁷. К концу второго квартала 2026 года этот кредит стоял больше чем на четверть ниже вершины⁸.⁹ Цена поднималась вместе с долгами, взятыми под неё, и падала, пока эти долги гасили или закрывали принудительно.

Эта книга объясняет, почему так происходит. Почти всё, что случается на крипторынке, уже случалось с обычными деньгами и кредитом, и биткоин с его обвалами понятен ровно настолько, насколько понятны они. Новая технология решила одну старую задачу — как вести общую запись о том, кому что принадлежит, так, чтобы у записи не было хозяина. Поверх этой записи люди снова построили посредников, займы и займы под займы, и рынок, выросший на ней, живёт волнами кредита. Подъём раздувается заёмными деньгами, падение расчищает долги (расчисткой я буду называть время, когда накопленные на подъёме долги гасят, списывают или закрывают принудительными продажами). Увидев механизм и цикл, вы сможете судить о новостях, проектах и обещанных доходностях, не опираясь ни на веру, ни на страх.

Почему говорят только «за» и «против»

Разговор о криптовалютах почти всегда сводится к тому, вырастет ли цена. У этого есть простая причина. По опросу Федеральной резервной системы США, в 2025 году криптовалютой пользовались 10% взрослых американцев, почти все они держали её как вложение, а для платежей и переводов её использовали 2%¹⁰.¹¹ Для большинства владельцев криптовалюта — ставка на цену. О цене же говорят двумя голосами. Один верит, что она вырастет, другой боится, что она упадёт.

Эти два голоса слышны и на книжных полках. Заметные книги о криптовалютах последних лет я бы разложил на три стопки. В первой история денег заканчивается биткоином как ответом на их беды, и даже довольные читатели называют такие книги односторонними¹². Во второй лежат расследования, авторы которых считают схемой всю отрасль или, по словам рецензентов, сводят её к мошенничеству¹³. В третьей собраны истории людей, от основателей бирж до банкротов, и критики пишут, что устройство крипты там объяснено плохо¹⁴.¹⁵ В каждой стопке есть сильные книги. Книги, которая объясняла бы крипту через механизм денег и цикл кредита, я при подготовке этой не нашёл¹⁶.

Вера и страх плохо помогают по одной и той же причине. Обе отвечают на вопрос о цене, а цена на этом рынке раз за разом подтверждает то одну сторону, то другую. От дна до следующей вершины биткоин дорожал то примерно в 129 раз, то в 22, то в 8¹⁷, а от вершины до следующего дна дешевел на 93% в первом большом цикле, на 78% в последнем завершённом и пока на 54% в нынешнем¹⁸. Кто верит, каждые несколько лет получает подъём в разы как доказательство своей правоты. Кто боится, получает падение на три четверти. Поэтому спор не кончается, и ни одна сторона не объясняет, почему за подъёмом каждый раз следует падение.

Вера подводит человека ровно тогда, когда объяснение нужнее всего. Тот, кто купил биткоин на вершине 2021 года, пережил падение на 78%¹⁹, и вера в технологию не подсказывала ему, почему в 2022 году одна за другой останавливали вывод денег компании, которые принимали монеты клиентов и платили за них процент²⁰. Технология в этих историях как раз работала. Не выдержали обещания посредников.

Страх обходится дешевле, но и он мешает видеть. Запись, на которой всё держится, ведётся с января 2009 года²¹. Стейблкоины, то есть монеты, привязанные к доллару, выросли к весне 2026 года, по данным ФРС, до 317 млрд долларов²², а взрослые американцы без банковского счёта платят криптовалютой втрое чаще тех, у кого счёт есть (6% против 2%)²³. Страх хорошо объясняет обвалы. Почему после каждого обвала рынок возвращался и поднимался выше прежней вершины, он объяснить не может.

Механизм отвечает на вопросы, которые не упираются в цену. Возьмём один пример. В начале 2022 года сервис Anchor платил держателям долларового стейблкоина UST стабильные 19,5% годовых, когда по основным стейблкоинам в других кредитных сервисах платили около 2–3%²⁴. Верящему здесь легко увидеть новые финансы, боящемуся — пирамиду, и спор между ними идёт о словах. Механизм подсказывает вопрос попроще. Кто должен эти 19,5% и из чего он их заплатит? Когда в мае 2022 года UST и связанная с ним монета LUNA обрушились, инвесторы, по данным американской прокуратуры, потеряли около 40 млрд долларов²⁵, и ответ стал известен всем, хотя задать вопрос можно было заранее.

Разбираться в этом стоит, даже если вы ничего покупать не собираетесь, потому что крипта за последние годы вошла в обычные финансы. В январе 2024 года американский регулятор рынка ценных бумаг разрешил биржевые фонды, которые держат биткоин, и его председатель в тот же день оговорил, что это не одобрение самого биткоина²⁶. В июле 2025 года в США подписан закон о стейблкоинах, по которому под каждый выпущенный доллар нужно держать резервы в ликвидных активах, и заработать он должен не позже января 2027 года²⁷. В Евросоюзе единые правила для криптоактивов действуют с 2024 года²⁸. Биткоин теперь продаётся в обёртке обычного биржевого фонда, выпуск доллар-токенов переводят под закон, и о том и о другом вы узнаёте из новостей, написанных всё теми же двумя голосами.

Я не собираюсь ни защищать криптовалюты, ни разоблачать их. Где технология работает, я так и скажу, и где она оказалась лишней, тоже. За пределами крипты одна и та же общая запись у одной финансовой компании каждый день проводит сделки, а у другой после нескольких лет стройки ушла в списание²⁹. Разницу между такими историями объясняет вопрос о том, кому и зачем понадобилась общая запись без хозяина.

Всё это уже было

Если отвлечься от цены и посмотреть, что именно ломалось в каждом обвале, картина окажется знакомой. Токийская биржа Mt. Gox в феврале 2014 года подала на банкротство и сообщила о пропаже около 850 000 биткоинов, из которых примерно 750 000 принадлежали клиентам³⁰. Это старая история посредника, которому доверили чужое и который его не сберёг. Криптокредитор Celsius в июне 2022 года заморозил вывод средств, а через месяц подал на банкротство³¹, и это паника вкладчиков в банке, у которого нет ни страхования вкладов, ни центрального банка за спиной.

Два других примера ещё ближе к обычным деньгам. В марте 2023 года стейблкоин USDC ненадолго подешевел до 86–87 центов, потому что 3,3 млрд долларов его резервов лежали в обанкротившемся американском банке Silicon Valley Bank. Привязка к доллару вернулась, когда власти гарантировали вкладчикам этого банка их деньги³². Криптовалюта в этой истории пострадала от краха самого обычного банка. А октябрьские ликвидации 2025 года — старая продажа заложенного за долги, только исполняли её программы бирж, и уложились они в сутки³³.

Новое во всех четырёх историях одно, и это запись, в которой лежат монеты. Всё, что в них сломалось, люди построили поверх записи, и устроено оно так же, как у обычных денег (хранение чужого, займы под процент, резервы в банке, покупка в долг).

Механику таких поломок экономисты описали задолго до биткоина. Американский экономист Хайман Мински сформулировал её как гипотезу, по которой за долгие периоды процветания экономика сама переходит от финансовых отношений, при которых система устойчива, к отношениям, при которых она неустойчива³⁴.³⁵ Историки финансов Уильям Куинн и Джон Тёрнер описали пузырь как треугольник, похожий на треугольник огня, где сторонами служат лёгкость покупки и продажи, деньги и кредит и спекуляция³⁶. Заключительную главу своей книги они начинают с того, что этот треугольник объясняет пузырь криптовалют 2017 года³⁷.³⁸ Мински писал об экономике вообще, Куинн и Тёрнер — о пузырях за три века. Крипта вошла в их схемы без переделки, и для меня это главный довод в пользу того, что её стоит изучать как деньги и кредит.

Раз новое в этих историях только запись, её и стоит понять первой, иначе трудно отличить, где кончается механизм и начинаются люди. У записи биткоина есть свойства, которых нет у банковского счёта, и они меняют цену ошибок. Платёж через банк можно оспорить и отменить, и Накамото прямо писал, что из-за этой возможности продавцам приходится остерегаться собственных покупателей³⁹. Перевод в биткоине отменить нельзя. Ошибку в адресе никто не исправит, украденный ключ означает украденные монеты, а правило, записанное в код, исполняется так же неумолимо, как и ошибка в этом коде. Пока вы аккуратны, всё это работает на вас, а стоит ошибиться или отдать ключ не тому, и оно работает против.

Что умеет модель

Под моделью я понимаю упрощённое описание механизма, то есть того, из каких частей он состоит и что за чем следует, если изменить одну из них. Модель говорит, что произойдёт, но не говорит когда. У этой книги модель одна, и в ней две половины.

Первая половина — механизм: как устроена общая запись о деньгах, на чём держится доверие к ней и что меняется, когда у записи пытаются совсем убрать хозяина. Её я буду собирать по шагам на игрушечном примере с круглыми числами и каждый раз отмечать, где пример перестаёт быть похожим на настоящие деньги. Вторая половина — цикл кредита. Там, где поверх записи появляются займы, появляется и волна, которая сначала раздувает цены, а потом расчищает долги.

Эта вторая половина и отвечает на вопрос, который спор веры и страха оставляет открытым. Цена растёт, и монеты, лежащие в залоге, дорожают. Под дорогой залог дают больше денег, на эти деньги покупают ещё монеты, и цена растёт снова, выше, чем подняли бы её одни собственные деньги покупателей. На развороте петля крутится в обратную сторону. Залог дешевеет, у кого он опустился ниже порога, у того его продают принудительно, эти продажи опускают цену до порогов следующих заёмщиков, и падение уходит глубже, чем ушло бы без долгов.

Во второй части книги я разложу цикл на шесть этапов: новая история, которая обещает прибыль; приток денег; заёмные деньги и плечо; пик; принудительные продажи; расчистка. Декорации менялись (деньги копились то в кассах первых бирж, то в продажах новых токенов, то у кредитных сервисов, то в биржевых фондах), а порядок этапов оставался прежним. Толкают цикл три слоя сил: деньги снаружи рынка, плечо внутри него и история, которой люди объясняют себе покупку. Экономист Роберт Шиллер предлагал изучать такие истории почти как эпидемии, потому что мозг, по его словам, настроен на рассказы, правдивые или нет, которыми люди оправдывают траты и вложения⁴⁰.⁴¹ Пик приходит, когда один из слоёв иссякает, и в разных циклах первым иссякал разный.

Прогноз устроен иначе. Он называет дату или цену и обычно держится на одном рычаге. Самый популярный связан с халвингом, плановым сокращением выпуска новых биткоинов вдвое примерно раз в четыре года. В трёх последних циклах вершина приходила почти через одинаковый срок после халвинга, но трёх точек мало, чтобы назвать причину, а исследования, которое отделило бы действие халвинга от действия дешёвых денег, я не нашёл⁴². Другой прогноз привязывает биткоин к количеству денег в экономике США, но в 2026 году денежная масса там обновляла рекорды, а биткоин дешевел⁴³.

Модель не обещает ни цены, ни даты. Допустим, вы видите, что за год цена выросла втрое. Прогноз спрашивает, вырастет ли она ещё, и честно ответить на это не может никто. Модель спрашивает, на чьи деньги она поднялась. Если покупали в основном на свои и держат монеты у себя, продавать никого не заставят, и падению почти не на что опереться, чтобы стать обвалом. Если вместе с ценой выросли займы под залог монет и ставки с плечом, у рынка появились продавцы поневоле, и каждый процент падения приближает их к порогу, за которым биржа продаст за них. Цена в обоих случаях одна и та же, а этап цикла и цена ошибки разные.

Я доверяю этой модели по двум причинам. Её звенья описаны на истории обычных денег и кредита, от Компании Южных морей до доткомов, и крипту я в эту схему вписываю, а не строю схему под крипту. И её можно проверить: во второй части мы прогоним через неё все большие циклы рынка с 2010 года до нынешнего, который ещё не закончен. Где модель не справляется, я скажу прямо. В открытом цикле она, например, не может сказать, пройдено ли уже дно, и я этого тоже не знаю.

Как устроена книга

Книга состоит из трёх частей. Первая собирает механизм с нуля. Она начинается с денег, какими они были задолго до компьютеров, и шаг за шагом доходит до блокчейна, до способа, которым тысячи незнакомых участников договариваются об одной записи, до смарт-контрактов и стейблкоинов. Заканчивается она разбором того, где блокчейн прижился за пределами денег и где нет. Вторая часть строит модель криптоцикла и проверяет её на истории рынка, от первых циклов вокруг бирж и продаж токенов через цикл заёмных денег 2020–2022 годов до цикла институтов, который ещё идёт. В каждом цикле у рынка был свой посредник, которому доверили чужие деньги, и вторая часть следит за тем, как от цикла к циклу менялся этот посредник, а вместе с ним и то, где рвалось в первую очередь.

Третья часть переводит понимание в действие. В ней разобрано, как государства отвечают на крипту, как люди теряют криптовалюту и что помогает вам не потерять свою, какие правила помогают участнику рынка пережить расчистку и какие сценарии будущего выглядят правдоподобными. Правила собраны в тринадцатой главе, и там же вся книга сводится к одной схеме из двух вопросов. Первый — кто ведёт запись и кто может её изменить, и на нём держится механизм. Второй — кто кому должен и что случится, когда долг вычеркнут, и на нём держится цикл. Правила опираются на всё, что сказано до них, поэтому читать книгу лучше по порядку. Без первой части вторая превращается в хронику, а без второй правила третьей выглядят произвольными.

Несколько договорённостей помогут при чтении. Условные примеры я всегда называю условными, а числа в них круглые. Каждое проверяемое утверждение опирается на источник, источники собраны в примечаниях, и там же лежат оригиналы цитат, которые в тексте даны в переводе. «Я» в книге значит оценку, мнение или признание того, чего я не знаю. Историй из собственной жизни здесь нет. Главы с практическими выводами заканчиваются короткой выжимкой, у каждой своей формы (в шестой и девятой это вопросы, в седьмой таблица, в двенадцатой чек-лист, в тринадцатой свод правил), а схемы нарисованы так, чтобы их можно было читать и в чёрно-белой печати.

Цифры на этом рынке стареют быстрее всего остального. Данные в книге собраны по состоянию на конец сентября 2026 года, и почти у каждой цифры стоит дата. Свежие значения, статусы законов и судебных дел собраны в приложении Б «Положение на дату», а термины объяснены простыми словами в глоссарии, в приложении А. Механизм от смены цифр не устаревает, и книга построена так, чтобы через несколько лет вы могли подставить в модель новые данные сами.

И последнее. Эта книга не инвестиционная рекомендация. В ней нет советов, какие монеты покупать, и нет прогнозов цены, а о законах и налогах я пишу как об обзоре подходов разных стран, без руководства для какой-то одной. Задача у книги другая. Я хочу, чтобы, прочитав новость о крипте, вы сами могли понять, какая часть механизма в ней задета и на каком этапе цикла это происходит.

Начнём поэтому с денег, какими они были задолго до биткоина, и с вопроса, который можно задать любым деньгам, — кто ведёт запись о долгах и почему этой записи верят.

Часть I. Как это устроено

Глава 1. Деньги — это договорённость о доверии

Если вы не видите, что остаётся от денег, когда из них убраны монеты и банкноты, то и криптовалюты останутся для вас загадкой, потому что они заменяют не бумагу и не металл, а совсем другую часть денег. Эту часть я и хочу показать в первой главе. Сначала мы соберём игрушечную модель денег, потом будем добавлять к ней по одному правилу и следить, как меняется её поведение, пока не дойдём до задачи, которую взялся решить создатель биткоина. Как он её решил, разберём в следующей главе; здесь нужно понять, откуда задача взялась и почему её не смогли решить люди, знавшие криптографию ничуть не хуже.

Начнём с посёлка, которого нет (он условный, и числа в нём круглые для удобства). В посёлке сто дворов и ни одной монеты. Пекарь печёт хлеб, плотник чинит крыши, у доярки есть молоко, и меняться напрямую им неудобно: хлеб плотнику нужен сегодня, а крыша пекарю понадобится только осенью.

Выход находят простой и старый — в посёлке заводят тетрадку. Когда плотник берёт у пекаря десять буханок, туда записывают «плотник должен пекарю 10», а осенью, когда крыша починена, строчку вычёркивают. Если пекарю молоко нужнее крыши, он может отдать доярке своё право на этот долг, и тогда плотник будет должен уже ей.

Обратите внимание на то, что сейчас произошло.

Монет в посёлке по-прежнему нет, а деньги уже появились, и это записи о долгах, которые переходят из рук в руки и которыми можно расплатиться за хлеб, молоко или работу. Монеты, банкноты и цифры на банковском счёте я в этой книге буду считать разными способами вести такую же запись (у каждого способа свои слабости, и мы до них дойдём).

Первое правило понадобится почти сразу. Тетрадка должна быть одна, потому что, если каждый двор ведёт свою, записи быстро разойдутся (у плотника долг вычеркнут, у пекаря нет), и спор решить будет нечем.

С одной тетрадкой у посёлка появляется хранитель, а вместе с ним вопрос, от которого теперь зависит всё: почему хранителю верят? Он может приписать себе лишнюю строчку, стереть чужую или позволить пекарю отдать одно и то же право на долг сразу двоим.

Человек (или группа людей), выступавший под именем Сатоши Накамото, в 2009 году назвал этот вопрос корнем бед обычных денег. Главная их проблема, писал он, во всём том доверии, которое нужно, чтобы они работали. Центральному банку приходится верить, что он не обесценит валюту, а история бумажных денег полна нарушений этого доверия⁴⁴.⁴⁵ Прежде чем смотреть, чем он предложил доверие заменить, проверим, похож ли наш посёлок на настоящую экономику, и добавим в него ещё несколько правил.

Что остаётся от денег без монет

Посёлок с тетрадкой может показаться удобной выдумкой, подогнанной под нужный вывод. Проверить это проще всего по источнику, который трудно заподозрить в симпатии к криптовалютам, то есть по объяснению самого центрального банка.

В 2014 году три экономиста Банка Англии напечатали в его ежеквартальном бюллетене популярную статью о том, что такое деньги в современной экономике. Их ответ почти совпадает с нашей тетрадкой. Сегодня деньги — это разновидность долговой расписки, и особая она тем, что все в экономике уверены, что её примут другие люди в обмен на товары и услуги⁴⁶.⁴⁷ Через две страницы та же мысль сказана ещё короче: деньги в современной экономике — всего лишь особая форма расписки⁴⁸.

