Marigold Litepaper — digital cash for everyday use

the problemDigital Money Forgot What Cash Got Right

Take a dollar bill out of your wallet. Notice three things:

Whoever holds it owns it. There is no account, no login, no intermediary. Possession is ownership.
It carries no memory. The bill does not remember who spent it last. There is no record tying you to the coffee you bought this morning.
Anyone can check it is real. Hold it to the light, feel the paper. No special expertise required.

No mainstream digital money reproduces all three of these properties at once.

Bitcoin gives you the first and third: holding your keys means owning your coins, and anyone can verify the system is honest. But it fails badly on the second. Every Bitcoin ever mined carries its full history permanently and publicly. Every address you have ever sent from or received to is stitched together in a graph that anyone can analyze. Your coins remember everything you ever did with them. There is a quieter gap as well: Bitcoin can be stored offline as a QR code, but it cannot be used to pay the way an offline banknote can — spending it means broadcasting a transaction. Marigold is specifically designed so that a note can be handed over like cash.

Privacy coins like Monero and Zcash try to fix this by encrypting the history. They succeed at hiding things — but the very cryptography that does the hiding creates two new problems. First, almost nobody can personally verify that the system is honest. You are trusting experts you have never met that the math contains no flaw, no backdoor. Second, regulators take one look at the complex cryptography and classify the coin accordingly — delistings, restrictions, and adversarial treatment follow not from what the coin does but from how it does it.

The result is a landscape where you choose between transparency without privacy, or privacy without trust. Physical cash offered both, effortlessly. Digital money somehow forgot how.

the insightDon’t Hide the Trail — Don’t Make One

Imagine you are at a market stall. You hand a five-dollar bill to the vendor. The vendor puts it in the register. Later that day, the vendor spends that same bill at the bakery. The bakery gives it as change to the next customer.

Now ask: who can trace that bill back to you? Nobody. Not because the bill’s journey was encrypted or hidden — the bill was in plain view every step of the way — but because the bill itself never recorded who handed it to whom. The connection between you and the vendor was never written down. It existed only in the moment of handover and then was gone.

This is the difference between hiding information and never collecting it. Privacy coins hide. Marigold doesn’t collect.

how it worksNotes Instead of Accounts

Most cryptocurrencies work like bank accounts. You have an address (like an account number), and transactions move value between addresses. The addresses are public, and every movement between them is recorded forever. It is an accountant’s dream and a privacy nightmare.

Marigold works like cash. There are no accounts. Instead, the system maintains a pool of notes — think of them as digital banknotes.

Each note is a simple public record:

A serial number (like the serial number on a dollar bill)
A value (0.01, 0.1, 1, 10, 100, 1,000, 10,000, or 100,000 MAGLD)
A lock (a public key — whoever holds the matching key can spend it)

That’s it. No owner name, no address, no identity. The note does not know who holds it. It knows only that a key exists, and that whoever can unlock it can spend it.

Making a Payment

Paying someone is like handing over a bill, with one extra step:

You give the recipient the key to the note (via QR code, text message, or even verbally — the same way you’d share a photo).
The recipient immediately swaps the lock — they record a transaction that replaces your key with a brand-new key that only they know. This is confirmed in under a second.

Once that swap is confirmed, the note is irrevocably theirs. You no longer hold a key that works. Settlement is done.

Alternatively, if the recipient can send you their new key ahead of time (say, via a payment request), you can swap the lock directly to their key. Your key never travels anywhere.

The third way is for paying someone who is not there. You swap the lock to a key only they hold and put a deadline on it. Until the deadline, only they can take the note; from the deadline on, only you can take it back. They collect when they like; if they never do, the money is yours again by itself. The deadline is enforced by the network, not by anyone’s wallet.

All three end the same way: the note sits under a key that only the recipient knows.

Splitting and Merging

Notes come in fixed values, just like physical currency. If you need to pay 30 MAGLD and you hold a 100-MAGLD note, you split it into ten 10-MAGLD notes. You hand over three of them. You keep seven. Making change — same as cash.

Going the other way, ten 10-MAGLD notes can be merged into one 100-MAGLD note. The values move in factors of ten, so any amount is payable with a small handful of notes.

What the System Records

Every operation — creating, swapping locks, splitting, merging, redeeming — is public and in plain view. What no one can see is who did it, because the system has no concept of "who." There is no sender field. No receiver field. No address book. No account.

The system records that a note changed hands. It does not record whose hands. A note under a deadline also shows its terms — the deadline, and the key it goes back to — for as long as the deadline stands.

in practiceUsing Marigold in the Real World

Because a Marigold note is nothing more than a key, using one in the real world is as simple as using physical cash. Here is how:

Print It, Spend It

Every note in your wallet app can be displayed as a QR code. You can print that QR code on a piece of paper, fold it up, and put it in your leather wallet — right next to your credit cards and your driver’s license. That piece of paper is the money. Show it to someone, and they scan it, swap the lock, and the note is theirs. You no longer hold a working key. The paper in your pocket is now worthless — the value has moved to them.

This is not a metaphor. The printed QR code holds the actual key. Losing it is like losing a hundred-dollar bill: whoever finds it can spend it. Keeping it safe is the same responsibility as keeping cash safe. There is no recovery hotline, no "report this stolen" button, no bank to reverse the transaction. That is what bearer means, and it is the entire point.

Gift It

A birthday card with a printed QR code inside is indistinguishable from a birthday card with a fifty-dollar bill inside. The recipient scans it, swaps the lock immediately, and the note is irrevocably theirs. No account to set up, no waiting period. They open the envelope, they hold the money.

Leave an Inheritance

A sealed envelope in a safe deposit box, containing printed QR codes for several notes, functions exactly like an envelope of cash. Whoever opens it holds the keys. Whoever holds the keys holds the notes. No executor, no probate court, no third-party permission is needed for the value to transfer — though, as with physical cash, the legal arrangements around inheritance are a separate matter the system does not and cannot address. The system guarantees only that possession of the key is possession of the note.

Pay at a Market Stall

You are buying tomatoes. The vendor displays a QR code — their payment request. You scan it with your wallet app, select the note you want to pay with, and your phone swaps the lock directly to the vendor’s key. Under one second later, the note is theirs. You pocket your tomatoes. The vendor never saw your name, your address, or your account. You never saw theirs. The transaction is settled, final, and forgettable — just like cash.

Be Paid While You Are Away

Publish one key — on your business card, in your shop window, in your profile — and anyone can pay you at any hour. Each payment lands under a fresh key that only your wallet can work out from the one you published, so the chain never shows two payments arriving at the same place. A payment to it can carry a deadline, so the sender knows the money comes back to them if you never collect. Your wallet collects whatever is waiting the next time it is running.

Store It Cold

Worried about hackers? Print your notes as QR codes, put them in a fireproof box, and delete the app. The notes exist on the blockchain. The keys exist on paper. No internet-connected device holds them. When you want to spend, scan the QR code back into a wallet app, swap the lock immediately (in case someone copied the paper while it was stored), and transact normally.

Move Between Wallets

Because notes are independent keys and not tied to any seed phrase or account, you can move a note from one wallet app to another at any time. Export the key from one app, import it into another. No on-chain transaction required, no fee paid, no interaction with the network at all. Your note works the same way in every wallet that supports Marigold — pick the app you like, switch whenever you want, your money comes with you.

The common thread: a Marigold note is a key, and a key can be printed, texted, folded into an envelope, stuck on a refrigerator, or committed to memory. The system does not care how the key travels between people, because the system does not know that people exist. It knows only keys and notes — and that is why every way you can move a physical banknote has a direct digital equivalent here.

And none of it needs a connection. Bitcoin can be kept offline as a QR code, but it cannot be spent that way: paying with it means broadcasting a transaction, so somebody has to be online, and a wallet that is never online cannot pay. A Marigold note is the key itself, so the note can pass from hand to hand offline, exactly like a banknote; the network is touched only when the new holder decides to swap the lock. You do not need to be connected to pay, and you do not need a wallet that is permanently online.

on your phoneYour Phone Is a Remote Control, Not a Wallet

Everything you can do at your own keyboard, you can do from your phone, in a Telegram chat: check your balance, pay someone, take in a note, raise a payment request, read your history, see whether your miner is running. What changes is not what you can do. It is where the money is — and the money is not on the phone.

Your wallet runs at home, on whatever stays switched on: a laptop in a drawer, a small computer beside the router. It keeps itself in step with the chain, it holds your notes, and it answers your messages. The phone in your pocket holds no keys and stores no notes. It talks to nothing but Telegram. Lose it, and you have lost a remote control.

The bot is yours, not ours. You make it in Telegram in about two minutes, hand your wallet the token, and pair the two with a code. From then on your wallet answers that one Telegram account and ignores every other. There is no Marigold server in the middle, no account with us, no fleet of machines we run for your phone to depend on. Your wallet calls out to Telegram; nothing calls in, and there is nothing to open on your router.

Spending is guarded the way a bank card is: a PIN before anything that moves money, a lockout after three wrong tries that only the machine at home can clear, and a daily limit you set yourself. That Telegram account can now move money, so it needs two-factor authentication — the bot tells you so the first time you speak to it.

The same chat keeps your backup. Once you ask it to, the wallet posts an encrypted copy of itself there and keeps it current by itself — a full copy every week, the changes within minutes of a payment — quietly, with no notification. If the machine at home dies, you forward those messages back to a fresh wallet and it is all there. The copy is locked with your 24 words and with nothing else: not your wallet password, which you type every day and chose to be able to remember, and which anyone holding a copy of the file could try at leisure. The 24 words cannot be guessed. Write them down when the wallet shows them — it will ask you for two of them to make sure — and a backup on someone else’s server is just noise to everyone but you.

The limits, plainly. When the machine at home is off, the phone can do nothing at all: no balance, no paying, no receiving. A payment code sent through a chat is bearer value while it is in flight, exactly like the printed QR codes above — whoever reads it first can claim it. And a proper phone app, one that holds keys itself, is a job for later and probably for someone else. This is the version that asks you to trust nobody.

There is a second way to use the phone, with no bot at all and entirely offline: as a place to keep notes as pictures. A note is a key, and a QR code of that key is the money itself, so a phone holding a few such pictures is a wallet with a few banknotes in it — and handing one over needs no signal, no account and no app, only a screen the other person can scan. Treat them exactly like cash: anyone who sees, copies or scans one can claim the note by putting their own lock on it, so a screenshot in a shared album is a banknote left on a table. Marigold has no standalone phone app on purpose. The full wallet runs on a computer you control, and the phone is either its remote control or a pocket for notes.

honest boundariesWhat an Observer Can and Cannot See

Marigold is not a privacy coin, and this litepaper will not pretend it is. Here is exactly what someone watching the system can figure out:

They can see: Every note, every value, every operation, the total supply, and the complete current state of the system. All of it is in plain view. Nothing is encrypted, ever.

They can see: The chain of operations — which note was swapped into which new note, when splits and merges happened, timing patterns. A determined analyst studying the public records can identify behavioral patterns: rapid successive payments, split-then-spend sequences, or a merchant’s daily accept-and-merge rhythm.

They can see: Who created and redeemed notes, if they can link a regular blockchain address to a real-world identity. The points where Marigold connects to the traditional blockchain world are fully visible.

They cannot see: Any identity attached to a payment within the system. There is nothing to see, because the data was never recorded.

A note blends in with every other note of the same value — a 100-MAGLD note looks like every other 100-MAGLD note and nothing beyond that group. Wallet software can blur behavioral patterns (slightly randomizing timing, grouping operations together, varying which note sizes are used for fees), but this is good habits, not magic. Marigold makes no stronger claim.

the arithmeticWhy It Is Honest Money

Every few seconds, every participant verifies a single rule:

the conservation rule

All notes in existence + all coins on the traditional side
= total coins ever mined.

If this does not hold, something is wrong and the network can see it immediately. Supply is accountable at every moment — not by trusting an auditor, not by trusting a complex proof system, but by the kind of arithmetic anyone can do.

No value is ever created or destroyed within the system. Paying a fee removes a note from the pool, but its value is credited to the miner and can be recreated as a new note at any time. The conservation rule is absolute and universal.

the chainFast Enough to Feel Like Cash

The settlement rule is simple: a note is yours when your lock swap is confirmed on the network. That means confirmation time is handover time. On Bitcoin, you would stand at the market stall for ten minutes. On Ethereum, about twelve seconds. On Marigold, under one second.

Marigold runs on a proof-of-work blockchain that produces approximately 10 blocks per second, giving sub-second confirmation. The underlying technology was built by the Kaspa project — a fast, reliable, well-tested blockchain. Marigold adds the note system and its economics on top of that foundation, leaving the base layer intact because it does its job exceptionally well.

A note on energy. Marigold’s energy story is not that it uses little — a proof-of-work chain attracts as much mining as its rewards are worth, and a successful Marigold will be no exception. The story is that none of it buys waiting. A classical blockchain can accept only one block per round; blocks mined in parallel are thrown away, so the network stays secure only by staying slow. The chain Marigold runs on keeps every block — blocks found at the same moment are woven into the ledger together, all of them counting — which is how the same security budget delivers ten blocks per second and sub-second settlement instead of a ten-minute queue. Per payment, that is an enormous efficiency difference. In total, it is the same honest arithmetic as everything else here: energy spent in proportion to the value being protected.

economicsEconomics at a Glance

Supply: 210,000,000 MAGLD, hard cap. No premine, no dev fund, no allocation of any kind.
Launch: Fair launch from day one. Software available to everyone in advance. Everyone starts on equal footing.
Emission: Smooth and gradual — the mining reward halves every three years without sudden drops. About 21% is mined in year one, ~90% by year ten.
Base unit: 1 MAGLD = 100,000,000 petals.
Smallest note: 0.01 MAGLD, and the fee is one such note. Should 1 MAGLD come to be worth more than about a dollar, a 0.001 note (or smaller) is added by a network upgrade and the fee becomes that new smallest note; every existing note stays as it is.
Cost to pay: 0.01 MAGLD — one hundredth of a coin — for any everyday payment, however much you are sending. The fee is a single small note handed over with the payment, so a coffee and a car cost the same to move. Only unusually large operations, bundling dozens of notes at once, step up to two or three hundredths.
Fees: All fees go to miners. Nothing is burned, nothing is diverted. A cash economy — where every payment is an on-chain transaction — produces steady fee income that store-of-value chains cannot match.

launch securityTraining Wheels That Come Off

A new proof-of-work chain has low mining power, and low mining power invites attacks. Marigold launches with a temporary, fully disclosed safeguard called finality anchors: five publicly identified trustees periodically co-sign (requiring at least 3 of 5) a recent block, making it permanent and irreversible. No one can undo an anchored block.

The trustees cannot censor transactions, create coins, move anyone’s funds, or produce blocks. Their only power is to prevent undoing completed transactions. If they go silent, the chain continues normally as a standard proof-of-work network — somewhat less protected, but fully operational.

The safeguard is designed to retire. Once the network’s mining power grows strong enough that attacks are prohibitively expensive, anchors step down from mandatory to advisory to fully expired. Before that happens, the selection of successor trustees is intended to pass to note-holder governance — so even the training wheels' remnant transfers from founders to the community before they are removed entirely.

On the public testnet the safeguard is running now: five trustee keys, an anchor roughly every thirty seconds, every node enforcing. The testnet trustees are throwaway keys made for the rehearsal; the real set is chosen at launch.

in one breathWhat Marigold Is — and Is Not

Marigold is digital cash. Notes are bearer instruments. Possession of the key is ownership. Transfer of the key is settlement. The chain is complete about value and silent about people — exactly like a dollar bill.

Marigold is not a privacy coin. Nothing is encrypted. Nothing is hidden. The distinction is not euphemism: privacy coins cryptographically conceal recorded data, and Marigold records no data to conceal. What it shares with cash is specific and honestly bounded — the system is complete about value by design, and silent about people by design.

Marigold is five operations, one conservation rule, plain-view state, ordinary digital signatures, a fixed supply checked by everyone at every moment, on a network fast enough that handing over a note feels like handing over a bill.

Everything it does can be checked by the people it is for.

Download the PDF

el problemaEl dinero digital olvidó lo que el efectivo hacía bien

Saca un billete de la cartera. Fíjate en tres cosas:

Quien lo tiene, es su dueño. No hay cuenta, ni inicio de sesión, ni intermediario. La posesión es la propiedad.
No guarda memoria. El billete no recuerda quién lo gastó la última vez. No existe ningún registro que te vincule con el café que compraste esta mañana.
Cualquiera puede comprobar que es auténtico. Lo miras al trasluz, tocas el papel. No hace falta ser experto.

Ningún dinero digital de uso corriente reúne las tres propiedades a la vez.

Bitcoin te da la primera y la tercera: tener tus llaves significa ser dueño de tus monedas, y cualquiera puede verificar que el sistema es honesto. Pero falla estrepitosamente en la segunda. Cada bitcoin que se ha minado arrastra su historial completo, de forma permanente y pública. Cada dirección desde la que has enviado algo o en la que has recibido algo queda cosida a las demás en un grafo que cualquiera puede analizar. Tus monedas recuerdan todo lo que hiciste con ellas. Hay además una brecha más silenciosa: Bitcoin se puede guardar sin conexión como un código QR, pero no sirve para pagar como lo hace un billete sin conexión: gastarlo significa emitir una transacción. Marigold está diseñado expresamente para que un billete pueda entregarse en mano como el efectivo.

Las monedas de privacidad como Monero y Zcash intentan arreglarlo cifrando el historial. Y lo consiguen: esconden cosas. Pero la misma criptografía que las esconde crea dos problemas nuevos. El primero: casi nadie puede verificar por sí mismo que el sistema es honesto. Estás confiando en expertos que no conoces, en que las matemáticas no esconden ningún fallo ni ninguna puerta trasera. El segundo: los reguladores echan un vistazo a esa criptografía compleja y clasifican la moneda en consecuencia — la exclusión de las casas de cambio, las restricciones y el trato hostil no llegan por lo que la moneda hace, sino por cómo lo hace.

El resultado es un panorama en el que eliges entre transparencia sin privacidad o privacidad sin confianza. El efectivo ofrecía las dos cosas, sin esfuerzo. El dinero digital, de algún modo, lo olvidó.

la ideaNo ocultes el rastro — no dejes ninguno

Imagina que estás en un puesto del mercado. Le das un billete de cinco dólares al vendedor. El vendedor lo mete en la caja. Más tarde, ese mismo día, el vendedor se gasta ese mismo billete en la panadería. La panadería se lo da de cambio al siguiente cliente.