Путь, которым авторы приходят к этому выводу, тоже похож на наш. Они описывают мир, где каждый выписывает собственные расписки и отмечает в общем списке, должен он в итоге или должны ему, и вспоминают средневековых европейских купцов, которые расплачивались расписками и сводили их на ярмарках, большей частью просто погашая долги друг против друга⁴⁹. Слабое место такой системы названо сразу. Она держится на уверенности каждого, что все остальные совершенно надёжны. Деньги, по словам авторов, — общественный институт, который решает проблему недостатка доверия⁵⁰.⁵¹

В посёлке эту разницу легко увидеть. Строчка «плотник должен пекарю 10» годится доярке, только если доярка верит плотнику, ведь он может уехать или слечь до осени. Лесорубу с дальнего края посёлка, который плотника не знает, такая строчка не годится вовсе. Теперь пусть хранитель заменит её своей строчкой «хранитель должен пекарю 10», а с плотника долг спросит сам. Такую строчку возьмут все сто дворов, потому что верить теперь нужно одному хранителю вместо каждого должника по отдельности. Сто частных доверий сжимаются в одно общее, и в этот момент расписка становится деньгами в смысле Банка Англии, то есть распиской, которую примет любой⁵².

Как мало деньги зависят от предмета, лучше всего видно на острове Яп в Каролинском архипелаге. В 1910 году о нём выпустил книгу американский путешественник Уильям Фёрнесс⁵³. Деньгами там служили большие каменные диски, и после сделки их часто не трогали с места. Новый владелец довольствовался признанием своего права, камень оставался во дворе прежнего хозяина, и на нём даже не ставили никакой отметки⁵⁴. Одна семья, по словам Фёрнесса, считалась богатой благодаря огромному камню, который два или три поколения назад утонул при перевозке и которого с тех пор никто не видел⁵⁵.⁵⁶

В той же книге есть эпизод, который я считаю самым точным описанием денег как записи. Вожди нескольких округов раз за разом не выполняли приказ немецкой колониальной администрации починить дороги, и администрация решила их оштрафовать. Вывозить камни никто не стал. На самых ценных нарисовали чёрные кресты в знак того, что теперь они принадлежат правительству⁵⁷. Камни остались на месте, изменилась только общая память о том, чьи они. Когда дороги починили, кресты стёрли, и штраф исчез так же, как появился⁵⁸.

Если деньги — запись, то где лежат записи сегодня? Большей частью в банках. В Великобритании на конец 2013 года около 97% денег, находившихся у публики, составляли банковские депозиты, и только остальное приходилось на наличные⁵⁹.⁶⁰ Сам депозит авторы из Банка Англии определяют без всякой романтики как запись о том, сколько банк должен своему клиенту⁶¹.⁶² Остаток на вашем счёте — строчка в тетрадке банка, и в ней написано «банк должен вам столько-то».

С другого конца к той же мысли подошёл экономист Нараяна Кочерлакота. В 1996 году Федеральный резервный банк Миннеаполиса выпустил его работу «Деньги — это память»⁶³. Кочерлакота построил формальную модель экономики и сравнил в ней два мира. В первом люди расплачиваются деньгами. Во втором денег нет, зато все помнят все прошлые сделки друг друга. Оказалось, что второй мир может всё, что может первый⁶⁴.⁶⁵

Это теорема о модели, а о прошлом она ничего не рассказывает. Работает она к тому же в одну сторону. Память может заменить деньги, а заменить деньгами память, как оговаривает сам автор, удаётся лишь в некоторых моделях. Банк Англии, ссылаясь на эту работу, добавляет к условиям, при которых деньги вообще нужны, ещё одно: в экономике нет записи обо всех сделках⁶⁶. Если бы весь посёлок помнил каждую сделку каждого двора, тетрадка с переходящими долгами была бы ему ни к чему.

Отсюда странное положение, в котором окажется биткоин. Его основа — общая запись обо всех переводах, копию которой держит у себя каждый участник (её называют блокчейном). По замыслу это и есть та самая общая память, и при этом создатель назвал свою систему электронными деньгами⁶⁷.

Противоречие снимается, если посмотреть, что именно такая запись помнит. Память из модели Кочерлакоты хранит всё: кто кому испёк хлеб, кто кому починил крышу и кто сколько задолжал. Запись биткоина помнит только одно — как переходили из рук в руки её собственные единицы. Хлеб, крыши и обещания остаются за её пределами, поэтому деньги посёлку по-прежнему нужны, и роль денег эта запись берёт на себя сама.

Откуда деньги взялись исторически (из бартера, из ценного товара вроде металла или из учёта долгов), остаётся открытым вопросом, и сам Банк Англии называет его предметом серьёзного спора⁶⁸. Кредитную версию ещё в 1913 году отстаивал британский дипломат и экономист-любитель Альфред Митчелл-Иннес, для которого деньги — это «кредит и только кредит»⁶⁹,⁷⁰ но решать этот спор нашей модели не нужно, потому что посёлок описывает, как деньги устроены сегодня, и их родословная ему безразлична.

Если хотите проверить модель на себе, откройте выписку по своему счёту и прочитайте её как страницу из тетрадки. Зарплата в ней — строчка, после которой банк должен вам больше. Оплата картой в магазине — строчка, после которой он должен вам меньше⁷¹. Ни монеты, ни купюры в этой цепочке нет, и держится она только на том, что банк ведёт свою тетрадку правильно и не ошибается ни в вашу пользу, ни против вас. Этого хранителя вы, скорее всего, никогда не видели и в его тетрадку не заглядывали. Вы ему просто верите.

Кто пишет новые строчки

Пока хранитель в нашем посёлке только переносит долги из строчки в строчку. Добавим второе правило: он может давать в долг сам.

Допустим, плотнику нужны доски на 100, а расплатиться с лесорубом ему пока нечем. Хранитель пишет в тетрадку две строчки, «хранитель должен плотнику 100» и «плотник должен хранителю 100». Первой строчкой плотник расплачивается с лесорубом (право требовать с хранителя 100 переходит к лесорубу), а вторая висит на плотнике, пока он не отработает долг. На случай, если плотник не расплатится, хранитель берёт с него залог: пока долг не погашен, сарай плотника записан за хранителем, а если долг так и не вернут, сарай останется хранителю.

Посчитаем, что изменилось. До этих записей в посёлке ходило какое-то количество прав требования, после них стало на 100 больше, хотя никто ничего не добыл, не вырастил и не напечатал. Деньги появились в ту минуту, когда хранитель выдал кредит. Когда плотник рассчитается, обе строчки вычеркнут, и эти 100 исчезнут так же тихо, как появились.

Может показаться, что так бывает только в игрушечном посёлке. Банк Англии в соседней статье того же бюллетеня описывает настоящие банки теми же словами: всякий раз, когда банк выдаёт кредит, он одновременно создаёт на счёте заёмщика соответствующий депозит и тем самым создаёт новые деньги⁷².⁷³ Погашение кредита, наоборот, деньги уничтожает⁷⁴. Там же авторы разбирают две распространённые ошибки. Банки не просто передают в долг деньги, которые принесли вкладчики, и не «умножают» деньги центрального банка по учебной формуле⁷⁵.

Отсюда легко сделать вывод, будто банки пишут деньги из воздуха без всяких правил. Это половина картины, и её часто цитируют без второй половины. Создание денег банками ограничено, и Банк Англии перечисляет, чем. Банк должен заработать на кредите в конкуренции с другими банками, его держат правила надзора, а последний предел ставит центральный банк, который в обычное время действует через процентную ставку⁷⁶.⁷⁷ Чем выше ставка, тем дороже кредит, тем реже за ним приходят и тем меньше новых денег создают банки.

Переведём это на язык посёлка, и получится третье правило. Хранителей в настоящей экономике много (каждый банк ведёт свою тетрадку своих клиентов), а над ними стоит главный хранитель, центральный банк, который решает, сколько будет стоить каждая новая строчка, и тем самым ставит последний предел всей записи⁷⁸. Доверие в таких деньгах двухэтажное. На верхнем этаже вы верите, что главный хранитель не станет обесценивать запись. На нижнем вы верите, что ваш банк ведёт свою тетрадку честно и не раздаёт кредиты сверх меры.

Второе и третье правила вместе дают посёлку новое поведение, которого у него не было, пока хранитель только переписывал долги. Проследим его по шагам. Урожай хороший, настроение в посёлке бодрое, и хранитель охотнее пишет строчки в долг (плотнику на доски, пекарю на новую печь, доярке на вторую корову). Каждая такая строчка — новые деньги⁷⁹. Новые деньги идут к лесорубу, печнику и тому, кто продаёт коров, те тоже чувствуют себя увереннее и сами приходят за кредитом. Цены на доски, коров и сараи растут, вместе с ними дорожают залоги, а под дорогой сарай хранитель охотно даёт в долг больше прежнего, и петля раскручивается.

Теперь представим неурожай. Часть должников не может отработать долг, хранитель пугается и перестаёт писать новые строчки, а старые вычёркиваются по мере погашения, и вместе с ними исчезают деньги⁸⁰. Денег в посёлке становится меньше, цены на доски и коров падают, залог дешевеет, и хранитель выдаёт ещё меньше. Та же петля крутится в обратную сторону.

Это игрушка, и настоящая экономика сложнее (центральный банк, например, старается сгладить обе фазы ставкой⁸¹). Главное она всё же показывает верно. Где хранитель может писать строчки в долг, там запись денег сама собой расширяется и сжимается волнами.

Накамото в том же посте 2009 года прошёлся по обоим этажам. О главном хранителе мы уже говорили. О банках он написал, что им приходится доверять хранение наших денег и их электронный перевод, а они раздают эти деньги в кредит волнами кредитных пузырей, держа в резерве лишь ничтожную долю⁸².⁸³ Слова про «ничтожную долю в резерве» — полемика, и описанием по учебнику их считать нельзя. Как на деле ограничено создание денег, лучше читать у Банка Англии⁸⁴. Зато вторая половина фразы для этой книги главная. Создатель биткоина описал беду обычных денег через кредитные пузыри, и во второй части книги мы увидим, что крипторынок, построенный как ответ на эту беду, живёт теми же волнами кредита. Волны, которые мы только что проследили в посёлке, никуда не денутся и в тетрадке без хозяина, если поверх неё снова начнут выдавать строчки в долг.

Когда хранитель подводит

Хранитель может подвести по-разному, и самый тяжёлый случай проще всего показать на посёлке.

Допустим, за год посёлок производит хлеба, молока и работы на 10 000 условных буханок, и строчек в тетрадке ходит примерно на ту же сумму. Однажды хранитель дописывает себе ещё 10 000. Хлеба, молока и крыш от этого не прибавилось, а прав на них стало вдвое больше, поэтому каждая строчка теперь покупает примерно вдвое меньше (модель грубая, настоящие цены так ровно не делятся, но направление она показывает верно). Пекарь, у которого было право на 100 буханок работы, может получить за него вдвое меньше молока, хотя из его строчки никто ничего не вычеркнул.

Опасен такой сбой тем, что его не видно по отдельной строчке. Каждая запись в тетрадке выглядит так же, как вчера, меняется только то, сколько за неё дают. Если хранитель дописывает раз за разом, люди начинают избавляться от строчек как можно быстрее, пока те не подешевели ещё, и это само ускоряет обесценивание: чем быстрее строчки тратят, тем быстрее растут цены, и тем охотнее от них избавляются. В какой-то момент запись перестают брать совсем.

Что так бывало часто, признают обе стороны спора о криптовалютах. Банк международных расчётов (его называют клубом центральных банков) в главе годового отчёта 2018 года, посвящённой криптовалютам, пишет, что доверие подводило так часто, что история превратилась в кладбище валют. В зале 68 Британского музея, напоминает отчёт, выставлены камни, раковины, табак, монеты и бумажки, которые когда-то были деньгами и перестали ими быть⁸⁵.⁸⁶ Накамото, как мы видели, говорит о том же самом другими словами. Выводы из одного и того же факта они делают противоположные, и к этой развилке мы придём в конце главы.

Самый изученный случай — Германия после Первой мировой войны. По данным Банка Англии, за пять лет после её окончания цены в германских марках удвоились 38 раз⁸⁷.⁸⁸ Доверие к хранителю к тому времени кончилось, и люди просто ушли в чужую тетрадку. К октябрю 1923 года иностранной валюты в стране ходило, по приблизительным оценкам, которые приводит экономист Томас Сарджент, не меньше, а возможно, в несколько раз больше, чем собственных банкнот, если считать по реальной стоимости⁸⁹.

Причинами катастрофы Сарджент называет репарации и дефицит бюджета, оккупацию Рура в 1923 году и то, что «пассивное сопротивление» оккупации оплачивали выпуском денег. К осени 1923 года правительство покрывало выпуском банкнот практически 100% своих расходов⁹⁰. Печатный станок был в этой цепочке последним звеном, через которое дыра в бюджете превращалась в новые строчки.

Для нашей модели интереснее всего, как инфляцию остановили. 15 октября 1923 года декретом объявили новую рентную марку, равную триллиону бумажных марок, но саму смену купюры Сарджент считает мерой косметической⁹¹. Решающим он считает предел. Декрет жёстко ограничил, сколько всего можно выпустить рентных марок и сколько из них дать в долг правительству, одновременно правительство перестало занимать у центрального банка и свело бюджет к равновесию, и в конце ноября 1923 года цены внезапно перестали расти⁹².⁹³ (Это объяснение Сарджента, признанное, но не единственное, и для нашей модели его достаточно.) На языке посёлка доверие вернуло правило, которое связало хранителю руки: столько строчек и не больше, и в долг самому себе не больше стольких-то.

У биткоина общий выпуск тоже ограничен, только правило записано прямо в коде⁹⁴. Во что обходится такой предел, мы увидим в главе 3.

Германия при этом даже не рекорд. Экономисты Стив Ханке и Николас Крус свели в таблицу больше полусотни эпизодов гиперинфляции⁹⁵, и по месячному темпу немецкий пик в ней лишь пятый⁹⁶. В Венгрии летом 1946 года цены удваивались меньше чем за сутки⁹⁷, в Зимбабве в 2008 году, по модельной оценке Ханке, примерно за сутки⁹⁸.⁹⁹ Чем кончается такая история, хорошо видно по Зимбабве. Страна перешла на чужие валюты, а в 2015 году её центральный банк выкупал оставшиеся на руках наличные по курсу, при котором самая крупная купюра, номиналом 100 трлн зимбабвийских долларов, стоила 40 американских центов. Банк отдельно оговорил, что это просто обмен и потерю от гиперинфляции он не возмещает¹⁰⁰.¹⁰¹

Было бы нечестно выводить из этих историй, что хранителю нельзя верить никогда. Гиперинфляции — крайние случаи. Германия расплачивалась по репарациям после проигранной войны¹⁰², Венгрия проходила через свою в 1945–1946 годах, сразу после Второй мировой¹⁰³. Банк международных расчётов при этом сам признаёт, что долгие периоды стабильных денег в истории скорее исключение, чем правило¹⁰⁴, и всё же выводит из того же кладбища валют противоположное Накамото правило, по которому проверенный способ обеспечить доверие к деньгам в современных условиях — независимый центральный банк¹⁰⁵. Какая доля хранителей удерживала доверие десятилетиями, надёжной меры у меня нет, поэтому слово «обычно» я здесь не поставлю ни в ту, ни в другую сторону. Для модели достаточно того, что сбои случались больше полусотни раз и по одной схеме: хранитель, которого ничто не ограничивало, писал строчки быстрее, чем их могли покрыть.

В начале главы я назвал три способа, которыми хранитель может подвести (приписать себе строчку, стереть чужую и позволить отдать одно право двоим). Гиперинфляции — первый способ, доведённый до предела. Второй способ в мягком виде можно разглядеть в истории с крестами на Япе, если посмотреть на неё с этой стороны. Администрация без согласия владельцев одной краской переписала строчку «камень принадлежит такой-то семье», и никто не спорил с её записью¹⁰⁶. Третий в бумажном мире почти не встречался, потому что хранитель видел всю тетрадку сразу. Главным он стал, когда тетрадку перенесли в компьютер.

Тетрадка в компьютере: проблема двойной траты

До сих пор наша тетрадка была бумажной и лежала в одном месте. Перенесём её в компьютер и посмотрим, что сломается.

Сначала о том, как защищали записи до компьютеров. Английское казначейство с XII до XIX века вело учёт налогов на деревянных бирках¹⁰⁷. Митчелл-Иннес описывает, как их делали. На ореховой палочке зарубками отмечали сумму, потом палочку раскалывали вдоль, одна половина оставалась у кредитора, другая у должника¹⁰⁸. Две половины совпадали только друг с другом, поэтому каждая служила проверкой для другой, и защиту записи давала сама физика дерева. (Конец у этой системы вышел мрачный. В 1834 году списанные бирки сожгли в печах под палатой лордов, огонь вышел из-под контроля и уничтожил большую часть средневековых зданий Вестминстерского дворца¹⁰⁹.)

Монету и бумажную купюру защищает похожая физика: у предмета в каждый момент только один владелец. Если я отдал вам банкноту, у меня её больше нет, и отдать её второй раз кому-то ещё я не могу. С цифровой записью это не работает. Файл копируется без потерь, и если электронная монета — просто набор чисел, ничто не мешает отправить одни и те же числа двоим.

Вернёмся в посёлок и добавим четвёртое правило: дворы больше не ходят к хранителю, а пересылают друг другу строчки через сеть. Пекарь пишет на своём компьютере «моё право на 10 с плотника переходит доярке» и отправляет доярке. Через минуту он пишет «моё право на 10 с плотника переходит лесорубу» и отправляет лесорубу. Доярка и лесоруб видят у себя подписанные пекарем записи, и каждая по отдельности выглядит безупречно.

Кто из них получил право?

Цифровые подписи, казалось бы, для того и придуманы. Подпись действительно решает часть задачи, и Накамото прямо так и пишет¹¹⁰.

Устроена подпись так. У пекаря есть ключ, то есть длинное секретное число, которое знает только он. Из этого числа и текста строчки компьютер вычисляет подпись, а проверить её может любой, не зная самого ключа. Подделать подпись без ключа нельзя, поэтому она доказывает, что строчку составил сам пекарь и что после подписи в ней не изменили ни буквы. Но обе строчки, и для доярки, и для лесоруба, пекарь подписал сам, поэтому обе подписи настоящие. Подпись отвечает на вопрос «кто написал». Двойная трата — вопрос «сколько раз», и на него подпись ответить не может.