Ahora pregunta: ¿quién puede rastrear ese billete hasta ti? Nadie. No porque el recorrido del billete estuviera cifrado u oculto — el billete estuvo a plena vista en cada paso del camino — sino porque el billete nunca registró quién se lo entregó a quién. La conexión entre tú y el vendedor no se escribió en ninguna parte. Existió solo en el momento de la entrega y después desapareció.

Esta es la diferencia entre ocultar información y no recogerla nunca. Las monedas de privacidad ocultan. Marigold no recoge.

cómo funcionaBilletes en lugar de cuentas

La mayoría de las criptomonedas funcionan como cuentas bancarias. Tienes una dirección (parecida a un número de cuenta) y las transacciones mueven valor entre direcciones. Las direcciones son públicas y cada movimiento entre ellas queda registrado para siempre. Es el sueño de un contable y la pesadilla de la privacidad.

Marigold funciona como el efectivo. No hay cuentas. En su lugar, el sistema mantiene un conjunto de billetes — piensa en ellos como billetes de banco digitales.

Cada billete es un registro público sencillo:

Un número de serie (como el número de serie de un billete de papel)
Un valor (0,01, 0,1, 1, 10, 100, 1.000, 10.000 o 100.000 MAGLD)
Una cerradura (una llave pública: quien tenga la llave que encaja puede gastarlo)

Eso es todo. Sin nombre de dueño, sin dirección, sin identidad. El billete no sabe quién lo tiene. Solo sabe que existe una llave, y que quien pueda abrir la cerradura puede gastarlo.

Hacer un pago

Pagar a alguien es como entregar un billete, con un paso más:

Le das al destinatario la llave del billete (por código QR, por mensaje de texto o incluso de viva voz — igual que compartirías una foto).
El destinatario cambia la cerradura de inmediato — registra una transacción que sustituye tu llave por una llave nueva que solo él conoce. Se confirma en menos de un segundo.

Una vez confirmado ese cambio, el billete es suyo de forma irrevocable. Tú ya no tienes una llave que funcione. La liquidación está hecha.

Como alternativa, si el destinatario puede enviarte por adelantado su llave nueva (por ejemplo, con una solicitud de pago), puedes cambiar la cerradura directamente a su llave. Tu llave no viaja a ninguna parte.

La tercera forma sirve para pagar a alguien que no está. Cambias la cerradura a una llave que solo esa persona tiene y le pones un plazo. Hasta el plazo, solo ella puede tomar el billete; desde el plazo, solo tú puedes recuperarlo. Lo cobra cuando quiere; si nunca lo hace, el dinero vuelve a ser tuyo por sí solo. El plazo lo hace cumplir la red, no el monedero de nadie.

Las tres formas terminan igual: el billete queda bajo una llave que solo el destinatario conoce.

Dividir y unir

Los billetes vienen en valores fijos, igual que el dinero de papel. Si necesitas pagar 30 MAGLD y tienes un billete de 100 MAGLD, lo divides en diez billetes de 10 MAGLD. Entregas tres. Te quedas siete. Dar cambio, igual que con el efectivo.

En sentido contrario, diez billetes de 10 MAGLD pueden unirse en uno solo de 100 MAGLD. Los valores se mueven en factores de diez, así que cualquier cantidad se paga con un puñado pequeño de billetes.

Qué registra el sistema

Cada operación — crear, cambiar cerraduras, dividir, unir, canjear — es pública y está a plena vista. Lo que nadie puede ver es quién la hizo, porque el sistema no tiene ningún concepto de «quién». No hay campo de remitente. Ni campo de destinatario. Ni agenda de direcciones. Ni cuenta.

El sistema registra que un billete cambió de manos. No registra de qué manos. Un billete con plazo muestra además sus condiciones — el plazo y la llave a la que vuelve — mientras el plazo esté en vigor.

en la prácticaUsar Marigold en el mundo real

Como un billete Marigold no es más que una llave, usarlo en el mundo real es tan sencillo como usar efectivo. Así es como se hace:

Imprímelo, gástalo

Cada billete de tu aplicación de monedero se puede mostrar como un código QR. Puedes imprimir ese código QR en un papel, doblarlo y meterlo en tu cartera de cuero, justo al lado de las tarjetas de crédito y el carné de conducir. Ese papel es el dinero. Se lo enseñas a alguien, lo escanea, cambia la cerradura y el billete es suyo. Tú ya no tienes una llave que funcione. El papel que te queda en el bolsillo ya no vale nada: el valor ha pasado a esa persona.

Esto no es una metáfora. El código QR impreso contiene la llave de verdad. Perderlo es como perder un billete de cien dólares: quien lo encuentre puede gastarlo. Guardarlo a salvo es la misma responsabilidad que guardar efectivo a salvo. No hay teléfono de atención para recuperarlo, ni botón de «denunciar robo», ni banco que revierta la transacción. Eso es lo que significa ser un instrumento al portador, y en eso consiste todo.

Regálalo

Una tarjeta de cumpleaños con un código QR impreso dentro no se distingue de una tarjeta de cumpleaños con un billete de cincuenta dólares dentro. Quien la recibe lo escanea, cambia la cerradura de inmediato y el billete es suyo de forma irrevocable. No hay cuenta que abrir ni plazo de espera. Abre el sobre y ya tiene el dinero en la mano.

Déjalo en herencia

Un sobre cerrado en una caja de seguridad, con los códigos QR impresos de varios billetes, funciona exactamente igual que un sobre lleno de efectivo. Quien lo abre tiene las llaves. Quien tiene las llaves tiene los billetes. No hace falta albacea, ni juicio testamentario, ni permiso de ningún tercero para que el valor cambie de manos — aunque, igual que con el efectivo, los arreglos legales en torno a una herencia son un asunto aparte que el sistema no aborda ni puede abordar. El sistema garantiza solo que tener la llave es tener el billete.

Paga en un puesto del mercado

Estás comprando tomates. El vendedor muestra un código QR: su solicitud de pago. Lo escaneas con tu aplicación de monedero, eliges el billete con el que quieres pagar y tu teléfono cambia la cerradura directamente a la llave del vendedor. Menos de un segundo después, el billete es suyo. Te guardas los tomates. El vendedor nunca vio tu nombre, ni tu dirección, ni tu cuenta. Tú tampoco viste los suyos. La transacción queda liquidada, es definitiva y se puede olvidar, igual que el efectivo.

Cobra mientras no estás

Publica una sola llave — en tu tarjeta, en el escaparate, en tu perfil — y cualquiera puede pagarte a cualquier hora. Cada pago cae bajo una llave nueva que solo tu monedero sabe derivar de la que publicaste, así que la cadena nunca muestra dos pagos llegando al mismo sitio. Un pago a esa llave puede llevar un plazo, de modo que quien envía sabe que el dinero le vuelve si nunca lo cobras. Tu monedero cobra lo que esté esperando la próxima vez que esté en marcha.

Guárdalo en frío

¿Te preocupan los hackers? Imprime tus billetes como códigos QR, mételos en una caja ignífuga y borra la aplicación. Los billetes existen en la blockchain. Las llaves existen en papel. Ningún aparato conectado a internet las guarda. Cuando quieras gastar, escanea el código QR para devolverlo a una aplicación de monedero, cambia la cerradura de inmediato (por si alguien copió el papel mientras estaba guardado) y opera con normalidad.

Cámbialo de monedero

Como los billetes son llaves independientes y no están atados a ninguna frase semilla ni a ninguna cuenta, puedes llevar un billete de una aplicación de monedero a otra cuando quieras. Exporta la llave de una aplicación e impórtala en otra. No hace falta ninguna transacción en la cadena, no se paga ninguna comisión, no hay interacción alguna con la red. Tu billete funciona igual en cualquier monedero compatible con Marigold: elige la aplicación que te guste, cámbiala cuando quieras, tu dinero va contigo.

El hilo común: un billete Marigold es una llave, y una llave se puede imprimir, mandar por mensaje, doblar dentro de un sobre, pegar en la nevera o aprender de memoria. Al sistema le da igual cómo viaja la llave entre las personas, porque el sistema no sabe que las personas existen. Solo conoce llaves y billetes — y por eso cada forma de mover un billete de papel tiene aquí un equivalente digital directo.

Y nada de esto necesita conexión. Bitcoin se puede guardar sin conexión como un código QR, pero no se puede gastar así: pagar con él significa emitir una transacción, así que alguien tiene que estar en línea, y un monedero que nunca está en línea no puede pagar. Un billete Marigold es la llave misma, así que puede pasar de mano en mano sin conexión, exactamente como un billete de papel; la red solo se toca cuando el nuevo dueño decide cambiar la cerradura. No hace falta estar conectado para pagar, ni tener un monedero permanentemente en línea.

en tu teléfonoTu teléfono es un control remoto, no un monedero

Todo lo que puedes hacer desde tu propio teclado lo puedes hacer desde el teléfono, en un chat de Telegram: consultar tu saldo, pagar a alguien, recibir un billete, emitir una solicitud de pago, leer tu historial, ver si tu minero está funcionando. Lo que cambia no es lo que puedes hacer. Es dónde está el dinero — y el dinero no está en el teléfono.

Tu monedero funciona en casa, en lo que sea que quede encendido: una computadora portátil en un cajón, una máquina pequeña junto al router. Se mantiene al día con la cadena, guarda tus billetes y responde a tus mensajes. El teléfono que llevas en el bolsillo no guarda llaves ni almacena billetes. No habla con nada más que con Telegram. Si lo pierdes, has perdido un control remoto.

El bot es tuyo, no nuestro. Lo creas en Telegram en unos dos minutos, le entregas el token a tu monedero y emparejas los dos con un código. A partir de ahí tu monedero responde a esa única cuenta de Telegram e ignora todas las demás. No hay ningún servidor de Marigold en medio, ninguna cuenta con nosotros, ninguna flota de máquinas nuestras de la que tu teléfono dependa. Tu monedero llama hacia fuera, a Telegram; nada llama hacia dentro, y no hay nada que abrir en tu router.

El gasto está protegido como el de una tarjeta bancaria: un PIN antes de cualquier cosa que mueva dinero, un bloqueo tras tres intentos fallidos que solo la máquina de casa puede levantar, y un límite diario que fijas tú. Esa cuenta de Telegram ya puede mover dinero, así que necesita autenticación de dos factores: el bot te lo dice la primera vez que hablas con él.

El mismo chat guarda tu copia de seguridad. En cuanto se lo pides una vez, el monedero publica allí una copia cifrada de sí mismo y la mantiene al día por su cuenta — una copia completa cada semana, los cambios a los pocos minutos de un pago — en silencio, sin notificaciones. Si la máquina de casa muere, reenvías esos mensajes a un monedero nuevo y está todo ahí. La copia está cerrada con tus 24 palabras y con nada más: no con la contraseña del monedero, que tecleas cada día y elegiste para poder recordarla, y que cualquiera con una copia del archivo podría probar con toda calma. Las 24 palabras no se pueden adivinar. Escríbelas cuando el monedero te las muestre — después te pedirá dos de ellas para asegurarse — y una copia de seguridad en el servidor de otro no es más que ruido para todos menos para ti.

Los límites, dichos claramente. Cuando la máquina de casa está apagada, el teléfono no puede hacer absolutamente nada: ni saldo, ni pagos, ni cobros. Un código de pago enviado por un chat es valor al portador mientras está en tránsito, exactamente igual que los códigos QR impresos de antes: quien lo lea primero se lo queda. Y una aplicación de teléfono en condiciones, una que guarde las llaves ella misma, es tarea para más adelante y probablemente para otra gente. Esta es la versión que no te pide confiar en nadie.

Hay una segunda manera de usar el teléfono, sin bot alguno y completamente sin conexión: como un sitio donde guardar billetes en forma de imágenes. Un billete es una llave, y un código QR de esa llave es el dinero mismo, así que un teléfono con unas cuantas de esas imágenes es una cartera con unos cuantos billetes dentro — y entregar uno no necesita cobertura, ni cuenta, ni app, solo una pantalla que la otra persona pueda escanear. Trátalas exactamente como efectivo: cualquiera que vea, copie o escanee una puede quedarse con el billete poniéndole su propia cerradura, así que una captura en un álbum compartido es un billete olvidado sobre una mesa. Marigold no tiene una app de teléfono independiente, y es a propósito. El monedero completo corre en un ordenador que tú controlas, y el teléfono es su control remoto o un bolsillo para billetes.

límites honestosLo que un observador puede y no puede ver

Marigold no es una moneda de privacidad, y este litepaper no va a fingir que lo sea. Esto es exactamente lo que puede averiguar alguien que observe el sistema:

Puede ver: cada billete, cada valor, cada operación, el suministro total y el estado actual completo del sistema. Todo está a plena vista. Nada está cifrado, nunca.

Puede ver: la cadena de operaciones — qué billete se cambió por qué billete nuevo, cuándo hubo divisiones y uniones, los patrones de tiempos. Un analista decidido que estudie los registros públicos puede identificar patrones de comportamiento: pagos rápidos y seguidos, secuencias de dividir y gastar, o el ritmo diario de aceptar y unir de un comercio.

Puede ver: quién creó y canjeó billetes, si consigue vincular una dirección corriente de la blockchain con una identidad del mundo real. Los puntos donde Marigold se conecta con el mundo tradicional de la blockchain son completamente visibles.

No puede ver: ninguna identidad asociada a un pago dentro del sistema. No hay nada que ver, porque ese dato nunca se registró.

Un billete se confunde con todos los demás billetes del mismo valor: un billete de 100 MAGLD se parece a cualquier otro billete de 100 MAGLD y no dice nada más allá de ese grupo. El software de monedero puede difuminar los patrones de comportamiento (variando un poco los tiempos, agrupando operaciones, alternando qué tamaños de billete se usan para las comisiones), pero eso son buenos hábitos, no magia. Marigold no afirma nada más fuerte que eso.

la aritméticaPor qué es dinero honesto

Cada pocos segundos, cada participante verifica una sola regla:

la regla de conservación

Todos los billetes que existen + todas las monedas del lado tradicional = total de monedas minadas hasta hoy.

Si esto no se cumple, algo va mal y la red lo ve de inmediato. El suministro es comprobable en todo momento — no porque confíes en un auditor, no porque confíes en un sistema de pruebas complicado, sino con la clase de aritmética que cualquiera sabe hacer.

Dentro del sistema nunca se crea ni se destruye valor. Pagar una comisión retira un billete del conjunto, pero su valor se acredita al minero y puede volver a crearse como billete nuevo en cualquier momento. La regla de conservación es absoluta y universal.

la cadenaLo bastante rápida para sentirse como efectivo

La regla de liquidación es sencilla: un billete es tuyo cuando tu cambio de cerradura queda confirmado en la red. Eso significa que el tiempo de confirmación es el tiempo de entrega. En Bitcoin, estarías diez minutos de pie en el puesto del mercado. En Ethereum, unos doce segundos. En Marigold, menos de un segundo.

Marigold funciona sobre una blockchain de prueba de trabajo que produce unos 10 bloques por segundo, lo que da confirmaciones por debajo del segundo. La tecnología de base la construyó el proyecto Kaspa: una blockchain rápida, fiable y bien probada. Marigold añade encima el sistema de billetes y su economía, y deja intacta la capa base porque hace su trabajo excepcionalmente bien.

Un apunte sobre la energía. La historia energética de Marigold no es que consuma poco — una cadena de prueba de trabajo atrae tanta minería como valgan sus recompensas, y una Marigold exitosa no será una excepción. La historia es que nada de esa energía compra espera. Una blockchain clásica solo puede aceptar un bloque por ronda; los bloques minados en paralelo se tiran a la basura, así que la red solo se mantiene segura manteniéndose lenta. La cadena sobre la que corre Marigold conserva todos los bloques — los que se encuentran en el mismo instante se entretejen juntos en el libro de cuentas, y todos cuentan — y así el mismo presupuesto de seguridad entrega diez bloques por segundo y liquidación por debajo del segundo en lugar de una cola de diez minutos. Por pago, esa diferencia de eficiencia es enorme. En total, es la misma aritmética honesta que todo lo demás aquí: energía gastada en proporción al valor que se protege.

economíaLa economía de un vistazo

Suministro: 210.000.000 MAGLD, tope fijo. Sin preminado, sin fondo de desarrollo, sin asignación de ningún tipo.
Lanzamiento: lanzamiento justo desde el primer día. Software disponible para todo el mundo por adelantado. Todos empiezan en igualdad de condiciones.
Emisión: suave y gradual — la recompensa de minería se reduce a la mitad cada tres años, sin caídas bruscas. Cerca del 21% se mina en el primer año, y alrededor del 90% para el décimo.
Unidad base: 1 MAGLD = 100.000.000 pétalos.
Billete más pequeño: 0,01 MAGLD, y la comisión es un billete de esos. Si 1 MAGLD llegara a valer más de un dólar aproximadamente, una actualización de la red añade un billete de 0,001 (o menor) y la comisión pasa a ser ese nuevo billete más pequeño; todos los billetes existentes quedan como están.
Coste de pagar: 0,01 MAGLD — una centésima de moneda — por cualquier pago cotidiano, envíes lo que envíes. La comisión es un único billete pequeño que se entrega junto con el pago, así que mover un café y mover un auto cuestan lo mismo. Solo las operaciones inusualmente grandes, que agrupan docenas de billetes a la vez, suben a dos o tres centésimas.
Comisiones: todas las comisiones van a los mineros. No se quema nada, no se desvía nada. Una economía de efectivo — donde cada pago es una transacción en la cadena — produce unos ingresos por comisiones constantes que las cadenas de reserva de valor no pueden igualar.

seguridad al lanzarRuedas de apoyo que se acaban quitando

Una cadena de prueba de trabajo recién nacida tiene poca potencia de minería, y la poca potencia de minería invita a los ataques. Marigold se lanza con una salvaguarda temporal y enteramente pública llamada anclas de finalidad: cinco garantes identificados públicamente co-firman cada cierto tiempo (hacen falta al menos 3 de 5) un bloque reciente y lo vuelven permanente e irreversible. Nadie puede deshacer un bloque anclado.

Los garantes no pueden censurar transacciones, ni crear monedas, ni mover los fondos de nadie, ni producir bloques. Su único poder es impedir que se deshagan transacciones ya completadas. Si se quedan en silencio, la cadena sigue funcionando con normalidad como una red de prueba de trabajo corriente: algo menos protegida, pero plenamente operativa.