Рисунок 1.1. Двойная трата

Это и называется проблемой двойной траты: как убедиться, что тот, кто платит вам цифровой записью, не отдал её уже кому-то ещё. Создатель биткоина и клуб центральных банков сформулировали её почти одинаково. Накамото в статье 2008 года пишет, что единственный способ убедиться, что транзакции не было, — знать обо всех транзакциях¹¹¹.¹¹² Банк международных расчётов в 2018 году пишет, что для цифровых денег решение проблемы двойной траты требует как минимум, чтобы кто-то вёл запись всех транзакций¹¹³.¹¹⁴

Доярка сама не узнает, отдал ли пекарь ту же строчку лесорубу, потому что переписки пекаря с лесорубом она не видит. Проверить может только тот, кто видит все записи сразу, то есть хранитель общей тетрадки. Накамото описывает этот ход прямо. Электронную монету он определяет как цепочку цифровых подписей, каждый владелец передаёт её следующему, подписывая, и тут же признаёт слабость. Получатель не может проверить, не потратил ли один из прежних владельцев монету дважды¹¹⁵. Обычное решение — завести центральный монетный двор, через который проходит каждая транзакция, но тогда, пишет он, судьба всей денежной системы зависит от компании, которая ведёт этот двор, и каждая транзакция должна проходить через неё, как через банк¹¹⁶.¹¹⁷

Получается петля, из которой долго не могли выбраться. Цифровые деньги нуждаются в общей записи всех транзакций; общую запись кто-то должен вести; тот, кто её ведёт, становится хранителем; хранителю нужно доверять, и мы вернулись к первому правилу посёлка со всеми его рисками.

Эту петлю вы проходите каждый день, не замечая её. Когда вы платите картой или переводите деньги с телефона, вы тоже расплачиваетесь цифровой записью, и двойной траты при этом не боится ни продавец, ни вы. Причина в том, что каждую такую оплату проводит хранитель. Банк видит всю свою тетрадку сразу и не даст списать одну и ту же строчку дважды, то есть делает ровно тот минимум, который Банк международных расчётов считает необходимым¹¹⁸. Цифровые деньги с хранителем работают давно и надёжно. Трудность появляется только тогда, когда хранителя хотят убрать.

У каждой попытки был хозяин

Есть расхожее представление, будто биткоин — первая цифровая валюта, придуманная с нуля в 2008 году. Обе части этого представления неверны. Цифровые деньги пытались построить за четверть века до него, и сам Накамото называл своих предшественников по именам. Попыток было много, но их легко разложить на две линии. В первой запись вела компания, и система работала, пока жила компания. Во второй хозяина пытались убрать, и дальше описаний дело не пошло. Ещё одна деталь пришла со стороны, из борьбы со спамом. Обе линии спотыкались об одно и то же место в нашей петле.

Первую линию начал криптограф Дэвид Чаум. В 1982 году он предложил «слепые подписи» (статья вышла в 1983 году), при которых банк подписывает электронную купюру, не видя её номера¹¹⁹. Представьте, что банк ставит печать через копирку на запечатанный конверт. Оттиск на купюре внутри остаётся, а что на ней написано, банк не видел. Поэтому и посторонние не могут потом узнать, кому, когда и сколько платил человек¹²⁰. Мотивом Чаума была приватность. Он писал, что знание о получателе, сумме и времени каждого платежа может многое рассказать о том, где человек бывает, с кем водится и как живёт¹²¹.¹²² Отказываться от банка он не собирался. От двойной траты его схему защищал банк, который, получив купюру к оплате, проверял подпись, заносил купюру в полный список погашенных и отказывал в оплате, если она там уже была¹²³.¹²⁴

Самая изощрённая криптография своего времени решала двойную трату одной тетрадкой у одного хранителя. Именно такую конструкцию Накамото позже и назовёт монетным двором, через который проходит каждая транзакция¹²⁵.

На этой схеме выросла компания Чаума DigiCash. Первый электронный платёж её системой eCash по компьютерной сети прошёл 27 мая 1994 года. В 1995 году eCash запустил американский банк из Сент-Луиса, позже систему пробовали и крупные европейские банки¹²⁶. В начале ноября 1998 года DigiCash подала заявление о банкротстве¹²⁷.¹²⁸ Отраслевая газета American Banker писала тогда, что банки-партнёры так и не вышли за стадию пилотов, а в интернет-платежах в США победили кредитные карты¹²⁹.¹³⁰

Другая судьба у e-gold, цифровой валюты, «обеспеченной золотом», которая работала с 1996 года¹³¹. В апреле 2007 года Министерство юстиции США предъявило двум компаниям, стоявшим за системой, и трём их владельцам обвинение, среди прочего в отмывании денег и в ведении нелицензированного бизнеса по переводу денег. Для открытия счёта, по словам обвинения, хватало адреса электронной почты¹³². В июле 2008 года обе компании признали вину, и им предписали зарегистрироваться как денежные сервисы, проверять личность клиентов и сообщать о подозрительных операциях¹³³.¹³⁴ У e-gold был хозяин записи, компания с адресом, и государство одним делом заставило этого хозяина вести тетрадку так, как её ведёт банк.

У двух этих историй разные сюжеты, но общая конструкция. И DigiCash, и e-gold держали запись у себя. Одну погубил рынок, другую государство заставило перестроиться, и в обоих случаях решалась судьба одной компании, а вместе с ней и всех её денег.

Вторая линия шла параллельно, и в ней хозяина пытались убрать. В ноябре 1998 года Уэй Дай опубликовал в рассылке шифропанков (так называли сообщество энтузиастов криптографии и приватности) описание b-money. Каждый участник там ведёт собственную базу данных о том, сколько денег принадлежит каждому псевдониму, а новые деньги получает тот, кто решил вычислительную задачу¹³⁵. Схему так и не реализовали, и сам Дай признавал, что это ещё не законченный практический проект¹³⁶.¹³⁷ В посёлке это значило бы, что каждый двор ведёт свою тетрадку, то есть ровно то, от чего нас предостерегало первое правило. Не хватало способа договориться, чья тетрадка верна, если они разошлись. Второй вариант, который Дай описал там же, поручал вести запись группе серверов¹³⁸ и тем самым возвращал хранителей, только теперь их было несколько.

Проект bit gold Ник Сабо описал в своём блоге в декабре 2005 года, хотя сама идея, по его словам, пришла ему «давно»¹³⁹.¹⁴⁰ Сабо исходил из того, что наши деньги зависят от доверия к третьей стороне, а драгоценные металлы ценны неподделываемой редкостью, потому что их дорого добывать¹⁴¹.¹⁴² Отсюда его идея создавать «неподделываемо дорогие» цепочки битов, затрачивая на них вычислительную работу, отмечать их время и вносить права на них в распределённый реестр собственности¹⁴³, то есть в список владельцев, копии которого хранятся у многих участников сразу. Bit gold тоже остался на бумаге¹⁴⁴.

Последний кирпич принесла задача, к деньгам вроде бы не относящаяся. Адам Бэк придумал Hashcash как защиту от спама, объявил его весной 1997 года в той же рассылке шифропанков, а в 2002 году подробно описал в статье¹⁴⁵. Отправитель письма тратит немного вычислительной работы и прикладывает доказательство, что он её потратил¹⁴⁶. Для одного письма это дёшево, для миллиона писем дорого. Эта «цена за запись» потом ляжет в основу того, как биткоин решает, чья версия тетрадки верна. Если совсем коротко, верной считается та версия, в которую вложено больше всего такой работы¹⁴⁷, а почему это защищает от обмана, разберём позже.

Все эти линии сходятся в Накамото, и он сам это признавал. В статье 2008 года среди восьми ссылок есть b-money Уэй Дая и Hashcash Адама Бэка, а также работы о надёжных отметках времени, то есть о том, как доказать, что документ существовал к определённому моменту¹⁴⁸. Летом 2008 года, ещё до выхода статьи, он написал Даю, что с интересом прочитал страницу о b-money и готовит статью, которая развивает его идеи в полную работающую систему, а на сайт Дая его навёл Бэк¹⁴⁹. В 2010 году он написал на форуме прямо, что биткоин — реализация предложения b-money Уэй Дая и предложения bit gold Ника Сабо¹⁵⁰.¹⁵¹

В феврале 2009 года, отвечая скептикам, Накамото сказал о прошлых неудачах ещё точнее. Многие, по его словам, заранее считают электронные деньги безнадёжным делом из-за всех компаний, прогоревших с 1990-х годов, но их погубила именно централизованность, и биткоин, по его мнению, — первая попытка построить децентрализованную систему, не основанную на доверии¹⁵².¹⁵³

Если разложить всех предшественников по тому, кто у них вёл тетрадку, получится короткий список:

схема Чаума и DigiCash — запись ведёт банк, он же ловит двойную трату¹⁵⁴, а компания обанкротилась в 1998 году¹⁵⁵;

e-gold — запись ведёт компания, и после уголовного дела её обязали работать по правилам денежных сервисов¹⁵⁶;

b-money — каждый ведёт свою копию без способа их согласовать (во втором варианте запись ведёт группа серверов), схема не реализована¹⁵⁷;

bit gold — распределённый реестр прав на «дорогие» биты, не реализован¹⁵⁸;

Hashcash — цена за отправку письма, к деньгам прямого отношения не имеет¹⁵⁹.

В первых двух строчках есть работающая система и хозяин, в следующих двух нет хозяина и нет работающей системы, а последняя даёт недостающую деталь. Накамото понадобилось соединить их так, чтобы получилась работающая система без хозяина.

Тетрадка без хранителя

Цифровая запись должна быть одна, иначе её нельзя проверить. Одну запись до сих пор всегда вёл хранитель, а хранитель мог разориться, попасть под запрет или злоупотребить доверием. Нужна одна общая тетрадка, которую никто в отдельности не ведёт.

31 октября 2008 года Накамото объявил о своей статье в криптографической рассылке, и первая фраза письма гласила, что он работает над новой системой электронных денег, полностью одноранговой, без доверенной третьей стороны¹⁶⁰.¹⁶¹ Одноранговой называют сеть без центрального сервера, где каждый участник связан с другими напрямую. Дальше в письме шёл короткий список свойств. Двойная трата предотвращается одноранговой сетью; нет ни монетного двора, ни других доверенных сторон; участники могут быть анонимны; новые монеты создаются доказательством работы в стиле Hashcash¹⁶², то есть достаются тому, кто потратил вычислительную работу и может это предъявить. (С анонимностью всё сложнее, чем обещала эта строчка, и в главе 2 мы увидим почему.)

В самой статье задача поставлена в двух фразах. Цифровые подписи решают её часть, но главные преимущества теряются, если для защиты от двойной траты всё равно нужна доверенная третья сторона, а решение предлагается через одноранговую сеть¹⁶³. А во введении сказано, что нужна платёжная система, основанная на криптографическом доказательстве вместо доверия, которая позволит любым двум желающим сторонам рассчитываться напрямую, без доверенного посредника¹⁶⁴.¹⁶⁵ Речь в статье об интернет-платежах и посредниках, через которых они идут, а о центральном банке Накамото писал отдельно, в посте 2009 года¹⁶⁶. Посредник, объясняет он во введении, обходится дороже своей комиссии, потому что платёж через него можно отменить, и тогда продавцам приходится остерегаться собственных покупателей¹⁶⁷.

Как именно Накамото убрал хранителя, мы будем разбирать дальше, но общий ход виден уже на посёлке. Вспомните формулу из статьи. Чтобы убедиться, что транзакции не было, надо знать обо всех. Без хранителя это значит, что транзакции нужно объявлять открыто, и нужна система, в которой участники договариваются о единой истории того, в каком порядке транзакции поступили¹⁶⁸. Переведём это в пятое правило посёлка, в котором три части: 1) каждый двор держит у себя полную копию общей тетрадки; 2) каждая новая запись объявляется всем дворам сразу; 3) есть способ, которым дворы, не доверяющие друг другу, приходят к одной версии тетрадки, даже если кто-то из них жульничает.

Посмотрим, как это работает на нашем пекаре. Теперь он не может тайно отправить одну строчку доярке, а другую лесорубу, потому что обе строчки объявляются всем дворам. Каждый двор видит, что пекарь пытается отдать одно право дважды, и дело сводится к тому, какая строчка была первой. Первую записывают в тетрадку, вторую отбрасывают.

Но какая из них была первой?

Посмотреть на время отправки не выйдет. Время в строчке ставит сам пекарь, и ничто не мешает ему пометить строчку для лесоруба более ранним часом, а часы на разных компьютерах к тому же расходятся. Поверить чужой отметке времени значит снова поверить тому, кто её поставил. Остаётся порядок, в котором строчки дошли до дворов, но и он у всех свой. Сообщения в сети идут с задержками, и до двора на одном краю посёлка первой дойдёт строчка для доярки, а до двора на другом краю — строчка для лесоруба. Если каждый двор запишет то, что увидел первым, копии тетрадки разойдутся, и мы вернёмся к b-money. Поэтому Накамото и говорит о единой истории порядка, в котором транзакции поступили¹⁶⁹.

Рисунок 1.2. Пять правил посёлка по порядку

Первые две части правила не новы, b-money предлагала почти то же. Вся трудность в третьей, и именно её Накамото решил так, как до него не решал никто. По его собственным словам, он думал над замыслом с 2007 года и в какой-то момент убедился, что это можно сделать вообще без необходимости в доверии; больше всего работы, добавил он, ушло на проектирование, программирование заняло меньше¹⁷⁰.¹⁷¹

Записи в биткоине собираются в страницы, их называют блоками. Первый блок новой тетрадки датирован 3 января 2009 года, и в него записан заголовок газеты The Times того дня, «Канцлер на грани второго спасения банков»¹⁷².¹⁷³ Вписан он затем, чтобы доказать, что блок создан не раньше этой даты, ведь знать заранее, какой заголовок выйдет в газете в этот день, никто не мог. Обычно его читают ещё и как комментарий к спасению банков за счёт государства¹⁷⁴. Прочтение правдоподобное, но сам Накамото его не подтверждал и не опровергал, так что для меня оно остаётся версией. (У первого блока есть и техническая странность. Вместе с каждым блоком в системе появляются новые монеты; с первым их появилось 50, но из-за особенности кода потратить их нельзя, и намеренно ли так сделано, неизвестно¹⁷⁵.)

На этом месте аналогия с посёлком начинает ломаться, и полезно сказать, где именно. В посёлке тетрадка записывает долги (плотник должен пекарю, банк должен вам). В биткоине за строчкой нет должника. Никто не обещает отдать хлеб, крышу или доллары в обмен на вашу запись, строчка просто говорит, что столько-то единиц теперь принадлежит владельцу такого-то ключа, то есть тому, кто может подписать следующий перевод. Банк Англии ещё в 2014 году отметил, что биткоин тогда не использовался широко для расчётов и был популярен скорее как предмет вложений, и написал, что цифровые валюты вроде биткоина концептуально, возможно, ближе к товарам вроде золота, чем к деньгам¹⁷⁶.¹⁷⁷ Спор о том, деньги это или товар, начался почти одновременно с самим биткоином и не закончен до сих пор. Для этой главы важно, что долг из старой модели биткоин оставляет за бортом и забирает у неё только тетрадку, то есть общую запись о том, кому что принадлежит, и правило, по которому её нельзя тайно переписать.

Куда переходит доверие

Вернёмся к развилке, которую я обещал. Накамото и Банк международных расчётов исходят из одного факта: доверие к хранителям денег подводило много раз. Выводы у них противоположные. Банк международных расчётов пишет, что децентрализованная технология криптовалют, как бы изощрённа она ни была, — плохая замена прочной институциональной опоре денег, а проверенным способом обеспечить доверие к деньгам называет независимый центральный банк¹⁷⁸.¹⁷⁹ Сами деньги он определяет как незаменимую общественную договорённость, за которой стоит подотчётный государственный институт, пользующийся доверием публики¹⁸⁰. Из этого следует, что хранителей нужно укреплять.

Накамото предлагает убрать нужду в хранителе. Заключение его статьи начинается словами о том, что предложена система электронных транзакций, не полагающаяся на доверие¹⁸¹.¹⁸²

Кто из них прав, я в этой главе решать не стану. Ответ зависит от того, что держит систему без хранителя и насколько это прочно, а проверить это можно, только разобрав механизм по частям.

Одно я могу сказать уже сейчас. Формулировку Накамото я не считаю точной и дальше в книге буду исходить из более осторожной: доверие в биткоине остаётся, только переходит на другие опоры. В той же статье безопасность системы держится на условии, что честные участники вместе контролируют больше вычислительной мощности (проще говоря, больше компьютеров, занятых той самой работой в стиле Hashcash), чем любая группа нападающих¹⁸³. Кроме того, пользователи доверяют математике подписей, коду, который пишут конкретные люди, и собственной способности не потерять ключ. Одни из этих опор прочнее привычных хранителей, другие слабее, и каждую мы проверим отдельно.

Зачем тогда вся эта конструкция, если доверие всё равно остаётся? Разница в том, кто может изменить запись в одиночку. В посёлке с хранителем для этого хватает одного человека, который допишет строчку, сотрёт чужую или остановит платежи (e-gold, как мы видели, пришлось перестроиться после одного уголовного дела против её хозяев¹⁸⁴). В тетрадке без хранителя для того же нужно, чтобы сговорились те, у кого большая часть вычислительной мощности сети¹⁸⁵. Доверие здесь похоже на нагрузку в конструкции. Убрать её нельзя, но можно разнести на много опор, и тогда отказ одной не роняет всё здание. Во что обходится такая распределённость и где она держится хуже, чем обещано, — отдельный вопрос, и до него мы дойдём.

Поэтому к любым деньгам, старым и новым, я в этой книге буду подходить с одним и тем же вопросом: кто ведёт запись и почему ему верят. У денег на вашем банковском счёте ответ двухэтажный (ваш банк и над ним центральный банк, которых ограничивают правила, надзор и денежная политика). У биткоина ответ другой, и из-за него весь спор. Запись ведут все участники сразу, и верить приходится условиям, на которых держится система. Криптовалюта — это попытка сделать тетрадку, которой не нужен хозяин.

Этот вопрос удобно разложить на несколько поменьше, и я советую задавать их себе всякий раз, когда вы читаете о новой монете, платёжной системе или «цифровых деньгах» какого-нибудь банка:

Кто ведёт запись?

Кто может дописать в неё новые строчки, и что его ограничивает?

Кто может стереть или заморозить чужую строчку?

Кто может остановить всю систему одним решением?

Кто выдаёт строчки в долг, и что будет, когда долги начнут вычёркивать?

Для денег на банковском счёте ответы уже есть в этой главе, хотя вы их, скорее всего, никогда не проговаривали. Запись ведёт ваш банк, а над ним центральный банк. Новые строчки пишут банки, выдавая кредиты, и держат их прибыльность, надзор и ставка центрального банка¹⁸⁶. Стереть, заморозить или остановить может тот, кто ведёт тетрадку, а над ним государство, которое, как показала история e-gold, способно одним делом перестроить работу хранителя¹⁸⁷. Строчки в долг выдают те же банки, и когда долги вычёркивают, вместе с ними исчезают деньги¹⁸⁸. Для биткоина ответы другие, и дальше я постараюсь разобрать механизм так, чтобы вы могли дать их сами, не веря ни сторонникам, ни противникам. Пятый вопрос для этой книги самый важный, и возвращаться к нему я буду чаще, чем к остальным.

Прежде чем судить, стоит увидеть, как эта тетрадка устроена изнутри. В следующей главе мы разберём, почему её нельзя тайно переписать задним числом, что лежит в криптовалютном кошельке и что происходит, когда человек теряет свой ключ.

Глава 2. Реестр без хозяина: как работает блокчейн

Тетрадку без хранителя может прочитать каждый, а тайно переписать не может никто. Если эту фразу разобрать по частям, из неё получится почти всё устройство блокчейна, и в этой главе я хочу собрать его так, чтобы вы могли пересказать его другу без формул и без веры на слово.

В конце первой главы посёлок получил пятое правило: копия тетрадки лежит у каждого двора, каждая новая запись объявляется всем, и есть способ, которым дворы приходят к одной версии. Правило звучит просто, но работать оно начнёт, только когда найдутся ответы на несколько неудобных вопросов. Если копий сто, что мешает пекарю тихо исправить у себя строчку трёхмесячной давности и уверять соседей, что так и было записано? Хранитель знал пекаря в лицо и не принял бы строчку, написанную от его имени чужой рукой, но кто проверяет это теперь? И где лежит богатство пекаря, если у него нет ни счёта, ни хранителя, который этот счёт ведёт?

Из ответов на эти вопросы и складывается блокчейн. Это общая тетрадь, которую нельзя тайно переписать задним числом, а владеть строчкой в ней значит владеть ключом. Из второй половины определения следуют два свойства, которые многих удивляют. Такая тетрадка прозрачна, и анонимности в ней гораздо меньше, чем принято думать. А если ключ потерян, строчку не вернёт никто, потому что возвращать её некому. Детали я везде беру из биткоина, потому что он первый и лучше всего описан, хотя другие блокчейны во многом устроены иначе.

Отпечаток страницы

Представим, что у посёлка есть машинка. В неё кладут любую страницу тетрадки, а она выдаёт короткую строку из цифр и букв, всегда одной и той же длины. Назовём эту строку отпечатком страницы. От машинки нам нужно, чтобы 1) одна и та же страница всегда давала один и тот же отпечаток и любой двор мог проверить это сам; 2) по отпечатку нельзя было восстановить страницу или подобрать страницу под заранее заданный отпечаток иначе как перебором; 3) нельзя было найти две разные страницы с одинаковым отпечатком.

Такая машинка существует. Она называется криптографической хеш-функцией, а её результат — хешем. Наши требования совпадают с теми свойствами, которые справочник «Mastering Bitcoin» называет у неё главными: детерминированность, практическая необратимость и стойкость к коллизиям, то есть к совпадениям отпечатков¹⁸⁹.¹⁹⁰

Первое свойство позволяет любому двору проверить чужой отпечаток, ни у кого не спрашивая разрешения. Второе превращает поиск отпечатка нужного вида в лотерею, где выигрывают только числом попыток, и из этой лотереи чуть позже получится цена за новую страницу. Третье не даёт подменить страницу другой с тем же отпечатком¹⁹¹, а будь подмена возможна, отпечаток ничего бы не удостоверял. (Строго говоря, совпадения существуют, ведь страниц бесконечно много, а отпечатков конечное число. Но найти хотя бы одно такое совпадение вычислительно невозможно, и этого достаточно¹⁹².)

Биткоин использует функцию SHA-256. Её результат всегда имеет длину 256 бит, то есть 256 двоичных знаков, нулей и единиц, какой бы длины ни был вход, хоть одна буква, хоть целая книга¹⁹³. На экране это 64 знака шестнадцатеричной записи, где кроме цифр от 0 до 9 используются буквы от a до f¹⁹⁴.

Я пропустил через SHA-256 две строчки из нашего посёлка, которые отличаются одной цифрой:

«плотник должен пекарю 10» → 31f1c80ad71f0a47203c0ad31e883c64ae23440b0ee955fb159e3e9982109898

«плотник должен пекарю 11» → e0767f7e15e87062018598fbfc7bb8072327a49b17b995bfdc2ba9c632bb0a5e

Отпечатки не похожи друг на друга ни в одном месте, хотя строчки почти одинаковы. Любое изменение входа, даже одна буква или знак препинания, даёт другой хеш¹⁹⁵.¹⁹⁶ Насколько изменилась страница, по отпечатку понять нельзя, зато любая правка видна сразу.

Ради этого хеш-функции и придуманы. Американский стандарт, в котором описана SHA-256, прямо называет их назначение — обнаруживать, не изменилось ли сообщение с того момента, как для него посчитали отпечаток¹⁹⁷.¹⁹⁸ Стандарт выпустил Национальный институт стандартов и технологий США в августе 2002 года¹⁹⁹, и эта дата полезна против распространённого мифа, будто Накамото изобрёл всю криптографию биткоина. Хеш-функцию он взял из готового правительственного стандарта шестилетней давности²⁰⁰. Сцеплять отпечатки в цепочку до него предлагали исследователи Хабер и Сторнетта, на чьи работы он сам ссылается²⁰¹, а дерево отпечатков, о котором речь пойдёт ниже, описал Ральф Меркл ещё в конце 1970-х²⁰². Сам Накамото соединил эти готовые детали в одну конструкцию, её мы и будем собирать.

С хешем связан и второй миф, будто блокчейн «зашифрован». Хеш — не шифр. Расшифровывать в нём нечего, страница из отпечатка не восстанавливается вовсе²⁰³. Сами записи в тетрадке биткоина тоже никто не шифрует. Они подписаны и лежат открыто, и к последствиям этого мы придём, когда будем говорить о следах²⁰⁴.

Проверить отпечаток легко (положил страницу, получил строку, сравнил). Подобрать страницу под нужный отпечаток трудно, потому что остаётся только перебирать варианты²⁰⁵. В «Mastering Bitcoin» есть учебный пример. К фразе «Hello, World!» дописывают число и перебирают его, пока хеш не начнётся с нуля, и подходит число 32²⁰⁶. Каждый знак отпечатка может быть любым из 16 символов, поэтому отпечаток с одним нулём в начале выпадает в среднем раз на 16 попыток, с двумя нулями — раз на 256, с тремя — раз на 4096 (это чистая арифметика вероятностей). Каждый новый ноль удлиняет перебор ещё в 16 раз, а проверку оставляет такой же мгновенной, и на этой разнице будет держаться цена, которую мы вскоре назначим каждой новой странице.

Страницы, сшитые отпечатками

Вернёмся к пекарю, который хочет тихо поправить старую строчку в своей копии. Добавим в посёлок шестое правило: записи собирают в страницы, и в начале каждой новой страницы пишут отпечаток предыдущей.

Пекарь исправляет строчку на странице 100. Отпечаток страницы 100 от этого меняется, а старый отпечаток записан в начале страницы 101 и больше с ней не сходится. Если пекарь перепишет и начало страницы 101, изменится уже её отпечаток, записанный на странице 102, и так до последней страницы. Любая правка задним числом тянет за собой всю тетрадку до конца. Соседям при этом не нужно перечитывать все страницы, чтобы заметить подлог, им достаточно сравнить отпечаток последней страницы у себя и у пекаря.

Такой двор, со своей копией и привычкой проверять каждую новую страницу, в сети биткоина называется узлом. Узел — это компьютер, на котором лежит полная копия тетрадки и работает программа, проверяющая всё, что в неё добавляют.

Накамото описал цепочку отпечатков в третьем разделе статьи 2008 года и описал её языком меток времени (так называют запись, которая удостоверяет, что документ существовал к определённому моменту). Каждая метка, пишет он, включает в свой хеш предыдущую, так образуется цепочка, и каждая новая метка укрепляет все, что были до неё²⁰⁷.²⁰⁸ Там же он предлагает широко публиковать хеш, например в газете²⁰⁹. Отпечаток, напечатанный в газете, уже нельзя тихо подменить, а вместе с ним нельзя подменить и страницу, которой он принадлежит.

Цепочка отпечатков доказывает порядок. Страница 101 не могла появиться раньше страницы 100, потому что несёт её отпечаток, а значит, страница 100 существовала к тому моменту, когда писали 101-ю. С другого конца цепочку закрывает первый блок биткоина. В нём, как мы видели в первой главе, записан заголовок The Times от 3 января 2009 года, и поэтому блок не мог появиться раньше этой даты²¹⁰. Каждый следующий блок доказывает, что все предыдущие уже были, и между двумя концами лежит вся история тетрадки, в которой страницы нельзя переставить.

Страницы биткоина, как мы договорились в первой главе, называются блоками, а тетрадь из сшитых отпечатками блоков — цепочкой блоков, по-английски блокчейном. Собирает очередной блок и предлагает его сети майнер (так называют участника, который тратит на это вычислительную работу; в чём она состоит, покажет седьмое правило). У каждого блока есть заголовок, и он совсем маленький, 80 байт и шесть полей²¹¹:

версия правил;

хеш заголовка предыдущего блока, то есть отпечаток прошлой страницы;

корень дерева Меркла, общий отпечаток всех записей этой страницы (о нём чуть ниже);

время, которое указал сам майнер; узлы сверяют его только грубо, с допуском примерно в пару часов²¹²;

закодированная цель сложности, то есть порог, под который должен попасть отпечаток страницы;

число nonce, которое майнеры перебирают.

Второе поле и есть шов между страницами. (Хеш заголовка в биткоине считают дважды, SHA-256 от результата SHA-256²¹³, но механизма это не меняет.)

Четвёртое поле вызывает законный вопрос. Цепочку только что называли цепочкой меток времени, а время в заголовке ставит сам майнер и может ошибиться или слукавить. В первой главе мы видели, почему нельзя опираться на чужую отметку времени. Здесь опираться на неё и не приходится, потому что порядок страниц доказывают отпечатки. Страница, которая несёт отпечаток предыдущей, написана после неё, что бы ни стояло в поле времени. От поля времени требуется только не уходить далеко от настоящего, и на это хватает грубой сверки, которую делает каждый узел²¹⁴.

Самих записей в заголовке нет, там только один отпечаток на все сразу, и получают его хитрее, чем простым хешем страницы. Записи (в биткоине их называют транзакциями) разбивают на пары, каждую пару хешируют, получившиеся хеши снова разбивают на пары и снова хешируют, пока не останется один²¹⁵.²¹⁶ Получается перевёрнутое дерево, у которого внизу листья-транзакции, наверху один корень, и в заголовок попадает только корень²¹⁷.

Рисунок 2.1. Дерево Меркла

Зачем такие сложности? Дерево позволяет доказать, что конкретная транзакция лежит в конкретном блоке, не показывая весь блок, потому что для этого хватает ветки хешей от её листа до корня. Каждый уровень дерева вдвое уже предыдущего, и в блоке из нескольких тысяч транзакций такая ветка состоит примерно из дюжины отпечатков (это прямо следует из того, как строится дерево²¹⁸). Накамото извлёк из этого две выгоды. Старые, уже потраченные транзакции можно выбрасывать с диска, не ломая хеш блока²¹⁹. А пользователь, которому не нужна вся тетрадка, может хранить одни заголовки. К таким «лёгким» проверяющим мы вернёмся, когда дойдём до кошелька.

Отпечаток каждого блока зависит от корня дерева, корень зависит от каждой транзакции внутри, а заголовок следующего блока хранит отпечаток предыдущего²²⁰. Поменяйте одну цифру в одной транзакции тысячу блоков назад, и по цепи изменятся лист, ветка, корень, заголовок, отпечаток блока, заголовок следующего блока и так далее до сегодняшнего дня.

Рисунок 2.2. Цепочка из трёх блоков

У этой защиты есть слабое место. Хешировать дёшево. Если пекарь готов переписать все страницы от сотой до последней, его домашний компьютер пересчитает отпечатки за секунды, и получится новая тетрадка, внутри себя совершенно согласованная. Отпечатки защищают от незаметной правки одной страницы, но того, кто переделал всю тетрадку заново, они не остановят.

Недостающая деталь знакома по первой главе. Это «цена за запись» из Hashcash Адама Бэка, на который Накамото прямо ссылается²²¹. Добавим седьмое правило: страницу принимают, только если её отпечаток начинается с заданного числа нулей. Отпечаток нельзя подогнать иначе как перебором²²², поэтому майнер меняет в заголовке число nonce и хеширует заголовок снова и снова, пока не выпадет отпечаток с нужным числом нулей²²³. (Точная формулировка правила — хеш, прочитанный как число, должен быть не больше порога из поля цели сложности, но «начинается с нулей» — слова самого Накамото²²⁴.) Эта работа и называется доказательством работы, а перебор ради неё — майнингом.

За труд майнер получает плату и записывает её себе сам. Первой в каждом блоке идёт его особая транзакция²²⁵, которая выдаёт ему награду за блок и все комиссии из транзакций блока²²⁶. Размер награды задают правила, и каждый узел его проверяет. В первые годы награда составляла 50 BTC²²⁷, а каждые 210 000 блоков она уменьшается вдвое²²⁸. Других путей для новых монет в тетрадке правила не оставляют. (Расходы майнеров и урезание награды оставим до следующей главы.)

На каждую страницу теперь потрачен труд, и проверить это любой может одним расчётом. Отсюда Накамото вывел главное следствие. Когда на блок затрачена работа, пишет он, его нельзя изменить, не переделав её, а поскольку после него в цепочку добавлены новые блоки, придётся переделать и все последующие²²⁹.²³⁰ Пересчитать отпечатки пекарю теперь мало. Ему нужно заново выполнить всю работу от сотой страницы до последней и успеть это быстрее, чем весь остальной посёлок добавляет новые страницы в честную тетрадку.

Чем глубже страница лежит в тетрадке, тем больше работы накоплено над ней и тем дороже её подделать. В разделе 11 статьи Накамото посчитал, что шанс отстающего атакующего догнать честную цепочку падает экспоненциально с числом блоков, которые ему нужно наверстать²³¹. Для того, кто получает платёж, это значит, что свежая запись, над которой ещё нет ни одной страницы, защищена хуже всего, а запись, над которой выросли десятки страниц, почти так же прочна, как вся тетрадка под ней.

Хеш самого первого блока биткоина, от 3 января 2009 года, начинается с 10 нулей. Хеш блока номер 968 721, найденного 26 сентября 2026 года, начинается с 20 нулей²³².²³³ Проверить это может любой, кто откроет обозреватель блоков, то есть сайт, который показывает тетрадку биткоина в читаемом виде. Нули показывают, что перебор подорожал, но меряют рост грубо. Для первой страницы правило требовало восьми нулей, и десять ей выпали случайно, а сегодня правило требует почти двадцати. Точную меру даёт показатель сложности, который вычисляется из цели сложности в заголовке. У первого блока он равен единице, у блока 968 721 — около 133 трлн²³⁴.²³⁵ Во столько же раз больше попыток в среднем нужно теперь на одну страницу и во столько же раз дороже её подделать.

Время на страницу задаёт само правило. Целевой интервал между блоками биткоина — 10 минут, и каждые 2016 блоков, то есть примерно раз в две недели, все узлы пересчитывают сложность, чтобы удержать этот темп²³⁶. Отдельные страницы приходят то через несколько секунд после предыдущей, то через полчаса, и десять минут получаются только в среднем²³⁷.²³⁸ Размер страницы тоже ограничен правилами²³⁹, и на момент работы над книгой страницы заполнялись почти до края. Примерно раз в десять минут в тетрадку вшивают страницу около полутора мегабайт и нескольких тысяч строчек²⁴⁰.²⁴¹

Дворов в посёлке сто, все их знают наперечёт, и любой может обойти соседей и пересчитать. Точного числа узлов биткоина не знает никто. Независимые счётчики видят только узлы, которые принимают входящие соединения (в конце сентября 2026 года их насчитали около 25 тысяч²⁴²), а на деле узлов больше, и надёжной оценки, насколько больше, у меня нет.²⁴³ Разрешения стать узлом тоже никто не выдаёт. Поэтому правило, по которому участники приходят к одной версии тетрадки, не может опираться на подсчёт голосов по головам, ведь тот, кто считает головы, должен знать, сколько их. Накамото обошёл эту трудность другим способом, и к нему мы придём дальше.

По статье Накамото, сеть работает так: новые транзакции рассылаются всем узлам; майнеры собирают их в блок и ищут для него доказательство работы; найденный блок рассылается всем; узел принимает блок, только если все транзакции в нём действительны и не потрачены раньше, и выражает согласие тем, что начинает собирать следующий блок поверх отпечатка принятого²⁴⁴.²⁴⁵

Узлы не голосуют, каждый проверяет сам.

Блок с приписанными из воздуха монетами честный узел отбросит, сколько бы работы на него ни потратили, потому что сверяет с правилами каждую транзакцию в нём²⁴⁶. Этими же проверками ловится двойная трата, из-за которой в первой главе понадобился хранитель. Если строчка пекаря для доярки уже вшита в тетрадку, попытка отдать то же право лесорубу не пройдёт ни у одного честного узла²⁴⁷. Открытыми остаются вопросы о правиле согласия: что делать, если две честные страницы найдены почти одновременно и узлы разошлись в том, какая была первой, и можно ли переписать тетрадку, собрав больше половины всей вычислительной мощности сети.

Кто вправе потратить строчку

Половина устройства собрана. Страницы сшиты отпечатками, каждая новая страница стоит работы, и каждый узел сам проверяет каждую запись. Вместе это и делает тайную правку задним числом практически невозможной²⁴⁸.

Отпечатки защищают тетрадку от переписывания, но ничего не говорят о том, кому принадлежит строчка. В посёлке с хранителем это решал хранитель. Пекарь приходил сам, и хранитель узнавал его в лицо. В тетрадке без хранителя лица нет. Есть только числа.