La salvaguarda está diseñada para retirarse. Cuando la potencia de minería de la red crezca lo bastante como para que atacarla salga prohibitivamente caro, las anclas pasarán de obligatorias a consultivas y de ahí a caducadas del todo. Antes de que eso ocurra, la elección de los garantes sucesores está pensada para pasar a la gobernanza de quienes tienen billetes — de modo que incluso lo que quede de las ruedas de apoyo pase de los fundadores a la comunidad antes de que se retiren por completo.

En la red de pruebas pública la salvaguarda ya está funcionando: cinco llaves de fideicomisarios, un ancla cada treinta segundos aproximadamente, todos los nodos haciéndola cumplir. Los fideicomisarios de la red de pruebas son llaves desechables hechas para el ensayo; los de verdad se eligen en el lanzamiento.

en una fraseLo que Marigold es — y lo que no

Marigold es efectivo digital. Los billetes son instrumentos al portador. Tener la llave es ser el dueño. Entregar la llave es liquidar el pago. La cadena lo dice todo sobre el valor y calla sobre las personas — exactamente igual que un billete de papel.

Marigold no es una moneda de privacidad. Nada está cifrado. Nada está oculto. La distinción no es un eufemismo: las monedas de privacidad ocultan criptográficamente los datos que registran, y Marigold no registra ningún dato que ocultar. Lo que comparte con el efectivo es concreto y está honestamente delimitado: el sistema lo dice todo sobre el valor por diseño, y calla sobre las personas por diseño.

Marigold es cinco operaciones, una regla de conservación, un estado a plena vista, firmas digitales corrientes, un suministro fijo que todo el mundo comprueba en todo momento, sobre una red lo bastante rápida como para que entregar un billete Marigold se sienta como entregar un billete de papel.

Todo lo que hace puede comprobarlo la gente para la que está hecho.

Descargar el PDF (en inglés)

das problemDigitales Geld hat vergessen, was Bargeld richtig macht

Nimm einen Geldschein aus deiner Brieftasche. Drei Dinge fallen auf:

Wer ihn hat, dem gehört er. Kein Konto, kein Login, kein Vermittler. Besitz ist Eigentum.
Er hat kein Gedächtnis. Der Schein weiß nicht, wer ihn zuletzt ausgegeben hat. Nichts verbindet dich mit dem Kaffee von heute Morgen.
Jeder kann prüfen, ob er echt ist. Gegen das Licht halten, das Papier fühlen. Dafür braucht es kein Fachwissen.

Kein verbreitetes digitales Geld bringt diese drei Eigenschaften zugleich zustande.

Bitcoin liefert die erste und die dritte: Wer die Schlüssel hat, dem gehören die Coins, und jeder kann nachprüfen, dass das System ehrlich ist. Bei der zweiten versagt Bitcoin gründlich. Jeder je geschürfte Bitcoin trägt seine vollständige Geschichte dauerhaft und öffentlich mit sich. Jede Adresse, von der du je gesendet oder auf der du je empfangen hast, hängt in einem Graphen, den jeder auswerten kann. Deine Coins erinnern sich an alles, was du je mit ihnen gemacht hast. Und es gibt eine leisere Lücke: Bitcoin lässt sich offline als QR-Code aufbewahren, aber nicht so bezahlen wie mit einem Geldschein — ihn auszugeben heißt, eine Transaktion zu senden. Marigold ist ausdrücklich so gebaut, dass ein Schein wie Bargeld von Hand zu Hand gehen kann.

Privacy-Coins wie Monero und Zcash versuchen das zu lösen, indem sie die Geschichte verschlüsseln. Das Verstecken gelingt ihnen — aber genau die Kryptografie, die versteckt, schafft zwei neue Probleme. Erstens kann kaum jemand selbst nachprüfen, dass das System ehrlich ist. Du vertraust Fachleuten, die du nie getroffen hast, dass in der Mathematik kein Fehler steckt und keine Hintertür. Zweitens werfen Aufsichtsbehörden einen Blick auf die komplizierte Kryptografie und stufen die Währung entsprechend ein — Delistings, Auflagen und eine feindselige Behandlung folgen nicht daraus, was die Währung tut, sondern daraus, wie sie es tut.

Am Ende hast du die Wahl zwischen Transparenz ohne Privatsphäre und Privatsphäre ohne Vertrauen. Bargeld bot beides, ganz mühelos. Digitales Geld hat irgendwie vergessen, wie das geht.

die einsichtDie Spur nicht verwischen — gar keine hinterlassen

Stell dir vor, du stehst an einem Marktstand. Du gibst dem Händler einen Fünf-Euro-Schein. Der Händler legt ihn in die Kasse. Später am Tag gibt er genau diesen Schein beim Bäcker aus. Der Bäcker gibt ihn als Wechselgeld an den nächsten Kunden weiter.

Jetzt die Frage: Wer kann diesen Schein zu dir zurückverfolgen? Niemand. Nicht, weil sein Weg verschlüsselt oder versteckt gewesen wäre — der Schein lag bei jedem Schritt offen sichtbar da —, sondern weil der Schein selbst nie festgehalten hat, wer ihn wem gereicht hat. Die Verbindung zwischen dir und dem Händler wurde nie aufgeschrieben. Sie bestand nur im Moment der Übergabe und war dann weg.

Das ist der Unterschied zwischen Daten verstecken und Daten gar nicht erst sammeln. Privacy-Coins verstecken. Marigold sammelt nicht.

so funktioniert esScheine statt Konten

Die meisten Kryptowährungen funktionieren wie Bankkonten. Du hast eine Adresse (so etwas wie eine Kontonummer), und Transaktionen schieben Werte zwischen Adressen hin und her. Die Adressen sind öffentlich, und jede Bewegung zwischen ihnen wird für immer festgehalten. Ein Traum für Buchhalter und ein Albtraum für die Privatsphäre.

Marigold funktioniert wie Bargeld. Es gibt keine Konten. Stattdessen verwaltet das System einen Bestand an Scheinen — denk an sie wie an digitale Geldscheine.

Jeder Schein ist ein schlichter öffentlicher Eintrag:

Eine Seriennummer (wie die Seriennummer auf einem Geldschein)
Ein Wert (0,01, 0,1, 1, 10, 100, 1.000, 10.000 oder 100.000 MAGLD)
Ein Schloss (ein öffentlicher Schlüssel — wer den passenden Schlüssel hat, kann den Schein ausgeben)

Das ist alles. Kein Name eines Eigentümers, keine Adresse, keine Identität. Der Schein weiß nicht, wer ihn hat. Er weiß nur, dass es einen Schlüssel gibt, und dass ihn ausgeben kann, wer das Schloss öffnet.

Bezahlen

Jemanden zu bezahlen ist wie einen Schein zu übergeben, nur mit einem Schritt mehr:

Du gibst dem Empfänger den Schlüssel zum Schein (per QR-Code, per Nachricht oder sogar mündlich — so, wie du ein Foto weitergeben würdest).
Der Empfänger tauscht sofort das Schloss aus — er schreibt eine Transaktion, die deinen Schlüssel durch einen ganz neuen ersetzt, den nur er kennt. Das ist in unter einer Sekunde bestätigt.

Sobald der Tausch bestätigt ist, gehört der Schein unwiderruflich ihm. Dein Schlüssel passt nicht mehr. Die Zahlung ist abgeschlossen.

Umgekehrt geht es auch: Wenn der Empfänger dir seinen neuen Schlüssel vorab schicken kann, etwa mit einer Zahlungsaufforderung, tauschst du das Schloss gleich gegen seinen Schlüssel aus. Dein Schlüssel verlässt dein Gerät dann nie.

Der dritte Weg ist für den Fall, dass der Empfänger gerade nicht da ist. Du tauschst das Schloss gegen einen Schlüssel aus, den nur er besitzt, und setzt eine Frist. Bis zur Frist kann nur er den Schein an sich nehmen; ab der Frist kannst nur noch du ihn zurückholen. Er holt ihn ab, wann er will; tut er es nie, gehört das Geld von selbst wieder dir. Die Frist setzt das Netzwerk durch, nicht irgendeine Wallet.

Alle drei Wege enden gleich: Der Schein liegt unter einem Schlüssel, den nur der Empfänger kennt.

Teilen und Zusammenlegen

Scheine gibt es in festen Werten, genau wie beim Bargeld. Wenn du 30 MAGLD zahlen willst und einen 100-MAGLD-Schein hast, teilst du ihn in zehn 10-MAGLD-Scheine. Drei davon gibst du weiter. Sieben behältst du. Wechselgeld — wie beim Bargeld.

Andersherum lassen sich zehn 10-MAGLD-Scheine zu einem 100-MAGLD-Schein zusammenlegen. Die Werte gehen in Zehnerschritten, deshalb ist jeder Betrag mit einer kleinen Handvoll Scheine zahlbar.

Was das System aufzeichnet

Jede Operation — erzeugen, Schloss austauschen, teilen, zusammenlegen, einlösen — ist öffentlich und offen sichtbar. Was niemand sieht, ist, wer es war, denn das System kennt kein „Wer“. Es gibt kein Absenderfeld. Kein Empfängerfeld. Kein Adressbuch. Kein Konto.