Эти числа называются ключами, и их всегда два. Закрытый ключ биткоина — это случайно выбранное число от нуля до величины чуть меньше 2²⁵⁶, примерно 1,16 × 10⁷⁷²⁴⁹. Авторы «Mastering Bitcoin» для сравнения приводят оценку, по которой в видимой Вселенной около 10⁸⁰ атомов²⁵⁰.²⁵¹ Угадать чужое число в таком пространстве невозможно, если оно выбрано действительно случайно. Слабые генераторы случайных чисел и ключи, придуманные «из головы», — отдельная история, и до неё мы дойдём, когда будем говорить о безопасности²⁵².

Из закрытого ключа по особой формуле вычисляется публичный, и вычисление это работает в одну сторону. Из закрытого ключа публичный получить можно, из публичного закрытый нельзя²⁵³. «Нельзя» здесь означает, что современным компьютерам на это не хватит никакого разумного времени²⁵⁴. (Угроза от квантовых компьютеров — отдельный спор, к нему я вернусь в последней главе.)

Подпись мы разобрали в первой главе. Подписывает владелец закрытого ключа, а проверить подпись может любой, не зная самого ключа. Для тетрадки без хранителя в ней важнее всего две черты. Цифровая подпись своя для каждой записи, потому что подписывают отпечаток самой записи²⁵⁵. Подпись под строчкой «10 доярке» не подойдёт к строчке «100 доярке», и перенести её под другую запись нельзя²⁵⁶ (подпись на бумаге одна на все документы, и умелый человек её перерисует). А проверяют её публичным ключом, в котором нет ничьего имени. Каждый может проверить каждую подпись в каждой транзакции, а создать действительную подпись может только владелец закрытого ключа²⁵⁷.²⁵⁸²⁵⁹

В первой главе я сказал, что строчка в биткоине принадлежит владельцу ключа. Теперь это можно уточнить. Монета у Накамото — та самая цепочка подписей из первой главы: каждый владелец передаёт её следующему, подписывая перевод на публичный ключ нового владельца²⁶⁰. Поэтому строчка в тетрадке биткоина говорит примерно следующее: «10 единиц может потратить тот, кто предъявит подпись, которую проверяет вот этот публичный ключ». Имени в строчке нет. Пекарь в такой тетрадке — просто тот, у кого есть закрытый ключ, и никто, включая сеть, не проверяет, пекарь ли он.

Украсть строчку в такой тетрадке значит скопировать чужой ключ. Кошелёк в кармане пропадает, и вы это замечаете. Скопированный ключ остаётся и у вас, и о краже вы узнаете только тогда, когда вор подпишет перевод, а его подпись сеть примет так же, как вашу, потому что проверяет она только подпись²⁶¹. Отменить такой перевод некому, как некому было бы отменить и ваш собственный.

Публичный ключ в тетрадку обычно тоже не пишут целиком. Туда пишут адрес, короткий отпечаток публичного ключа. «Старые» адреса начинаются с единицы и получаются двойным хешированием ключа с особой кодировкой, а современные начинаются с «bc1»²⁶². Адрес можно спокойно раздавать, как номер для переводов, потому что отпечаток обратно не разворачивается и ключа по нему не узнать²⁶³.

Подпись доказывает, кто распорядился строчкой, но ничего не прячет. Транзакцию подписывают и рассылают всем узлам в открытом виде²⁶⁴, и из этой простой детали вырастает всё, что будет сказано ниже о следах.

Что лежит в кошельке

Если строчки тетрадки принадлежат ключам, то что такое криптовалютный кошелёк? Ответ в «Mastering Bitcoin» короткий. То, что многие называют кошельком биткоина, содержит только ключи, а сами монеты записаны в блокчейне²⁶⁵.²⁶⁶ Приложение в телефоне — это связка ключей и программа, которая читает тетрадку, находит в ней строчки, которые эти ключи могут потратить, и подписывает новые.

Откуда такая программа знает, что платёж настоящий? Полный узел, то есть узел со всей тетрадкой, проверяет всё сам, но держать всю тетрадку в телефоне неудобно, и Накамото предусмотрел упрощённую проверку. Пользователь хранит только заголовки самой длинной цепочки и получает ветку дерева Меркла, которая связывает его транзакцию с блоком²⁶⁷. Заголовки весят мало. При блоке раз в десять минут их цепочка, по расчёту Накамото, растёт на 4,2 МБ в год, и это помещалось даже в оперативную память компьютера 2008 года²⁶⁸. Такая проверка, писал Накамото, надёжна, пока сеть контролируют честные узлы, и уязвимее, если сеть захватил атакующий²⁶⁹.²⁷⁰ А предприятия, которые часто принимают платежи, по его словам, скорее всего, всё же захотят держать собственные узлы²⁷¹.

Выходит, что владелец лёгкого кошелька снова кому-то доверяет. Хранителя у него нет, зато верить приходится честному большинству узлов и программе, которую он поставил себе в телефон. Из всех способов проверить платёж этот я бы не назвал самым надёжным.

Ещё дальше от тетрадки стоит тот, кто держит монеты на бирже. Ключ в этом случае у биржи, и в тетрадке монеты записаны за её ключами²⁷². У клиента остаётся обещание биржи выдать их по первому требованию, то есть строчка в её собственной тетрадке. Биржа в этом случае — держатель чужих ключей, посредник того самого рода, от которого биткоин задумывали избавить, и дальше в книге мы увидим, как такие посредники подводили своих клиентов.

Ключей в кошельке много, и хранить каждый по отдельности неудобно. Поэтому в 2013 году появился стандарт BIP-39 (BIP — так в сообществе биткоина нумеруют предложения по улучшению). Одно случайное число, из которого выводятся все ключи кошелька, записывается последовательностью слов из словаря в 2048 слов: 12 слов для 128 бит случайности и 24 слова для 256 бит²⁷³. Эти 12–24 слова кошелёк показывает при создании²⁷⁴. Вывод отсюда жёсткий. Фраза из слов — это всё, чем вы владеете в этой тетрадке. Кто её знает, тот и владеет, а кто потерял её и не сохранил копии, тот больше не владеет ничем.

Рисунок 2.3. Что лежит в кошельке

С остатком на счёте всё устроено ещё непривычнее. В банковской выписке есть строка «остаток», и хочется думать, что в тетрадке биткоина против адреса тоже написано «1 BTC». Там такой записи нет. Счетов и хранимых остатков в биткоине нет вообще. Каждая транзакция создаёт выходы, то есть строчки с суммой и условием, каким ключом её можно потратить. Каждый полный узел держит перечень непотраченных выходов (по-английски UTXO), а остаток, который показывает приложение, программа вычисляет сама, складывая выходы, которые могут потратить её ключи²⁷⁵.

В тетрадке посёлка это значит, что строки «у пекаря 16» в ней нет. Есть отдельные строчки, и в каждой написано, сколько единиц и какой ключ может их потратить (здесь 10, там 6), и обе можно потратить ключом пекаря. Когда строчку тратят, её вычёркивают целиком и пишут новые. Такое устройство упрощает главную проверку. Чтобы поймать двойную трату, узлу не нужно пересчитывать ничей остаток, достаточно посмотреть, есть ли выход, на который ссылается транзакция, в перечне непотраченных²⁷⁶.

Выход проще всего представить как купюру определённого номинала, которая тратится только целиком²⁷⁷. Допустим, у вас есть один выход на 1 BTC, а заплатить нужно 0,3 BTC (числа условные и круглые). Ваша транзакция сошлётся на этот выход (такую ссылку называют входом), израсходует его весь и создаст два новых: 0,3 BTC получателю и сдачу вам. Накамото описал это в разделе 9 статьи. Обычно, по его словам, у транзакции либо один крупный вход, либо несколько мелких, а выходов не больше двух, платёж и сдача²⁷⁸.

Где же комиссия майнеру? Отдельной строкой она нигде не записана. Это разница между суммой входов и суммой выходов транзакции²⁷⁹. Если в нашем примере вы создадите выходы на 0,3 BTC и 0,6999 BTC, майнер получит 0,0001 BTC. А если забудете про сдачу и создадите только выход на 0,3 BTC, остальные 0,7 BTC тоже достанутся майнеру, и спросить их будет не с кого²⁸⁰. Такую арифметику делает за вас программа кошелька, но знать механизм полезно, потому что в тетрадке без хранителя ошибку в расчёте исполнят так же точно, как правильный расчёт.

Платить комиссию заставляет теснота. Страница ограничена по размеру и заполняется почти до края²⁸¹, а майнер получает комиссии со всех строчек, которые включил в свою страницу²⁸². Когда желающих больше, чем мест, ему выгоднее взять строчки, за которые оставили больше, и строчка без комиссии рискует ждать своей очереди долго.

Считает программа в целых числах самой мелкой единицы. В одном биткоине 100 млн сатоши, и меньше одного сатоши в транзакции записать нельзя²⁸³. Эта деталь пригодится нам в последнем разделе.

В Ethereum, для сравнения, есть аккаунты с остатком, похожие на счета, и одними управляет закрытый ключ, другими — программный код²⁸⁴. К ним мы придём в главе 4.

Проследим один платёж от начала до конца. Допустим, вы платите знакомому 0,3 BTC с того самого выхода в 1 BTC (пример условный).

Программа кошелька находит в тетрадке выход, который может потратить ваш ключ, и составляет транзакцию: вход ссылается на этот выход, один новый выход на 0,3 BTC ведёт на адрес знакомого, другой, со сдачей, на ваш свежий адрес, а разница между входом и выходами остаётся майнеру²⁸⁵.

Программа подписывает транзакцию вашим закрытым ключом. Ключ из телефона никуда не уходит, уходит только подпись²⁸⁶.

Транзакция рассылается всем узлам, и каждый проверяет, что подпись действительна, а выход, на который она ссылается, ещё не потрачен²⁸⁷.

Майнер включает транзакцию в свой будущий блок. Она становится листом дерева Меркла, её хеш входит в корень, корень — в заголовок²⁸⁸.

Майнер перебирает nonce, пока отпечаток заголовка не окажется ниже порога, и рассылает найденный блок²⁸⁹.

Узлы проверяют блок целиком и начинают строить следующий поверх его отпечатка. Ваш выход в 1 BTC исчезает из их перечня непотраченных, а два новых в нём появляются²⁹⁰.

С каждым следующим блоком переписать вашу транзакцию становится дороже²⁹¹.

Ни на одном шаге не участвует никто, кто знал бы ваше имя, и ни на одном шаге биткоины не «переезжают» из одного кошелька в другой. Меняется только перечень выходов в тетрадке, и в нём появляется строчка, которую может потратить ключ вашего знакомого.

Сборку полезно проверить на прочность тем же способом, каким мы собирали посёлок, только в обратную сторону: убирать по одной детали и смотреть, что сломается.

Без отпечатков в заголовках страницы ничем не связаны, и любой двор может тихо поправить свою копию, а спор о том, чья копия верна, решать будет нечем.

Без доказательства работы отпечатки остаются, но пересчитать их после правки стоит секунды, и переписанная тетрадка выглядит не хуже честной.

Без проверки каждым узлом майнер мог бы вшить в страницу строчку, которой не было, или потратить чужой выход, и остальным пришлось бы ему верить. Он стал бы хранителем.

Без подписей любой мог бы составить строчку, которая отдаёт чужие монеты ему, и узнать, кто её написал, было бы нечем.

Каждая деталь закрывает свою дыру, и ни одна не закрывает чужую. Поэтому вопрос «надёжен ли блокчейн» я советую всякий раз уточнять вопросом, о какой детали речь и против чего она защищает.

Всё на виду, кроме имён

Анонимен ли биткоин? В первой главе я обещал вернуться к строчке из анонса Накамото, где говорилось, что участники могут быть анонимны.

Статья осторожнее анонса. В разделе о приватности Накамото строит её на том, что публичные ключи не связаны с личностями. Все транзакции объявляются открыто, и посторонние видят, что кто-то отправил сумму кому-то, но не видят, кто и кому²⁹².²⁹³ Он сравнивает это с лентой фондовой биржи, где время и объём сделок публичны, а стороны нет²⁹⁴.

Открытость здесь заложена в саму конструкцию, и причина нам знакома по первой главе. Там Накамото объяснял, что убедиться в отсутствии двойной траты можно, только зная обо всех транзакциях, и поэтому транзакции нужно объявлять публично²⁹⁵. Хранитель знает всё, а посторонние не знают ничего, и тайна вкладов держится на том, что тетрадку видит только он. Если хранителя убрать, тетрадку должны видеть все, иначе двойную трату ловить некому. Прятать записи стало нельзя, и приватность пришлось перенести с записей на имена.

Там же Накамото называет и слабые места. Он советует заводить новую пару ключей для каждой транзакции и признаёт, что транзакции с несколькими входами всё равно раскрывают общего владельца, а если раскрыт владелец одного ключа, по связям можно раскрыть и другие его транзакции²⁹⁶. Так что миф об анонимности биткоина держится скорее на строчке из анонса, чем на самой статье.

Допустим, вы выложили в сеть один адрес для пожертвований и годами получаете на него деньги. Любой, кто откроет этот адрес, увидит каждый платёж, его сумму и время, сложит их и узнает, сколько вы получили, а заодно увидит, куда вы эти деньги потом отправляли²⁹⁷. Новый адрес для каждого платежа делает такую картину труднее для чтения, но, как признавал сам Накамото, связать адреса одного владельца всё равно можно²⁹⁸.

Точное слово для того, что описал Накамото, — псевдонимность: имени в тетрадке нет, но каждый шаг каждого псевдонима записан навсегда и виден всем.

Посёлок показывает, как псевдоним превращается в имя. Допустим, в тетрадке вместо имён стоят номера, и пекарь для каждой строчки берёт новый номер. Однажды ему нужно заплатить 10, а на одном его номере 6 и на другом 4. Он подписывает платёж сразу двумя номерами, и с этой минуты весь посёлок знает, что оба номера принадлежат одному человеку. Сдачу он получает на свежий номер, но соседи могут догадаться, какой из новых номеров — сдача, и приписать пекарю и его, ведь сдача возвращается тому, кто платил. А если однажды он купил молоко у доярки, которая знает его в лицо, то имя получает весь связанный клубок номеров сразу.

В 2013 году группа исследователей, в основном из Калифорнийского университета в Сан-Диего, проделала это на настоящей тетрадке²⁹⁹.³⁰⁰ Они взяли все транзакции биткоина к апрелю 2013 года и применили к ним два правила из нашего посёлка: правило общих входов («ключи, подписавшие одну транзакцию, принадлежат одному владельцу») и правило адреса сдачи. Такое склеивание адресов в группы называют кластеризацией, и в этой работе она свела около 12 млн публичных ключей к 3,4 млн групп³⁰¹.

Дальше группам нужно было дать имена, и исследователи просто стали покупать. Они платили биржам, онлайн-кошелькам, магазинам и игорным сайтам, заказывали в том числе кофе, серебряные монеты и кепку, и каждая покупка помечала адрес продавца³⁰². Кластеризация разнесла эти метки по группам, и в итоге авторы назвали владельцев групп, в которых было больше 1,8 млн адресов³⁰³.

Авторы не скрывают, что метод небезупречен. Правило общих входов следует из самого устройства транзакций и почти не ошибается. Правило сдачи опирается на привычки программ-кошельков: его первая версия дала 13% ложных срабатываний, а после доработки всё равно слепила ложную «сверхгруппу» из 1,6 млн ключей, так что правило пришлось уточнять ещё раз³⁰⁴. Главный вывод статьи от этого не меняется. Деньги в биткоине сходятся к крупным сервисам, прежде всего к биржам, и ведомство, которое может затребовать у этих сервисов данные клиентов, сумеет выяснить, кто кому платит; поэтому авторы сочли биткоин непривлекательным для отмывания денег в больших масштабах³⁰⁵.

След остаётся и в самой сети. В 2014 году исследователи показали, что псевдоним можно связать с IP-адресом компьютера, с которого рассылают транзакции, и для этого хватает нескольких машин³⁰⁶.³⁰⁷ Сетевую часть биткоина с тех пор меняли, и я не знаю, работает ли эта атака сегодня³⁰⁸.

Теми же правилами пользуются и коммерческие аналитики, например компания Chainalysis³⁰⁹.³¹⁰ Надёжность их выводов проверял американский суд. Романа Стерлингова обвиняли в том, что он держал биткоин-миксер Bitcoin Fog, сервис, который перемешивает монеты разных клиентов, чтобы запутать след³¹¹. Защита называла программу Chainalysis Reactor «лженаукой» без рецензирования и без известного уровня ошибок. В феврале 2024 года судья Рэндолф Мосс признал, что не все правила программы прошли рецензирование и учёта ошибок компания не ведёт, но счёл программу надёжной и допустил её выводы к присяжным³¹².³¹³

В том же решении судья назвал транзакции биткоина одновременно исключительно анонимными и исключительно публичными и оговорил, что выводы программы можно проверить вручную по открытому блокчейну, с блокнотом, карандашом и несколькими часами работы³¹⁴. Присяжные признали Стерлингова виновным, его приговорили к 12,5 года заключения³¹⁵, а 25 сентября 2026 года апелляционный суд оставил приговор в силе и не нашёл ошибок в том, как районный суд допустил экспертные доказательства³¹⁶.

Решение судьи касается того, можно ли показывать такие доказательства присяжным. Научной проверкой точности метода не было ни оно, ни апелляция, и сторонники Стерлингова после приговора называли его основанным на лженауке³¹⁷. Суды этот спор решили, а вопрос о том, как часто ошибается кластеризация, остаётся открытым.

Два дела показывают, как след доводит следствие до самих денег. В первом 8 мая 2021 года американская компания Colonial Pipeline заплатила группе вымогателей DarkSide выкуп примерно в 75 BTC³¹⁸. 7 июня Министерство юстиции США объявило, что изъяло из них 63,7 BTC. По тексту заявления, следствие изучило публичный реестр биткоина, проследило несколько переводов и установило, что монеты переведены на адрес, закрытый ключ от которого есть у ФБР³¹⁹.³²⁰ Как ФБР получило ключ, не сказано ни в заявлении, ни в документах суда³²¹.

Проследить деньги позволила открытая тетрадка, а забрать их — ключ. Без ключа следствие видело бы монеты на адресе, но сдвинуть их не смогло бы.

Второе дело длиннее. В 2016 году биржу Bitfinex взломали и вывели с неё 119 754 BTC³²². Бо́льшая часть украденных монет почти шесть лет пролежала в кошельке, адреса которого видел весь мир³²³. Каждый, кто открывал эти адреса в обозревателе блоков, мог убедиться, что монеты на месте, и любой их сдвиг был бы виден так же открыто. В феврале 2022 года Министерство юстиции объявило об аресте Ильи Лихтенштейна и Хизер Морган по обвинению в сговоре с целью отмывания этих денег и об изъятии больше 94 000 BTC³²⁴.³²⁵ Изъятие и здесь прошло через ключ, а файлы с ключами следствие нашло в онлайн-аккаунте Лихтенштейна³²⁶. Во взломе его тогда не обвиняли, и признал он его сам в августе 2023 года, когда оба признали вину в сговоре с целью отмывания³²⁷.

По материалам Минюста 2024 года, Лихтенштейн стёр с серверов Bitfinex учётные данные и журналы, которые могли его выдать³²⁸. Журналы на серверах биржи стереть удалось, а строчки в тетрадке биткоина стереть не может никто, в том числе тот, кто их написал.

Биткоин, выходит, псевдонимен. Имени в тетрадке нет, зато каждый платёж каждого псевдонима записан навсегда и доступен любому, и достаточно одной точки, где след касается реального мира (биржи с проверкой личности, покупки с доставкой, IP-адреса), чтобы к псевдониму прикрепилось имя. Если приватность для вас важна, исходить разумнее из того, что каждый ваш платёж будет виден всегда.

Когда ключа больше нет

Обратная сторона той же конструкции видна в деле, которое в январе 2025 года рассмотрел Высокий суд Англии и Уэльса. Джеймс Хауэллс добивался от городского совета Ньюпорта доступа к свалке, куда в 2013 году попал его жёсткий диск. На диске, по словам истца, лежал ключ от 8000 BTC, намайненных им в начале 2009 года. Суд дело прекратил, потому что по британскому закону всё, что доставлено на свалку, становится собственностью совета³²⁹.³³⁰ Попутно суд написал, что биткоины — не материальное имущество и ни на жёстком диске, ни на свалке их быть не может³³¹. Сам того не добиваясь, он дал лучшее определение кошелька, какое я знаю. Монеты лежат в тетрадке, доступной каждому, а на диске под слоем мусора лежит только возможность ими распорядиться.

Если вы забыли пароль от банка, вы идёте в отделение, показываете паспорт, и хранитель восстанавливает вам доступ, потому что он знает вас и ведёт вашу строчку сам. В тетрадке биткоина пойти не к кому. Сеть не знает, кто вы, и признаёт только подпись, а подписать без ключа нельзя³³². На этом же правиле держится и то, что в обычное время вашу строчку никто не может заморозить (исключение появится в последнем разделе).

Пусть ключ потерял пекарь. Его строчки по-прежнему стоят в каждой копии тетрадки, их видят все сто дворов, но воспользоваться ими не может ни один двор, включая самого пекаря. Никому другому строчки тоже не переходят и так и стоят в тетрадке, пока она существует.

Защита от этого в тетрадке без хранителя одна, и это копия ключа, которую вы храните сами. Фраза из 12–24 слов, о которой шла речь выше, восстанавливает все ключи кошелька, если её копия записана и сохранена отдельно от телефона³³³. У Хауэллса такой фразы быть не могло, потому что стандарт появился только в 2013 году³³⁴, через четыре года после того, как он, по его словам, намайнил свои монеты³³⁵. Хранение такой копии и её слабые места я подробно разберу в главе 12.

Точного счёта строчкам, оставшимся без ключа, нет ни у кого. Одну из известных оценок сделала в 2020 году компания Chainalysis. По её подсчёту, около 3,72 млн BTC к тому времени не двигались пять лет и дольше, и компания сочла их, скорее всего, потерянными³³⁶. У этой оценки есть слабое место. Потерянной монету делает отсутствие ключа у владельца, а извне этого не проверить, поэтому на деле считали монеты, которые давно не двигались³³⁷. Часть давно лежащих монет, вероятно, намайнил в самом начале работы сети сам Накамото³³⁸, и никто не знает, лежат они или потеряны. Поэтому, когда вы читаете, что количество биткоинов строго ограничено, помните, что это предел записи в тетрадке, а сдвинуться с места из записанного может заметно меньше.

Ночь, когда тетрадку переписали

До сих пор я описывал тетрадку, которую нельзя тайно переписать. Осталось показать случай, когда её переписали открыто.

15 августа 2010 года, в 19:04 по всемирному времени, пользователь форума биткоина под ником lfm сообщил, что блок 74 638, судя по всему, использовал ошибку в сети: через переполнение целого числа в нём получена отрицательная общая сумма транзакции³³⁹.³⁴⁰ В блоке оказалась транзакция, которая создала 184 467 440 737,095 516 16 BTC на три адреса. Два адреса получили примерно по 92,2 млрд BTC, а майнер, нашедший блок, — лишние 0,01 BTC, которых до этой транзакции не существовало³⁴¹. Всего же биткоинов по правилам выпуска будет чуть меньше 21 млн³⁴².

Причина была в арифметике. Программа, как мы видели, считает в целых сатоши³⁴³, а целое число в компьютере занимает ограниченное число разрядов. Код, проверявший транзакции, не учитывал случая, когда выходы так велики, что при сложении переполняют это число³⁴⁴. Получившаяся сумма ровно равна 2⁶⁴ сатоши, а каждый из двух огромных выходов близок к 2⁶³, то есть к самому большому числу, которое помещается в 64-разрядную ячейку со знаком³⁴⁵. Похоже на механический счётчик пробега, который после последней девятки перескакивает на ноль. Сумма двух гигантских выходов «проворачивалась» в маленькое (по первому сообщению, отрицательное) число и проходила проверку, что выходы не больше входов³⁴⁶.

Дальше события шли быстро, и все они сохранились в архиве форума³⁴⁷. В 20:59 Накамото выложил первые проверки кода. В 21:06 он попросил участников остановиться: будет полезно, если люди перестанут генерировать блоки, потому что, вероятно, придётся заново построить ветку вокруг текущей, и чем меньше они генерируют, тем быстрее это получится³⁴⁸.³⁴⁹ Логика просьбы понятна из той же фразы. Каждый новый блок на ошибочной ветке удлинял её, и исправленной ветке пришлось бы догонять больше. Чем меньше блоков строилось поверх ошибки, тем быстрее её можно было обойти. В 21:40 исправление было в хранилище кода, а в 23:17 вышли готовые сборки версии 0.3.10³⁵⁰. От первого сообщения до исправления прошло около двух часов сорока минут, до готовой программы — около четырёх с четвертью³⁵¹.

Новая версия добавила правило, по которому узлы отвергали транзакции с переполнением, а заодно и транзакции с выходом больше 21 млн BTC³⁵². После этого тетрадка разветвилась. Узлы со старой программой продолжали строить на ошибочной ветке, а узлы с новой отвергали блок с ошибкой и строили другую. Когда исправленная ветка обогнала ошибочную (по вики сообщества, на блоке 74 691, примерно через пятьдесят блоков), её приняли все узлы³⁵³.³⁵⁴ Обычные транзакции из ошибочной ветки вошли в исправленную, и пострадали только те, кто успел намайнить блоки в ошибочной ветке после 74 638, потому что их награды по 50 BTC исчезли³⁵⁵.³⁵⁶

Представим то же самое в посёлке. Однажды утром в тетрадке обнаруживается страница, на которой кто-то приписал себе строчек больше, чем может быть во всём посёлке. Часть дворов уже подшила её и пишет следующие страницы поверх. Вырвать страницу из чужой копии никто не может. Тогда дворы договариваются о новом правиле, по которому такая страница недействительна, и продолжают тетрадку с последней честной страницы. Дворов с новым правилом больше, их версия растёт быстрее, и в какой-то момент отставшие переходят на неё.

Само исправление опиралось на то же правило, которое делает тетрадку трудной для подделки. Исправленная ветка стала настоящей потому, что оказалась длиннее и узлы перешли на неё³⁵⁷. Приказывать им было некому.

Для биткоина уже можно ответить на три из пяти вопросов, которые я в первой главе советовал задавать любым деньгам. Кто ведёт запись? Каждый узел держит полную копию и сам проверяет каждую новую страницу³⁵⁸. Кто может дописать новые строчки? Только майнер, нашедший блок, только себе и только в размере, который задают правила и проверяет каждый узел³⁵⁹. Кто может стереть или заморозить чужую строчку? Никто, у кого нет ключа (а у кого ключ есть, тот и владеет строчкой; изъятия по делам Colonial Pipeline и Bitfinex тоже прошли через ключ³⁶⁰). Исключение одно, и мы его только что видели: большинство сети по общему согласию, как в 2010 году, когда исчезли награды за блоки ошибочной ветки³⁶¹. Четвёртый вопрос, кто может остановить всю систему, упирается в правило согласия, а пятый, о строчках в долг, станет главным во второй части книги.

Ночь 2010 года показывает, где у «неизменяемости» проходит граница. Код биткоина ошибся всерьёз, и одна пропущенная проверка позволила создать из ничего почти в девять тысяч раз больше монет, чем их может существовать вообще³⁶², хотя математика отпечатков и подписей в ту ночь сработала безупречно. Ошибку за несколько часов заметили и исправили люди: участник форума, Накамото и владельцы узлов, которые поставили новую версию³⁶³. А около пятидесяти страниц, уже вшитых в цепочку, заменили другими³⁶⁴. Поэтому в определении, с которого началась глава, и стоит слово «тайно». Тайно и в одиночку переписать тетрадку задним числом практически невозможно, потому что для этого пришлось бы заново выполнить работу, вложенную во все последующие страницы³⁶⁵. Открыто и по согласию большинства участников это возможно, и в 2010 году это было сделано³⁶⁶. Значит, вся защита тетрадки держится на том, кто в такой сети считается большинством и во что обходится его собрать.

Глава 3. Кто ведёт запись: консенсус и его цена

Если вы видите в майнинге только расход электричества, а в споре о нём только спор о климате, то так и не узнаете, за что сеть этим электричеством платит, а платит она за вполне определённую вещь. Тысячи участников, которые не знают друг друга и не обязаны друг другу верить, должны раз за разом соглашаться, какая версия общей тетрадки настоящая, и никто не может утвердить эту версию своей властью. Такое согласие стоит дорого. Платят за него либо электричеством, либо деньгами, запертыми в залоге, в обоих случаях ещё и скоростью, и вся эта плата есть цена отказа от посредника.

Способ, которым участники сети приходят к одной версии записи, называют консенсусом. В первой главе он появился как третья часть пятого правила посёлка: дворы, не доверяющие друг другу, приходят к одной версии тетрадки, даже если кто-то из них жульничает. Вторая глава закончилась вопросом, который из этого правила вытекает. Если две версии тетрадки разошлись, кто решает, какая настоящая, и что мешает тому, кто соберёт больше половины вычислительной мощности сети, навязать свою?

Генералы у вражеского города

Задачу согласия сформулировали задолго до криптовалют, причём в виде притчи. В 1982 году Лесли Лэмпорт и двое его соавторов опубликовали статью «Задача византийских генералов»³⁶⁷. Несколько отрядов византийской армии стоят лагерем у вражеского города, у каждого отряда свой генерал, и сообщаться друг с другом генералы могут только через гонцов³⁶⁸.³⁶⁹ Им нужно принять общий план, а часть генералов может оказаться предателями. Авторы сразу переводят притчу на язык машин: сломанная или злонамеренная деталь системы может рассылать разным её частям противоречивые сведения³⁷⁰.

Перенести притчу в посёлок несложно. Генералы — это дворы с копиями тетрадки, гонцы — сообщения по сети, предатели — дворы, которые жульничают или просто сломались³⁷¹. Пекарь из первой главы, который отправил одну и ту же строчку доярке и лесорубу, и есть такой предатель, потому что рассказывает разным соседям разное.

Главный результат статьи неприятен. Если генералы обмениваются только устными сообщениями, которые можно переврать при пересказе, согласие достижимо тогда и только тогда, когда верны больше двух третей из них. При трёх генералах одного предателя хватает, чтобы два верных так и не договорились³⁷².³⁷³

Допустим, генералов трое: командующий и двое подчинённых. Командующий приказал наступать, а один из подчинённых оказался предателем и передаёт второму, что приказ был отступать. Верный генерал держит в руках два противоречащих сообщения и не знает, кто лжёт, командующий или сосед. Теперь пусть предателем окажется сам командующий и отдаст двоим разные приказы. Верный генерал увидит ровно ту же картину. Два разных мира выглядят для него одинаково, и выбрать между ними ему нечем.

В той же статье есть и утешение. С письменными сообщениями, которые нельзя подделать, задача решается при любом числе генералов и предателей³⁷⁴.³⁷⁵ Такое сообщение нам уже знакомо: это цифровая подпись из второй главы. Предатель может молчать или врать от своего имени, но переврать чужой подписанный приказ он не может.

Можно подумать, что для биткоина задача на этом решена, ведь подписи в нём есть. Но в классической постановке спрятано допущение, которое легко пропустить: генералы известны, число их задано, и каждый знает, от кого пришло письмо³⁷⁶. В открытой сети всё иначе. Полного числа узлов биткоина не знает никто, и разрешения стать узлом никто не выдаёт³⁷⁷. Подпись доказывает, что приказ написан владельцем ключа, но ключей любой может завести сколько угодно. Предателю, которому нужно большинство, достаточно нарисовать себе тысячу генералов.

Для закрытого круга задачу довели до практики к концу девяностых. В 1999 году Мигель Кастро и Барбара Лисков описали алгоритм практической византийской отказоустойчивости (по-английски его сокращают до PBFT)³⁷⁸. Он работает в сетях вроде интернета, где сообщения идут с задержками, и выдерживает сбойных или злонамеренных участников, пока их меньше трети³⁷⁹.³⁸⁰ Защита обошлась почти даром. Сетевая файловая система, которую авторы построили на своём алгоритме, в обычной работе оказалась всего примерно на 3% медленнее стандартной, где никакой защиты от предателей не было³⁸¹.³⁸²

Условие, при котором это работает, авторы записали прямо: все участники знают открытые ключи друг друга³⁸³.³⁸⁴ Получается клуб с закрытым списком членов. Кто в списке, тот голосует, кого в списке нет, того не слушают, и голоса считать легко, потому что известно, сколько их. (К тому же в таком алгоритме каждый обменивается сообщениями с каждым, поэтому он хорош для десятков участников и плохо подходит для тысяч³⁸⁵.)

В закрытом кругу согласие почти бесплатно, дорогим его делает открытость³⁸⁶. Посёлок из ста дворов, где все знают друг друга, мог бы договариваться по правилам Кастро и Лисков. Посёлок, куда может записаться кто угодно под любым числом имён и откуда можно уйти не попрощавшись, так договориться не может.

В посёлке первой главы с хранителями так и было устроено. Хранители известны, над ними стоит главный хранитель, и спор о том, чья запись верна, есть кому решить, поэтому тратить электричество на согласие такому посёлку незачем. Биткоин отказался и от главного хранителя, и от закрытого списка, и всё, что описано дальше в этой главе, так или иначе оказывается платой за этот отказ.

Голос по работе

Накамото решил задачу тем, что поменял, чем голосуют. В четвёртом разделе статьи 2008 года он рассуждает так. Если бы голос давался каждому IP-адресу (сетевому адресу компьютера), то голосов было бы больше у того, кто может завести много адресов. Поэтому голосует вычислительная мощность, и доказательство работы, по его словам, — это «один процессор, один голос»³⁸⁷. Решение большинства — самая длинная цепочка, точнее, цепочка, в которую вложено больше всего работы³⁸⁸.³⁸⁹

Голос теперь нельзя нарисовать. Тысячу ключей можно завести бесплатно, а тысячу машин, которые перебирают отпечатки, нужно купить и кормить электричеством. Голос стоит столько, сколько стоит работа, которую за ним можно предъявить, а проверить эту работу может любой одним расчётом³⁹⁰. (Расхожее выражение «майнеры решают сложные математические задачи» сбивает с толку. Задача в майнинге механическая, она сводится к перебору числа nonce, пока отпечаток не окажется ниже порога³⁹¹. Трудна она только объёмом перебора.)

Мысль платить вычислениями за доступ к общему ресурсу старше биткоина на полтора десятка лет. В 1992 году криптографы Синтия Дворк и Мони Наор предложили заставлять отправителя письма вычислять умеренно трудную функцию, чтобы массовая рассылка спама стала дорогой³⁹².³⁹³ Адам Бэк, чей Hashcash мы встречали в первой главе, пришёл к той же мысли весной 1997 года, не зная об их работе³⁹⁴. В его объявлении есть фраза, в которой уместилось всё доказательство работы: такие вычисления можно сделать сколь угодно дорогими, а проверить мгновенно³⁹⁵.³⁹⁶ Накамото взял эту асимметрию за основу и прямо сослался на Бэка³⁹⁷.

Добавим восьмое правило посёлка: если у дворов оказались две разные версии тетрадки, верной считается та, в которую вложено больше работы³⁹⁸. Каждый двор, увидев более тяжёлую версию, переходит на неё сам, ни у кого не спрашивая.

Со второй главы остался вопрос, что будет, если две страницы найдены почти одновременно. Допустим, страница А дошла до одной половины посёлка раньше, чем страница Б, а до другой половины раньше дошла Б. Обе честные, на обе потрачена правильная работа, и каждый двор начинает писать следующую страницу поверх той, которую увидел первой (так узел и выражает согласие³⁹⁹). Тетрадка ненадолго раздваивается.

Следующая страница найдётся на одной из ветвей раньше, чем на другой, эта ветвь станет тяжелее, и по восьмому правилу на неё перейдут все. Так эту ничью разрешает и Накамото⁴⁰⁰.⁴⁰¹ Перевод, записанный только на проигравшей странице, обычно не пропадает: узлы возвращают его в очередь ожидающих записей, и он дожидается места на одной из следующих страниц выигравшей ветви⁴⁰². Пропадает он, только если на выигравшей ветви уже лежит другой перевод тех же монет. Этим и пользуется атакующий, о котором речь ниже.

Рисунок 3.1. Развилка

Из этого выросла привычка ждать. Свежая страница может оказаться на проигравшей ветви, поэтому получатель крупного платежа ждёт, пока над его записью вырастет несколько страниц. Каждая страница сверху — ещё одна порция работы, которую пришлось бы переделать тому, кто захочет запись отменить⁴⁰³. Сколько страниц ждать, решает сам получатель.