Das System hält fest, dass ein Schein den Besitzer gewechselt hat. Wer die Besitzer sind, hält es nicht fest. Ein Schein mit Frist zeigt außerdem seine Bedingungen — die Frist und den Schlüssel, zu dem er zurückgeht — solange die Frist läuft.

in der praxisMarigold im Alltag

Weil ein Marigold-Schein nichts weiter ist als ein Schlüssel, ist der Umgang damit im Alltag so einfach wie der mit Bargeld. So geht es:

Ausdrucken und ausgeben

Jeder Schein in deiner Wallet-App lässt sich als QR-Code anzeigen. Du kannst diesen QR-Code auf ein Blatt Papier drucken, es zusammenfalten und in deine Brieftasche stecken — direkt neben die Kreditkarten und den Führerschein. Dieses Stück Papier ist das Geld. Zeig es jemandem, er scannt es, tauscht das Schloss aus, und der Schein gehört ihm. Dein Schlüssel passt nicht mehr. Das Papier in deiner Tasche ist jetzt wertlos — der Wert ist zu ihm gewandert.

Das ist kein Bild. Im gedruckten QR-Code steckt der echte Schlüssel. Ihn zu verlieren ist, als würdest du einen Hundert-Euro-Schein verlieren: Wer ihn findet, kann ihn ausgeben. Ihn sicher zu verwahren ist dieselbe Verantwortung wie bei Bargeld. Es gibt keine Hotline, keinen Knopf „als gestohlen melden“, keine Bank, die die Zahlung zurückholt. Genau das heißt Inhaberpapier, und darum geht es hier.

Verschenken

Eine Geburtstagskarte mit einem gedruckten QR-Code darin ist nicht zu unterscheiden von einer Geburtstagskarte mit einem Fünfzig-Euro-Schein darin. Der Beschenkte scannt ihn, tauscht sofort das Schloss aus, und der Schein gehört unwiderruflich ihm. Kein Konto einrichten, keine Wartezeit. Er macht den Umschlag auf und hat das Geld in der Hand.

Vererben

Ein versiegelter Umschlag im Bankschließfach, mit gedruckten QR-Codes für mehrere Scheine, wirkt genau wie ein Umschlag voll Bargeld. Wer ihn öffnet, hat die Schlüssel. Wer die Schlüssel hat, hat die Scheine. Es braucht keinen Testamentsvollstrecker, kein Nachlassgericht, keine Erlaubnis von dritter Seite, damit der Wert übergeht — wobei, wie bei Bargeld, die rechtliche Seite des Erbens eine eigene Sache ist, die das System nicht regelt und nicht regeln kann. Das System garantiert nur eines: Wer den Schlüssel hat, hat den Schein.

Am Marktstand bezahlen

Du kaufst Tomaten. Der Händler zeigt einen QR-Code — seine Zahlungsaufforderung. Du scannst ihn mit deiner Wallet-App, wählst den Schein aus, mit dem du zahlen willst, und dein Handy tauscht das Schloss direkt gegen den Schlüssel des Händlers aus. Keine Sekunde später gehört der Schein ihm. Du steckst die Tomaten ein. Der Händler hat deinen Namen nie gesehen, deine Adresse nicht und dein Konto auch nicht. Du hast von ihm genauso wenig gesehen. Die Zahlung ist erledigt, endgültig und vergessen — wie beim Bargeld.

Bezahlt werden, während du weg bist

Veröffentliche einen einzigen Schlüssel — auf deiner Visitenkarte, im Schaufenster, in deinem Profil — und jeder kann dich zu jeder Stunde bezahlen. Jede Zahlung landet unter einem frischen Schlüssel, den nur deine Wallet aus dem veröffentlichten ableiten kann; die Kette zeigt also nie zwei Zahlungen, die am selben Ort ankommen. Eine Zahlung dorthin kann eine Frist tragen, sodass der Absender weiß, dass das Geld zu ihm zurückkommt, falls du es nie abholst. Deine Wallet holt ab, was wartet, sobald sie das nächste Mal läuft.

Kalt lagern

Angst vor Hackern? Druck deine Scheine als QR-Codes aus, leg sie in eine feuerfeste Kassette und lösch die App. Die Scheine liegen in der Blockchain. Die Schlüssel liegen auf Papier. Kein Gerät mit Internetanschluss hat sie. Wenn du zahlen willst, scannst du den QR-Code zurück in eine Wallet-App, tauschst sofort das Schloss aus (falls jemand das Papier während der Lagerung abfotografiert hat) und zahlst ganz normal.

Zwischen Wallets umziehen

Weil Scheine eigenständige Schlüssel sind und an keine Seed-Phrase und kein Konto gebunden, kannst du einen Schein jederzeit von einer Wallet-App in eine andere holen. Schlüssel in der einen App exportieren, in der anderen importieren. Keine Transaktion auf der Chain, keine Gebühr, überhaupt kein Kontakt mit dem Netzwerk. Dein Schein funktioniert in jeder Wallet gleich, die Marigold unterstützt — nimm die App, die dir gefällt, wechsle, wann du willst, dein Geld kommt mit.

Der rote Faden: Ein Marigold-Schein ist ein Schlüssel, und ein Schlüssel lässt sich drucken, verschicken, in einen Umschlag falten, an den Kühlschrank heften oder auswendig lernen. Dem System ist egal, wie der Schlüssel von Mensch zu Mensch kommt, denn das System weiß nicht, dass es Menschen gibt. Es kennt nur Schlüssel und Scheine — und deshalb hat jeder Weg, auf dem man eine Banknote weitergeben kann, hier eine direkte digitale Entsprechung.

Und nichts davon braucht eine Verbindung. Bitcoin lässt sich offline als QR-Code aufbewahren, aber nicht so ausgeben: Damit zu bezahlen heißt, eine Transaktion zu senden, also muss jemand online sein, und eine Wallet, die nie online ist, kann nicht bezahlen. Ein Marigold-Schein ist der Schlüssel selbst, also kann er offline von Hand zu Hand gehen, genau wie ein Geldschein; das Netz wird erst berührt, wenn der neue Besitzer das Schloss austauscht. Zum Bezahlen musst du nicht verbunden sein, und du brauchst keine Wallet, die ständig online ist.

auf dem handyDein Handy ist eine Fernbedienung, keine Geldbörse

Alles, was du an deiner eigenen Tastatur tun kannst, geht auch vom Handy aus, in einem Telegram-Chat: Guthaben abfragen, jemanden bezahlen, einen Schein annehmen, eine Zahlungsaufforderung stellen, deinen Verlauf lesen, nachsehen, ob dein Miner läuft. Was sich ändert, ist nicht, was du tun kannst. Es ist, wo das Geld liegt — und das Geld liegt nicht auf dem Handy.

Deine Wallet läuft zu Hause, auf dem, was ohnehin an bleibt: ein Laptop in der Schublade, ein kleiner Rechner neben dem Router. Sie hält sich mit der Chain auf Stand, sie verwahrt deine Scheine, und sie beantwortet deine Nachrichten. Das Handy in deiner Tasche hat keine Schlüssel und speichert keine Scheine. Es redet mit nichts außer Telegram. Verlierst du es, hast du eine Fernbedienung verloren.

Der Bot gehört dir, nicht uns. Du legst ihn in Telegram in etwa zwei Minuten an, gibst deiner Wallet das Token und verbindest beide mit einem Code. Von da an antwortet deine Wallet genau diesem einen Telegram-Konto und ignoriert jedes andere. Kein Marigold-Server dazwischen, kein Konto bei uns, keine Maschinenflotte von uns, auf die dein Handy angewiesen wäre. Deine Wallet ruft bei Telegram an; bei ihr ruft niemand an, und an deinem Router musst du nichts öffnen.

Das Ausgeben ist abgesichert wie bei einer Bankkarte: eine PIN vor allem, was Geld bewegt, eine Sperre nach drei Fehlversuchen, die nur der Rechner zu Hause aufheben kann, und ein Tageslimit, das du selbst festlegst. Dieses Telegram-Konto kann jetzt Geld bewegen, also braucht es Zwei-Faktor-Authentifizierung — der Bot sagt dir das beim ersten Mal, wenn du mit ihm sprichst.

Derselbe Chat bewahrt auch dein Backup auf. Sobald du es einmal verlangst, legt die Wallet dort eine verschlüsselte Kopie von sich selbst ab und hält sie von allein aktuell — jede Woche eine vollständige Kopie, die Änderungen innerhalb weniger Minuten nach einer Zahlung — still, ohne Benachrichtigung. Stirbt der Rechner zu Hause, leitest du diese Nachrichten an eine frische Wallet zurück, und alles ist wieder da. Die Kopie ist mit deinen 24 Wörtern verschlossen und mit nichts sonst: nicht mit deinem Wallet-Passwort, das du jeden Tag tippst und das du dir merken können wolltest — und das jeder, der eine Kopie der Datei hat, in aller Ruhe durchprobieren könnte. Die 24 Wörter lassen sich nicht erraten. Schreib sie auf, wenn die Wallet sie dir zeigt — sie fragt dich anschließend nach zweien davon, um sicherzugehen —, und ein Backup auf einem fremden Server ist für alle außer dir nur Rauschen.