На восьмом правиле держится и главная угроза, атака большинства, которую обычно называют атакой 51%. Безопасность биткоина, по статье Накамото, держится на условии, что честные узлы вместе контролируют больше вычислительной мощности, чем любая группа нападающих⁴⁰⁴. Когда условие нарушено, у нападающего появляется возможность, которой нет у пекаря-одиночки: тайно строить свою ветвь быстрее, чем посёлок строит общую, а потом выложить её. Его ветвь окажется тяжелее, и дворы перейдут на неё сами. Нужно только переделать работу всех страниц над той, которую он хочет изменить, и обогнать честную сеть⁴⁰⁵.⁴⁰⁶

Допустим, в посёлке сто одинаковых машин для перебора, и 30 из них у атакующего. В среднем из каждых десяти новых страниц три найдёт он, а семь найдут все остальные. Если ему нужно отменить перевод, над которым уже лежат шесть страниц, он стартует с отставанием в шесть страниц, и в среднем оно только растёт. Догнать честную ветвь он может лишь за счёт везения, долгой серии удачных попыток подряд, а чем глубже лежит запись, тем длиннее нужна серия. Поэтому шанс отстающего и падает с каждой новой страницей так быстро⁴⁰⁷.

Теперь дадим атакующему 60 машин из ста. Он в среднем быстрее всех остальных вместе, его отставание сокращается, и рано или поздно его ветвь станет тяжелее; глубина записи только оттягивает этот момент. Граница проходит по половине мощности.

(У генералов с устными сообщениями порог был выше: там верных должно быть больше двух третей⁴⁰⁸, а у Накамото честным достаточно контролировать больше мощности, чем любая группа нападающих⁴⁰⁹.)

Что он сможет сделать с такой ветвью?

Меньше, чем принято думать. Каждый узел по-прежнему сам проверяет каждую запись, поэтому монеты из воздуха не пройдут и на ветви атакующего⁴¹⁰. Подписать перевод чужих монет без чужого ключа он тоже не сможет⁴¹¹. Зато он может убрать из истории собственные переводы⁴¹², а заодно не пускать на свои страницы чужие. Первое и есть двойная трата, от которой в первой главе понадобился хранитель.

Почему с биткоином этого не случается каждый день? Накамото ответил экономикой. Тот, кто собрал больше мощности, чем все честные узлы вместе, может либо обманывать людей, отменяя свои платежи, либо получать новые монеты по правилам. Второе, писал Накамото, должно быть ему выгоднее, чем подрывать систему, а вместе с ней ценность собственного богатства⁴¹³.⁴¹⁴ Для большой сети, где атакующему пришлось бы купить и запустить больше машин, чем у всех остальных вместе, расчёт работает. Для маленькой сети, где нужную мощность можно собрать со стороны⁴¹⁵, он может сломаться, и дальше мы увидим, как это выглядело.

Для вас как получателя платежа отсюда следует простое правило. Чем меньше мощности охраняет сеть, тем дешевле переписать её недавнюю историю и тем больше страниц разумно ждать, прежде чем считать крупный платёж окончательным. Сколько именно, одной формулой не скажешь (это зависит и от суммы, и от того, во что обходится мощность сети), но направление у правила одно для всех сетей с доказательством работы: маленькая сеть требует больше терпения, чем большая.

Кто держит темп и кто пишет страницы

Мощность в сети биткоина всё время меняется, потому что машины подключают и выключают, одни майнеры приходят в отрасль, а другие разоряются и уходят. Если бы порог для отпечатка стоял на месте, страницы то сыпались бы каждую минуту, то не выходили бы часами. Поэтому в правила встроен регулятор темпа, который я буду называть термостатом. Каждые 2016 блоков все узлы пересчитывают сложность, чтобы страница выходила в среднем раз в десять минут⁴¹⁶. Если за прошедший период блоки шли быстрее, сложность растёт, если медленнее, падает⁴¹⁷.

Если мощность сети разом удвоится, страницы начнут выходить в среднем раз в пять минут, потому что перебор идёт вдвое быстрее, а порог прежний. Очередные 2016 блоков наберутся не за две недели, а примерно за одну, узлы это увидят и поднимут сложность примерно вдвое⁴¹⁸. Дальше страницы снова пойдут раз в десять минут, только каждая будет стоить вдвое больше перебора.

Поэтому новые майнеры не ускоряют ни ваши переводы, ни выпуск монет: у выпуска своё расписание, и от числа машин оно не зависит. Вся добавленная мощность уходит в одно: подделать тетрадку становится дороже, потому что атакующему приходится перегонять больше работы⁴¹⁹.

Мощность сети измеряют числом попыток перебора, которое все майнеры вместе делают за секунду (эту величину называют хешрейтом). Посчитать её напрямую нельзя, поэтому её выводят из сложности и темпа блоков, и разные сервисы получают немного разные числа⁴²⁰. В конце сентября 2026 года она составляла около миллиарда триллионов попыток в секунду⁴²¹.⁴²²

Однажды термостат проверили в деле, и проверка вышла жёсткой. 21 мая 2021 года комитет Госсовета КНР по финансовой стабильности поставил задачу «пресечь майнинг и торговлю биткоином»⁴²³.⁴²⁴ Майнерам в Китае пришлось выключать машины и переезжать⁴²⁵. 3 июля 2021 года сложность снизилась на 27,9%, и это было самое большое снижение за всю историю сети⁴²⁶.⁴²⁷

Из сети за несколько недель ушло больше четверти мощности. Страницы при этом продолжали выходить, после пересчёта снова примерно раз в десять минут, и никакого решения сверху для этого не понадобилось. К концу июля сложность опять пошла вверх⁴²⁸, а к февралю 2022 года мощность сети достигла нового рекорда⁴²⁹.

Запрет к тому же не выгнал майнинг из Китая целиком. По данным Кембриджского центра альтернативных финансов, летом 2021 года доля Китая в мощности сети упала почти до нуля, но к январю 2022 года вернулась к 21%, второму месту после США; авторы объясняют это заметным подпольным майнингом⁴³⁰.⁴³¹ Государство может запретить майнинг на своей территории и выгнать часть майнеров, а тетрадку остановить ему нечем, потому что работу ушедших термостат перераспределяет между оставшимися. Эту проверку я считаю самой наглядной из всех, что прошла тетрадка без хранителя: правило сработало само, ровно так, как было задумано⁴³².

Расписание выпуска держит и урезание награды за страницу, которое называют халвингом. Примерно раз в четыре года награда уменьшается вдвое, поэтому общее число биткоинов приближается к 21 млн⁴³³. Четыре халвинга уже прошли, и за страницу теперь дают 3,125 BTC вместо первоначальных 50⁴³⁴.⁴³⁵ Уже выпущенных монет халвинг не касается, он сокращает только выпуск новых⁴³⁶.

В первой главе я обещал показать, во что обходится предел выпуска. Награда за страницу служит главной платой майнерам за охрану тетрадки, и по правилам она сжимается к нулю. После этого майнерам останутся только комиссии, которые платят сами пользователи; так было задумано ещё в статье 2008 года⁴³⁷. Сегодня до этого далеко. С осени 2025 года комиссии дают майнерам меньше процента дохода, и, по данным аналитической компании Glassnode, это минимум за десять лет⁴³⁸.⁴³⁹

Бывало и по-другому. 20 апреля 2024 года, в день четвёртого халвинга, заработала новая надстройка для выпуска собственных монет поверх биткоина, и желающих записаться на страницы стало так много, что в отдельных блоках комиссии дали до трёх четвертей дохода майнеров⁴⁴⁰. К началу 2025 года ажиотаж схлынул, и на комиссии снова приходилось чуть больше процента⁴⁴¹. Один день показал, как могла бы выглядеть охрана, оплаченная пользователями, и тут же выяснилось, что такой спрос сам по себе не держится.

Хватит ли комиссий, когда новых монет почти не станет, — открытый вопрос, и у него есть две известные постановки. Группа исследователей из Принстона показала в 2016 году на модели, что сеть, где майнеров кормят одни комиссии, становится неустойчивой: доход от страницы сильно зависит от везения, и майнеру выгоднее переписать чужую «богатую» страницу, чтобы забрать её комиссии себе⁴⁴².⁴⁴³ Экономист Эрик Будиш из Чикагского университета смотрит шире. Чтобы атака не окупалась, постоянные выплаты майнерам должны быть велики по сравнению с разовой выгодой от атаки, поэтому охрана дорожает вместе с ценностью, которую сеть хранит⁴⁴⁴.⁴⁴⁵

Обе работы — модели, а не наблюдения, и до последней монеты больше века⁴⁴⁶, поэтому прогноз в любую сторону я считал бы гаданием. Сам расчёт прозрачен. Предел выпуска защищает держателей от хранителя, который пишет лишние строчки, а оплачивать эту защиту со временем придётся тем, кто пользуется тетрадкой.

В популярном описании биткоина тетрадку ведут тысячи равных участников. Узлов, которые хранят копию и проверяют каждую запись, действительно десятки тысяч⁴⁴⁷. Страницы же пишут майнеры, и среди них картина другая.

В сутки выходит около 144 страниц (по одной в десять минут). Если ваши машины дают одну стотысячную мощности сети, вы в среднем будете находить одну страницу примерно раз в 700 дней. Среднее здесь обманчиво. Страница может выпасть завтра, а может не выпасть и за пять лет, и всё это время счета за электричество придётся оплачивать каждый месяц. Поэтому майнеры объединяются в пулы и складывают мощность.

Крупнейший из них платит участнику за каждую сданную порцию перебора по средней ожидаемой цене, независимо от того, нашёл ли пул в этот день страницу, а риск невезения берёт на себя за комиссию⁴⁴⁸.⁴⁴⁹ Каждый получает свою долю небольшими, зато регулярными порциями. Пул, как правило, служит координатором и машинами участников не владеет (бывают исключения: один из крупных пулов добывает на машинах собственной компании⁴⁵⁰). Зато он собирает черновик страницы, то есть решает, какие записи в неё войдут, и раздаёт участникам перебор, а участники могут уйти в другой пул за часы⁴⁵¹.

Право решать, какие записи войдут в страницу, и есть главная власть пула. Пул, который откажется включать чьи-то переводы, задержит их, но навсегда не остановит, потому что их включит в свою страницу другой пул (если только отказ не станет общим для большинства мощности, а это уже знакомая нам атака большинства).

За месяц до 26 сентября 2026 года три крупнейших пула нашли около 60% всех блоков биткоина⁴⁵².⁴⁵³ Трёх координаторов хватило бы, чтобы собрать больше половины мощности сети. Надёжного способа оценить, насколько вероятен такой сговор, я не знаю и судить о нём не возьмусь.

Доли эти подвижны. Весной 2026 года у крупнейшего пула было около трети мощности, к осени около четверти⁴⁵⁴. На подвижности и строится главный довод тех, кто считает концентрацию пулов неопасной. Пул, который начнёт злоупотреблять, быстро потеряет майнеров.

Есть довод и в обратную сторону. В 2024 году независимый исследователь под ником b10c сравнил черновики страниц, которые рассылают участникам разные пулы, и выделил девять пулов с подозрительно похожими черновиками. Вместе эти девять пулов нашли за месяц около 37,6% блоков, больше, чем крупнейший пул по официальным данным⁴⁵⁵.⁴⁵⁶ Сам автор оговаривает, что контроля одного лица это не доказывает⁴⁵⁷. Но официальные доли пулов могут занижать настоящую концентрацию, потому что за разными вывесками может стоять один координатор.

Часть отрасли пытается это исправить. В мае 2026 года крупнейшие пулы, у которых вместе было около трёх четвертей мощности, вступили в рабочую группу открытого стандарта Stratum V2, который позволяет самим майнерам собирать черновик страницы⁴⁵⁸.

Сосредоточена и география. В декабре 2022 года, во время зимнего шторма «Эллиотт», майнеры в Северной Америке выключили столько машин, что сеть в тот день лишилась примерно 38% мощности⁴⁵⁹. Авторы, которые это посчитали, вывели отсюда, что не меньше 38% майнинга биткоина к концу 2022 года находилось в США и Канаде⁴⁶⁰.⁴⁶¹ Среди крупных компаний, согласившихся ответить на кембриджский опрос 2025 года, три четверти мощностей стояли в США⁴⁶².

Тысяч равных участников в этой картине нет. Есть десятки тысяч узлов, которые проверяют, несколько пулов, которые пишут, и несколько стран, где стоят машины. Защиты, о которой шла речь выше, это не отменяет. Узлы по-прежнему отбрасывают любую недействительную страницу, кто бы её ни написал⁴⁶³. Меняется другое. Условие Накамото о честном большинстве мощности на деле держится на независимости небольшого числа пулов.

Во что обходится электричество

Работа, на которой держится голос, — это электричество, и о том, сколько его уходит, спорят по меньшей мере с 2018 года⁴⁶⁴. Считают его двумя способами. Кембриджский центр альтернативных финансов считает от оборудования: берёт мощность сети и характеристики машин, которыми её, вероятно, набирают, и получает потребление⁴⁶⁵. Индекс Digiconomist аналитика Алекса де Вриса считает от денег. Он берёт доход майнеров, предполагает, какую его долю они тратят на электричество, и делит эту сумму на цену киловатт-часа⁴⁶⁶.

Кембриджский центр в отчёте, опубликованном в апреле 2025 года, оценил годовое потребление примерно в 138 тераватт-часов (тераватт-час — это миллиард киловатт-часов), около полупроцента мирового потребления электроэнергии⁴⁶⁷. Индекс Digiconomist 26 сентября 2026 года показывал около 204 тераватт-часов⁴⁶⁸.⁴⁶⁹ Числа относятся к разным датам, и сравнивать их напрямую нельзя.

Но и на одну дату два способа не обязаны совпасть. Авторы кембриджской оценки сами называют слабые места своего счёта: настоящий состав парка машин неизвестен, а цена электричества принята одинаковой для всех⁴⁷⁰. Счёт от денег упрекают в завышении. Исследователь энергопотребления Джонатан Куми писал, что оценки индекса стабильно примерно вдвое выше более надёжных⁴⁷¹.⁴⁷² (Куми опубликовал это у некоммерческой организации, которая защищает интересы криптоиндустрии, так что заинтересованы в споре обе стороны⁴⁷³.)

Вот условный расчёт от денег с круглыми числами. Майнеры за год заработали 10 млрд долларов; если 60% этой суммы ушло на электричество по 5 центов за киловатт-час, получается 6 млрд долларов, то есть 120 тераватт-часов. Возьмите вместо 60% тридцать, и оценка упадёт вдвое, хотя в сети не изменилась ни одна машина. А если майнеры на деле платят за киловатт-час меньше 5 центов, та же сумма покупает больше энергии, и оценка вырастет. Спор между методами во многом сводится к тому, каким из этих допущений верить⁴⁷⁴.

Одну метрику из этого спора стоит отбросить сразу — энергию на одну транзакцию (у Digiconomist около 804 киловатт-часов⁴⁷⁵). Аналитик Международного энергетического агентства называл такие сравнения для сетей с доказательством работы бессмысленными, потому что энергия, которая нужна сети, от числа транзакций не зависит⁴⁷⁶.⁴⁷⁷ Это видно и по нашей модели: термостат держит темп страниц, сколько бы записей на них ни лежало⁴⁷⁸. Если записей на каждой странице станет вдвое больше, счёт за электричество не изменится, а «энергия на транзакцию» упадёт вдвое.

Второй спор — о том, из чего это электричество. Доля возобновляемой энергии в оценках лежит между неполной четвертью и двумя пятыми, а вместе с атомной самая высокая оценка превышает половину. Низкие получены по географии майнинга: у Университета ООН за 2020–2021 годы возобновляемых около 23%⁴⁷⁹, у де Вриса и соавторов около четверти в августе 2021 года, когда после китайского запрета майнеры лишились гидроэнергии южных провинций и переехали в Казахстан, где много угля, и в США, где много газа⁴⁸⁰.⁴⁸¹ Самая высокая — самоотчёт 49 компаний в кембриджском опросе 2025 года. Эти компании, в основном крупные западные, покрывают примерно половину мирового майнинга, а как обстоят дела у другой половины, не знает никто⁴⁸².⁴⁸³

Число о биткоине и электричестве без года, метода и предмета счёта мало что говорит,⁴⁸⁴ а прогноз — ещё и без объяснения, почему нынешний рост должен продолжаться. Сам я держусь порядка величины, в котором сходятся серьёзные оценки, то есть около полупроцента мирового электричества⁴⁸⁵. В сравнительной таблице на сайте Ethereum (оценки на июль 2023 года) рядом с биткоином стоят добыча золота и все дата-центры мира, и у всех трёх числа одного порядка⁴⁸⁶.⁴⁸⁷

Много это или мало, зависит от того, за что платят. В начале главы предатель мог нарисовать себе тысячу генералов, потому что ключи ничего не стоят. Электричество делает каждого генерала дорогим, и подделать эту цену нельзя, ведь работу любой проверяет одним расчётом⁴⁸⁸. Если бы охрану можно было удешевить, ничего не отдав взамен, атакующий удешевил бы её для себя тем же способом. Поэтому вопрос, может ли биткоин тратить меньше, я бы ставил иначе: какой частью своей безопасности сеть готова за это заплатить и чем эту часть заменит.

Оправдана ли такая плата за охрану тетрадки без хранителя — спор о ценностях, и арифметика его не решит. Сторонники доказательства работы говорят, что энергия и есть стена, которую нужно проломить для атаки, и подделать её нельзя⁴⁸⁹. Критики отвечают, что сравнимую защиту можно получить почти без электричества⁴⁹⁰.

Когда за согласие платят мало

Если безопасность держится на том, что атака дороже честной игры, то у маленькой сети и безопасность маленькая. Это можно проверить на истории, потому что атаки большинства случались не раз.

Сначала о том, как атаку превращают в деньги. Допустим, у атакующего 1000 монет небольшой сети. Он переводит их на биржу, продаёт за другие деньги и выводит выручку. Одновременно, втайне от всех, он строит собственную ветвь тетрадки, в которой перевода на биржу нет. Когда биржа выплатила выручку, атакующий выкладывает свою ветвь. Она тяжелее общей, по восьмому правилу узлы переходят на неё, и в новой истории 1000 монет снова лежат у атакующего. Выручка тоже у него, а биржа осталась и без монет, и без денег⁴⁹¹.