Die Grenzen, ganz offen. Wenn der Rechner zu Hause aus ist, kann das Handy gar nichts: kein Guthaben, kein Bezahlen, kein Annehmen. Ein Zahlungscode, der durch einen Chat geht, ist unterwegs ein Inhaberpapier, genau wie die gedruckten QR-Codes weiter oben — wer ihn zuerst liest, kann ihn einlösen. Und eine richtige Handy-App, die selbst Schlüssel verwahrt, ist eine Aufgabe für später und wahrscheinlich für jemand anderen. Das hier ist die Version, die von dir verlangt, niemandem zu vertrauen.

Es gibt noch eine zweite Art, das Handy zu nutzen, ganz ohne Bot und komplett offline: als Ort, an dem Scheine als Bilder liegen. Ein Schein ist ein Schlüssel, und ein QR-Code dieses Schlüssels ist das Geld selbst; ein Handy mit ein paar solcher Bilder ist eine Geldbörse mit ein paar Scheinen darin — und einen davon weiterzugeben braucht kein Netz, kein Konto und keine App, nur einen Bildschirm, den der andere abscannen kann. Behandle sie genau wie Bargeld: Wer eines sieht, kopiert oder scannt, kann den Schein an sich nehmen, indem er sein eigenes Schloss davorhängt — ein Screenshot in einem geteilten Album ist ein Geldschein, der auf dem Tisch liegen bleibt. Marigold hat mit Absicht keine eigene Handy-App. Die vollständige Wallet läuft auf einem Rechner, den du kontrollierst, und das Handy ist entweder ihre Fernbedienung oder eine Tasche für Scheine.

ehrliche grenzenWas ein Beobachter sehen kann — und was nicht

Marigold ist kein Privacy-Coin, und dieses Litepaper tut auch nicht so. Hier steht genau, was jemand herausfinden kann, der das System beobachtet:

Sichtbar ist: Jeder Schein, jeder Wert, jede Operation, die Gesamtmenge und der vollständige aktuelle Zustand des Systems. Alles liegt offen da. Nichts ist verschlüsselt, zu keinem Zeitpunkt.

Sichtbar ist: Die Kette der Operationen — welcher Schein zu welchem neuen Schein wurde, wann geteilt und zusammengelegt wurde, zeitliche Muster. Wer die öffentlichen Aufzeichnungen hartnäckig genug durchgeht, erkennt Verhaltensmuster: schnelle Zahlungen hintereinander, erst teilen und dann ausgeben, oder den täglichen Rhythmus eines Händlers aus Annehmen und Zusammenlegen.

Sichtbar ist: Wer Scheine erzeugt und eingelöst hat — vorausgesetzt, es gelingt, eine gewöhnliche Blockchain-Adresse einer echten Person zuzuordnen. Die Stellen, an denen Marigold an die herkömmliche Blockchain-Welt andockt, liegen vollständig offen.

Nicht sichtbar ist: Irgendeine Identität hinter einer Zahlung innerhalb des Systems. Da ist nichts zu sehen, weil die Daten nie aufgezeichnet wurden.

Ein Schein geht in allen anderen Scheinen desselben Werts auf — ein 100-MAGLD-Schein sieht aus wie jeder andere 100-MAGLD-Schein, und weiter als bis zu dieser Gruppe reicht die Anonymität nicht. Wallet-Software kann Verhaltensmuster verwischen: Zeitpunkte leicht streuen, Operationen bündeln, unterschiedliche Scheingrößen für Gebühren nehmen. Aber das sind gute Gewohnheiten, keine Zauberei. Mehr behauptet Marigold nicht.

die rechnungWarum es ehrliches Geld ist

Alle paar Sekunden prüft jeder Teilnehmer eine einzige Regel:

die erhaltungsregel

Alle vorhandenen Scheine + alle Coins auf der herkömmlichen Seite = alle je geschürften Coins.

Stimmt das nicht, ist etwas faul, und das Netzwerk sieht es sofort. Die Geldmenge ist in jedem Augenblick nachprüfbar — nicht, weil man einem Prüfer glaubt, nicht, weil man einem komplizierten Beweissystem glaubt, sondern mit der Sorte Rechnen, die jeder beherrscht.

Innerhalb des Systems entsteht nie Wert und geht nie Wert verloren. Eine Gebühr zu zahlen nimmt einen Schein aus dem Bestand, aber sein Wert wird dem Miner gutgeschrieben und kann jederzeit wieder als neuer Schein erzeugt werden. Die Erhaltungsregel gilt absolut und ausnahmslos.

die chainSchnell genug, um sich wie Bargeld anzufühlen

Die Regel für den Abschluss ist einfach: Ein Schein gehört dir, sobald dein Schlosstausch im Netzwerk bestätigt ist. Das heißt: Bestätigungszeit ist Übergabezeit. Bei Bitcoin ständest du zehn Minuten am Marktstand. Bei Ethereum etwa zwölf Sekunden. Bei Marigold unter einer Sekunde.

Marigold läuft auf einer Proof-of-Work-Blockchain, die ungefähr 10 Blöcke pro Sekunde erzeugt und damit in unter einer Sekunde bestätigt. Die Technik darunter stammt vom Kaspa-Projekt — eine schnelle, zuverlässige, gut erprobte Blockchain. Marigold setzt das Scheinsystem und seine Ökonomie obendrauf und lässt die Basisschicht unangetastet, weil sie ihre Arbeit außergewöhnlich gut macht.

Ein Wort zum Energieverbrauch. Marigold verbraucht nicht wenig Energie, und das behauptet hier auch niemand — eine Proof-of-Work-Chain zieht so viel Mining an, wie ihre Belohnungen wert sind, und ein erfolgreiches Marigold wird da keine Ausnahme sein. Der Punkt ist ein anderer: Nichts davon wird fürs Warten ausgegeben. Eine klassische Blockchain kann pro Runde nur einen Block annehmen; parallel geschürfte Blöcke landen im Müll, und das Netzwerk bleibt nur sicher, indem es langsam bleibt. Die Chain, auf der Marigold läuft, behält jeden Block — Blöcke, die im selben Moment gefunden werden, werden gemeinsam ins Hauptbuch eingewoben und zählen alle —, und deshalb liefert derselbe Sicherheitsaufwand zehn Blöcke pro Sekunde und einen Abschluss in unter einer Sekunde statt einer Warteschlange von zehn Minuten. Pro Zahlung ist das ein gewaltiger Unterschied in der Effizienz. Insgesamt ist es dieselbe ehrliche Rechnung wie alles andere hier: Energie im Verhältnis zu dem Wert, den sie schützt.

ökonomieDie Ökonomie auf einen Blick

Menge: 210.000.000 MAGLD, harte Obergrenze. Nichts vorab geschürft, kein Entwicklerfonds, keine Zuteilung irgendeiner Art.
Start: Fairer Start ab Tag eins. Die Software steht vorab allen zur Verfügung. Alle fangen unter gleichen Bedingungen an.
Ausgabe: Gleichmäßig und allmählich — die Mining-Belohnung halbiert sich alle drei Jahre, ohne plötzliche Einbrüche. Etwa 21 % werden im ersten Jahr geschürft, rund 90 % bis zum zehnten.
Kleinste Einheit: 1 MAGLD = 100.000.000 Blütenblätter.
Kleinster Schein: 0,01 MAGLD, und die Gebühr ist ein solcher Schein. Sollte 1 MAGLD einmal mehr als etwa einen Dollar wert sein, kommt per Netzwerk-Upgrade ein 0,001-Schein (oder ein kleinerer) hinzu, und die Gebühr wird dieser neue kleinste Schein; jeder bestehende Schein bleibt, wie er ist.
Was eine Zahlung kostet: 0,01 MAGLD — ein Hundertstel Coin — für jede alltägliche Zahlung, egal wie viel du schickst. Die Gebühr ist ein einzelner kleiner Schein, den du mit der Zahlung übergibst, deshalb kostet ein Kaffee dasselbe wie ein Auto. Nur ungewöhnlich große Operationen, die Dutzende Scheine auf einmal bündeln, steigen auf zwei oder drei Hundertstel.
Gebühren: Alle Gebühren gehen an die Miner. Nichts wird verbrannt, nichts umgeleitet. Eine Bargeldwirtschaft — in der jede Zahlung eine Transaktion auf der Chain ist — bringt stetige Gebühreneinnahmen, mit denen Chains als reiner Wertspeicher nicht mithalten können.

sicherheit zum startStützräder, die wieder abkommen

Eine neue Proof-of-Work-Chain hat wenig Rechenleistung hinter sich, und wenig Rechenleistung lädt zu Angriffen ein. Marigold startet mit einer befristeten, vollständig offengelegten Absicherung namens Finalitätsanker: Fünf öffentlich benannte Treuhänder unterschreiben in regelmäßigen Abständen gemeinsam einen jungen Block — mindestens 3 von 5 müssen mitmachen — und machen ihn damit endgültig und unumkehrbar. Einen verankerten Block kann niemand mehr rückgängig machen.

Die Treuhänder können keine Transaktionen zensieren, keine Coins erzeugen, niemandes Geld bewegen und keine Blöcke produzieren. Ihre einzige Macht ist, das Rückgängigmachen abgeschlossener Transaktionen zu verhindern. Wenn sie verstummen, läuft die Chain ganz normal als gewöhnliches Proof-of-Work-Netzwerk weiter — etwas weniger geschützt, aber voll funktionsfähig.