Рисунок 3.2. Атака большинства

Ethereum Classic — отдельная сеть, продолжение старой ветви Ethereum, которая осталась после раскола 2016 года (и об Ethereum, и о расколе речь пойдёт в главе 4)⁴⁹². В августе 2020 года её атаковали трижды за месяц, и последняя атака, 29 августа, переписала больше 7000 блоков, около двух суток работы сети⁴⁹³.⁴⁹⁴ Биржа Coinbase заметила первую атаку по характерному признаку: её узлы перестали видеть новые блоки с ожидаемой частотой⁴⁹⁵.⁴⁹⁶ В посёлке это выглядело бы так, будто страницы вдруг стали приходить реже, потому что часть мощности ушла писать тайную ветвь.

Сколько атакующий заработал, считают по-разному, и расхождение поучительно. Coinbase считала все транзакции двойной траты, то есть попытки, и для второй атаки получила около 460 тыс. ETC, примерно 3,2 млн долларов⁴⁹⁷. Аналитическая компания Bitquery посчитала для той же атаки только удавшиеся двойные траты и получила около 1,7 млн долларов, примерно половину⁴⁹⁸.⁴⁹⁹ За долларами в новости об атаке может стоять любое из этих чисел. Сама Coinbase подчёркивала, что целью атакующих не была и денег не потеряла⁵⁰⁰.

Уже после второй атаки Coinbase стала ждать подтверждений для депозитов ETC около двух недель⁵⁰¹.⁵⁰² Правило терпения для маленьких сетей здесь дошло до крайности.

Команда другой небольшой сети, Bitcoin Gold, после атак на биржи в мае 2018 года объяснила, почему маленькую сеть так легко перегнать: тот же алгоритм перебора используют и другие монеты, поэтому мощность для атаки можно собрать со стороны⁵⁰³. Если рядом с маленьким посёлком стоит большой, где машины для перебора такие же, одному крупному двору оттуда достаточно на несколько часов перевести машины на чужую тетрадку, чтобы собрать в ней большинство.

Исследователи из MIT, которые вели учёт таких атак, фиксировали их и на других небольших сетях⁵⁰⁴.⁵⁰⁵ Об успешной атаке большинства на сам биткоин сведений нет⁵⁰⁶.

Самый показательный случай с биткоином был вообще не атакой.

В марте 2013 года сеть случайно раскололась на две цепочки, потому что версии программы 0.7 и 0.8 по-разному судили об одном большом блоке (новая его принимала, старая отвергала)⁵⁰⁷. Раскол устранили люди. Два крупных пула, BTC Guild и Slush, добровольно откатили свои узлы на старую версию, чтобы их мощность тоже отвергала спорный блок, и большинство мощности вернулось на старую цепочку⁵⁰⁸.⁵⁰⁹

Восьмое правило при этом никто не нарушал. Люди просто перенесли работу на ту ветвь, которую решили сделать тяжелее. За время раскола случилась как минимум одна крупная двойная трата, по описанию разработчиков экспериментальная, без злого умысла⁵¹⁰.

После этого случая можно ответить и на четвёртый из пяти вопросов, которые я в первой главе советовал задавать любым деньгам: кто может остановить всю систему одним решением? Государство, которое выгнало со своей территории часть майнеров, тетрадку не остановило⁵¹¹. Несколько крупнейших пулов, если сговорятся, смогут отменять собственные переводы и не пускать в тетрадку чужие, но ни создать монеты из воздуха, ни потратить чужие не смогут⁵¹². В одиночку остановить тетрадку не может никто. А в трудную минуту, как в 2010 и в 2013 году, какую историю считать настоящей, решали люди, и решали быстро⁵¹³. Пятый вопрос, о строчках в долг, остаётся для второй части книги.

Залог вместо электричества

Сделать голос дорогим можно и без электричества. Вернёмся в посёлок и заменим восьмое правило девятым. Право написать следующую страницу разыгрывается по жребию между дворами, которые заперли часть своих строчек в залог, и чем больше залог, тем больше у двора шансов. Строчка залога записана за самой тетрадкой, как сарай плотника в первой главе был записан за хранителем, и вернётся к двору, только если тот не жульничал. Кто пойман на обмане (например, подписал две разные страницы на одно и то же место), теряет залог. Голос по-прежнему дорог, только платят за него теперь деньгами, которые лежат в залоге и которыми нельзя пользоваться.

Такой способ называют доказательством доли, а внесение залога — стейкингом (от английского stake, «ставка»). Возьмём Ethereum; его монета называется эфиром, ETH. Чтобы стать проверяющим, которого там называют валидатором, нужно внести 32 ETH на особый депозитный счёт в самой сети и запустить у себя три программы⁵¹⁴. Время в сети поделено на слоты по 12 секунд. В каждом слоте случайно выбранный валидатор предлагает страницу, а комитет из других случайно выбранных валидаторов голосует за то, что она правильная⁵¹⁵.⁵¹⁶

Здесь возвращается задача генералов. Валидаторов можно пересчитать, потому что каждый внёс залог и его ключ записан в самой тетрадке. Список членов клуба снова известен, только вход в клуб теперь стоит 32 ETH, и поэтому снова работает старое правило двух третей⁵¹⁷. Страница в Ethereum становится окончательной, когда за неё проголосовали валидаторы, у которых вместе не меньше двух третей всего залога⁵¹⁸.

Такое свойство называют финальностью. Чтобы отменить окончательную страницу, нападающему придётся пожертвовать не меньше чем третью всего залога сети: протокол сожжёт её штрафами⁵¹⁹. В биткоине финальности нет. Там запись с каждой новой страницей сверху становится всё надёжнее, но окончательной её не объявляет никто⁵²⁰.

Наказание за обман называют слэшингом. Ethereum наказывает за три нарушения: подписать две разные страницы на один слот, проголосовать сразу за двух кандидатов и проголосовать так, чтобы фактически переписать прежний голос⁵²¹. Устроено наказание в два шага. Первый штраф маленький (для залога в 32 ETH это меньше сотой доли эфира), но на 18-й день начисляется второй, и он тем больше, чем больше залога наказано одновременно, вплоть до всего залога⁵²².⁵²³

Допустим, валидаторов миллион, и один из них из-за сбоя в настройках подписал две страницы на один слот. Он заплатит маленький первый штраф, второй окажется почти нулевым, потому что одновременно с ним никого не наказали, и из сети его выведут. Теперь допустим, что сговорились валидаторы, у которых вместе треть всего залога, и все они подписали две версии истории сразу. Первый штраф у каждого будет тем же маленьким, но второй рассчитают на треть залога сети, и сговорившиеся лишатся залогов целиком⁵²⁴.

Атакующий с долей залога больше трети может задерживать финальность, а если сумеет управлять задержками сообщений в сети, то и добиться двух противоречащих окончательных версий, заплатив за это всем своим залогом. С половиной залога он может цензурировать транзакции и управлять выбором будущих страниц, с двумя третями — переписывать уже окончательную историю⁵²⁵.⁵²⁶ Так эти пороги перечисляет сайт самого Ethereum, и последней защитой он называет «социальный слой»: если атака всё-таки удалась, сообщество может договориться и перейти на честную ветвь⁵²⁷.

С биткоином это сравнение выходит двояким. Майнер, проигравший атаку, сохраняет свои машины и может попробовать снова или вернуться к честной работе, а у валидатора протокол сожжёт залог⁵²⁸. Зато «социальный слой» прямо признаёт, что в крайнем случае решают люди. К этому признанию мы вернёмся в главе 4, где людям однажды пришлось решать, какую историю Ethereum считать настоящей.

Рисунок 3.3. Два способа сделать голос дорогим

Ethereum сам начинал с доказательства работы и перешёл на залог 15 сентября 2022 года; этот переход назвали The Merge. По оценке, на которую ссылается сайт проекта, годовое потребление электричества сетью упало больше чем на 99,9%⁵²⁹.⁵³⁰ Источник заинтересованный, но порядок величины сомнений не вызывает.

Переход не прибавил пропускной способности и снижать комиссии не был призван: он заменил способ согласия, а страницы стали выходить примерно на 10% чаще, и только⁵³¹.⁵³² Цена согласия и скорость тетрадки — разные вещи, и это понадобится нам в конце главы.

Зато замороженный капитал здесь виден в прямом смысле. Эфир, внесённый в залог, нельзя было забрать до обновления 12 апреля 2023 года, то есть ещё семь месяцев после перехода, а те, кто вносил залог раньше, ждали дольше⁵³³. В конце сентября 2026 года в залоге лежала примерно треть всего эфира, а очередь желающих его внести растянулась примерно на месяц⁵³⁴.⁵³⁵ Доход у залога есть (около 2,6% годовых на ту же дату), но есть и риск потерять часть залога или весь залог за нарушения⁵³⁶. Расхожая мысль, будто при доказательстве доли богатые просто богатеют без риска, верна только наполовину.

Концентрация у залога своя. Крупнейший посредник здесь — протокол Lido, который принимает эфир от многих владельцев и распределяет его между операторами валидаторов⁵³⁷. В конце 2023 года на Lido приходилось 32,3% всего эфира в залоге, а исследователи Ethereum считают тревожным порогом 33%⁵³⁸. Порог выбран не случайно, потому что больше трети залога позволяет задерживать финальность⁵³⁹. С тех пор доля снизилась и осенью 2026 года составляла почти четверть⁵⁴⁰.⁵⁴¹ Насколько опасен такой посредник, спорят до сих пор⁵⁴².

Пересчитать людей по валидаторам тоже больше нельзя. После обновления 2025 года один валидатор может держать до 2048 ETH⁵⁴³, так что число валидаторов не показывает, сколько за ними стоит владельцев.

Если вы когда-нибудь отдадите эфир в залог через биржу или через такой протокол, полезно понимать, кому вы при этом верите. Ключи валидаторов будут у операторов, а у вас останется их обещание вернуть эфир с доходом, то есть строчка в чужой тетрадке, как в посёлке с хранителем⁵⁴⁴. Советовать, делать так или нет, я не стану. Мне важно, чтобы этот посредник не остался для вас незамеченным.

В обоих способах тетрадку пишет меньше участников, чем обещает слово «распределённый». При доказательстве работы большую часть страниц собирают несколько пулов, при доказательстве доли заметная доля залога проходит через один протокол.

Если сравнить два способа по устройству, у каждого найдётся своё слабое место. При доказательстве работы голос покупают снаружи сети. Машины и электричество продаются за обычные деньги, и новичок может получить голос, ничего не покупая у нынешних участников, зато платить приходится непрерывно, а машины сами собой скапливаются там, где дешевле электричество и крупнее пулы. При доказательстве доли голос покупают внутри сети. Чтобы его получить, нужно купить монеты у тех, у кого они уже есть, зато, раз заплатив, валидатор почти ничего не тратит на поддержание голоса, кроме возможности пользоваться своими деньгами.

Сарай плотника в первой главе имел цену сам по себе, и если плотник не расплатится, хранитель получит вещь, которую можно продать кому угодно. Залог валидатора сделан из монет той самой тетрадки, которую он охраняет. Если тетрадке перестанут верить, подешевеет и залог, а вместе с ним и наказание за обман; у сарая такой зависимости нет, и модель посёлка её не передаёт. У майнера похожая зависимость, только слабее: его машины годятся лишь для перебора, и их ценность тоже держится на цене монет, которые ими добывают (на этом Накамото и строил расчёт, что атакующий не захочет подрывать ценность собственного богатства⁵⁴⁵).

Скорость как цена согласия

Последняя цена согласия — скорость. Каждую страницу должны получить и проверить все узлы (иначе проверка, на которой всё держится, станет делом немногих), поэтому страницы делают небольшими и выпускают редко, а открытая тетрадка в итоге пропускает мало записей. С конца августа по конец сентября 2026 года сеть биткоина подтверждала в среднем около 8 транзакций в секунду⁵⁴⁶. Visa за год до 30 сентября 2025 года обрабатывала в среднем около 10 400 транзакций в секунду⁵⁴⁷. Разница больше чем в тысячу раз.⁵⁴⁸ (Сравнение грубое, потому что одна транзакция биткоина может содержать много платежей, но порядок разрыва оно передаёт верно⁵⁴⁹.)

Почему у Visa выходит в тысячу раз больше? Visa — хранитель в смысле первой главы. Платежи через её сеть идут по правилам одной компании, а остатки на счетах ведут банки, которым клиенты и так доверяют. Никому не нужно, чтобы каждую строчку проверили тысячи посторонних людей, каждый на своём компьютере. Соглашаться о версии записи приходится только внутри своего круга, а в закрытом кругу согласие, как мы видели на примере Кастро и Лисков, почти бесплатно⁵⁵⁰.

У открытой тетрадки каждую страницу должны получить и проверить десятки тысяч независимых узлов⁵⁵¹. Тысячекратный разрыв в скорости — та же цена открытости, о которой шла речь в начале главы.

Почему бы просто не сделать страницы больше?

В 2016 году группа исследователей посчитала, что это быстро упирается в сеть. Если страница будет больше нескольких мегабайт, заметная часть узлов перестанет успевать её получать, и тетрадку смогут вести немногие⁵⁵². Авторы заключили, что для настоящего роста без потери распределённости устройство блокчейна нужно пересматривать целиком⁵⁵³.⁵⁵⁴ Авторы Lightning Network в том же году прикинули крайний случай. Чтобы сравняться с Visa прямо в тетрадке, понадобились бы страницы почти по 8 ГБ каждые десять минут, больше 400 ТБ данных в год, а это, по словам самих авторов, привело бы к крайней централизации узлов⁵⁵⁵.⁵⁵⁶

Виталик Бутерин, один из создателей Ethereum, называет это трилеммой масштабируемости. Блокчейн хочет сразу трёх свойств: пропускать больше, чем может проверить обычный ноутбук; не зависеть от небольшой группы крупных участников; выдерживать атаку большой доли участников. Простыми средствами, пишет он, можно получить только два свойства из трёх⁵⁵⁷.⁵⁵⁸ Доказательства у трилеммы нет, это наблюдение инженера⁵⁵⁹, но обе попытки ускорения, о которых дальше, обходят её одинаково, унося часть работы за пределы общей тетрадки.

Добавим десятое правило посёлка. Два двора, которые часто рассчитываются друг с другом, могут вести свою маленькую тетрадку расчётов, а в общую вносить только открытие счёта и итог. Пока они согласны, общая тетрадка их не касается. Если один попробует жульничать, второй понесёт в общую последнюю подписанную запись, и общая тетрадка рассудит⁵⁶⁰.

Так устроена Lightning Network, предложенная в 2016 году. Это сеть платёжных каналов, в которой платежи идут вне блокчейна, а в основную сеть попадают только открытие и закрытие канала или спор⁵⁶¹.⁵⁶² Пока это ниша. В конце августа 2026 года в публичных каналах Lightning лежало около 3800 BTC, порядка сотых долей процента всех биткоинов⁵⁶³.⁵⁶⁴

У Ethereum свой путь, сети второго уровня (они работают поверх основной сети), которые называют роллапами (от английского roll up, «сворачивать»). Роллап собирает сотни транзакций, выполняет их у себя, а в основную тетрадку записывает одну сводную транзакцию и данные, по которым её можно проверить⁵⁶⁵. Одни роллапы считают записи верными, пока кто-нибудь не оспорит их, предъявив доказательство обмана, другие прикладывают к каждой пачке криптографическое доказательство правильности⁵⁶⁶.

На языке посёлка роллап похож на двор, который ведёт расчёты за многих соседей сразу и вносит в общую тетрадку только итог. В первом варианте итог считается верным, пока кто-нибудь из соседей не докажет обман. Во втором двор прикладывает к итогу доказательство, которое любой проверит сам, не пересчитывая всех расчётов.

С марта 2024 года для данных роллапов в основной сети отведено отдельное дешёвое место⁵⁶⁷. Удешевление, которого не дал переход на залог, пришло с этой стороны: обновление удешевило работу сетей второго уровня⁵⁶⁸. По данным аналитического проекта L2BEAT, 26 сентября 2026 года сети второго уровня вместе выполняли примерно в 80 раз больше операций, чем основная сеть Ethereum⁵⁶⁹.⁵⁷⁰

Скорость здесь тоже покупается, и платят за неё доверием. L2BEAT делит такие сети на стадии. На нулевой сеть полностью контролирует небольшой круг лиц. На первой последнее слово остаётся за советом безопасности из нескольких участников, и, чтобы заблокировать вывод денег, нужно подчинить три четверти совета. На второй сетью управляет код, а при нежелательном обновлении у пользователей есть не меньше 30 дней, чтобы уйти⁵⁷¹. Осенью 2026 года ни один из 17 крупнейших роллапов до второй стадии не дошёл: шесть стояли на первой, одиннадцать на нулевой⁵⁷².⁵⁷³ Ускоряя тетрадку, её отчасти снова отдают в руки немногих, которым приходится верить.

Отсюда три вопроса к любой сети, которая обещает быть в тысячу раз быстрее и дешевле биткоина. Чем в ней платят за голос: электричеством, залогом или ничем (последнее, если следовать логике этой главы, означает закрытый список, как у Кастро и Лисков)? Сколько участников на деле пишут её страницы, и может ли кто-нибудь со стороны их пересчитать? Кто решает, какую историю считать настоящей, если что-то пойдёт не так? Пока ответов нет, к обещанной скорости разумно относиться как к рекламе.

За главу у посёлка прибавилось три правила:

восьмое — из двух версий тетрадки верна та, в которую вложено больше работы⁵⁷⁴;

девятое, другой путь вместо восьмого, — право писать страницу разыгрывается между теми, кто внёс залог, обманщик теряет залог, а страница становится окончательной, когда за неё проголосовали владельцы двух третей залога⁵⁷⁵;

десятое — двое соседей ведут расчёты в своей маленькой тетрадке, вносят в общую только открытие и итог, а общая служит судьёй при споре⁵⁷⁶.

Каждый раз, когда цену согласия пытаются снизить, в каком-то месте снова появляется тот, кому нужно верить: пул, который собирает страницы, протокол, через который идёт залог, совет безопасности сети второго уровня, «социальный слой» на крайний случай. Я не считаю это провалом замысла. Это счёт, который приходит за отказ от посредника, и видеть его стоит целиком.

Пока в тетрадке лежали только переводы, люди вмешивались в неё редко, в аварийных случаях. Стоит записать в неё программы, которые исполняются сами, и вопрос, кто решает, когда правила нужно изменить, аварийным быть перестаёт: Ethereum столкнулся с ним меньше чем через год после запуска⁵⁷⁷.