Die Absicherung ist darauf angelegt, wieder zu verschwinden. Sobald die Rechenleistung im Netzwerk stark genug ist, dass Angriffe unbezahlbar werden, werden die Anker von verbindlich zu empfehlend und treten am Ende ganz außer Kraft. Vorher soll die Auswahl der nachfolgenden Treuhänder an die Mitbestimmung der Scheininhaber übergehen — selbst der Rest der Stützräder wechselt also von den Gründern zur Gemeinschaft, bevor sie ganz abgenommen werden.

Im öffentlichen Testnetz läuft die Absicherung jetzt: fünf Treuhänder-Schlüssel, etwa alle dreißig Sekunden ein Anker, jeder Knoten setzt ihn durch. Die Testnetz-Treuhänder sind Wegwerfschlüssel für die Probe; die echten werden zum Start bestimmt.

in einem satzWas Marigold ist — und was nicht

Marigold ist digitales Bargeld. Scheine sind Inhaberpapiere. Wer den Schlüssel hat, dem gehört der Schein. Wer den Schlüssel weitergibt, hat bezahlt. Die Chain führt lückenlos Buch über Werte und schweigt über Menschen — genau wie ein Geldschein.

Marigold ist kein Privacy-Coin. Nichts ist verschlüsselt. Nichts ist versteckt. Der Unterschied ist keine Beschönigung: Privacy-Coins verbergen aufgezeichnete Daten mit Kryptografie, und Marigold zeichnet keine Daten auf, die man verbergen müsste. Was es mit Bargeld teilt, ist genau benannt und ehrlich begrenzt — das System führt von Grund auf lückenlos Buch über Werte und schweigt von Grund auf über Menschen.

Marigold ist fünf Operationen, eine Erhaltungsregel, ein offen sichtbarer Zustand, gewöhnliche digitale Signaturen, eine feste Geldmenge, die jeder jederzeit nachrechnet, auf einem Netzwerk, das schnell genug ist, damit sich das Weitergeben eines Scheins anfühlt wie das Weitergeben einer Banknote.

Alles, was es tut, können die Leute nachprüfen, für die es gemacht ist.

Das PDF herunterladen (englisch)

le problèmeLa monnaie numérique a oublié ce que l’argent liquide faisait bien

Sortez un billet de votre portefeuille. Remarquez trois choses :

Celui qui le détient le possède. Pas de compte, pas d’identifiant, pas d’intermédiaire. La possession vaut propriété.
Il n’a aucune mémoire. Le billet ne se souvient pas de qui l’a dépensé en dernier. Aucune trace ne vous relie au café que vous avez acheté ce matin.
N’importe qui peut vérifier qu’il est authentique. On le regarde à la lumière, on tâte le papier. Aucune expertise particulière.

Aucune monnaie numérique grand public ne réunit ces trois propriétés à la fois.

Bitcoin vous offre la première et la troisième : détenir vos clés, c’est posséder vos pièces, et n’importe qui peut vérifier que le système est honnête. Mais il échoue lourdement sur la deuxième. Chaque bitcoin jamais miné traîne son historique complet, en permanence et en public. Chaque adresse depuis laquelle vous avez envoyé ou reçu se retrouve cousue à toutes les autres dans un graphe que n’importe qui peut analyser. Vos pièces se souviennent de tout ce que vous avez fait avec elles. Il y a aussi une lacune plus discrète : le bitcoin peut être conservé hors ligne sous forme de code QR, mais il ne permet pas de payer comme le fait un billet hors ligne — le dépenser, c’est diffuser une transaction. Marigold est conçu précisément pour qu’un billet puisse passer de main en main comme des espèces.

Les cryptomonnaies anonymes comme Monero et Zcash tentent d’y remédier en chiffrant l’historique. Elles réussissent à cacher — mais la cryptographie même qui permet de cacher crée deux problèmes nouveaux. D’abord, presque personne n’est en mesure de vérifier par soi-même que le système est honnête. Vous faites confiance à des experts que vous n’avez jamais rencontrés pour vous assurer que les mathématiques ne contiennent ni faille ni porte dérobée. Ensuite, les régulateurs jettent un coup d’œil à cette cryptographie complexe et classent la monnaie en conséquence : retraits de cotation, restrictions et traitement hostile découlent non pas de ce que fait la monnaie, mais de la façon dont elle le fait.

Résultat : un paysage où il faut choisir entre la transparence sans vie privée et la vie privée sans confiance. L’argent liquide offrait les deux, sans effort. La monnaie numérique a fini par oublier comment.

l'idéeNe pas cacher la trace — ne pas en laisser

Imaginez-vous devant un étal de marché. Vous tendez un billet de cinq dollars au marchand. Le marchand le met dans sa caisse. Plus tard dans la journée, il dépense ce même billet à la boulangerie. La boulangerie le rend en monnaie au client suivant.

Posez-vous la question : qui peut remonter de ce billet jusqu’à vous ? Personne. Non pas parce que le trajet du billet était chiffré ou dissimulé — le billet est resté visible de tous à chaque étape — mais parce que le billet lui-même n’a jamais enregistré qui le remettait à qui. Le lien entre vous et le marchand n’a jamais été écrit nulle part. Il a existé le temps de la remise, puis il a disparu.

Voilà toute la différence entre cacher une information et ne jamais la recueillir. Les cryptomonnaies anonymes cachent. Marigold ne recueille rien.

comment ça marcheDes billets, pas des comptes

La plupart des cryptomonnaies fonctionnent comme des comptes bancaires. Vous avez une adresse (l’équivalent d’un numéro de compte) et les transactions déplacent de la valeur d’une adresse à l’autre. Les adresses sont publiques et chaque mouvement entre elles est enregistré pour toujours. Un rêve de comptable, un cauchemar pour la vie privée.

Marigold fonctionne comme l’argent liquide. Il n’y a pas de comptes. Le système tient à la place un ensemble de billets — voyez-les comme des billets de banque numériques.

Chaque billet est un enregistrement public tout simple :

Un numéro de série (comme celui imprimé sur un billet de banque)
Une valeur (0,01, 0,1, 1, 10, 100, 1 000, 10 000 ou 100 000 MAGLD)
Une serrure (une clé publique — qui détient la clé correspondante peut le dépenser)

C’est tout. Pas de nom de propriétaire, pas d’adresse, pas d’identité. Le billet ne sait pas qui le détient. Il sait seulement qu’une clé existe et que celui qui parvient à l’ouvrir peut le dépenser.

Payer quelqu’un

Payer quelqu’un, c’est comme tendre un billet, avec une étape en plus :

Vous donnez au destinataire la clé du billet (par QR code, par SMS, ou même à l’oral — comme vous partageriez une photo).
Le destinataire change aussitôt la serrure — il inscrit une transaction qui remplace votre clé par une clé toute neuve que lui seul connaît. C’est confirmé en moins d’une seconde.

Une fois ce changement confirmé, le billet lui appartient irrévocablement. Vous ne détenez plus de clé qui fonctionne. Le règlement est terminé.

Autre possibilité : si le destinataire peut vous transmettre sa nouvelle clé à l’avance (par une demande de paiement, par exemple), vous changez la serrure directement pour la sienne. Votre clé ne circule nulle part.

La troisième manière sert à payer quelqu’un qui n’est pas là. Vous changez la serrure pour une clé que lui seul détient, et vous y mettez une échéance. Jusqu’à l’échéance, lui seul peut prendre le billet ; à partir de l’échéance, vous seul pouvez le reprendre. Il l’encaisse quand il veut ; s’il ne le fait jamais, l’argent redevient le vôtre de lui-même. L’échéance est imposée par le réseau, pas par le portefeuille de qui que ce soit.

Les trois manières finissent de la même façon : le billet est sous une clé que seul le destinataire connaît.

Diviser et fusionner

Les billets existent en valeurs fixes, exactement comme les espèces. Si vous devez payer 30 MAGLD et que vous détenez un billet de 100 MAGLD, vous le divisez en dix billets de 10 MAGLD. Vous en tendez trois. Vous en gardez sept. Faire la monnaie — comme avec l’argent liquide.

Dans l’autre sens, dix billets de 10 MAGLD peuvent être fusionnés en un seul billet de 100 MAGLD. Les valeurs vont de dix en dix, si bien que n’importe quel montant se paie avec une petite poignée de billets.

Ce que le système enregistre

Toute opération — créer un billet, changer une serrure, diviser, fusionner, encaisser — est publique et visible de tous. Ce que personne ne peut voir, c’est qui l’a faite, parce que le système n’a aucune notion de « qui ». Pas de champ expéditeur. Pas de champ destinataire. Pas de carnet d’adresses. Pas de compte.

Le système enregistre qu’un billet a changé de mains. Il n’enregistre pas de quelles mains. Un billet sous échéance montre aussi ses conditions — l’échéance, et la clé vers laquelle il revient — tant que l’échéance court.

en pratiqueMarigold dans la vie de tous les jours

Parce qu’un billet Marigold n’est rien d’autre qu’une clé, s’en servir dans la vie réelle est aussi simple que de se servir d’argent liquide. Voici comment :

Imprimez-le, dépensez-le

Chaque billet de votre application de portefeuille peut s’afficher sous forme de QR code. Vous pouvez imprimer ce QR code sur une feuille de papier, la plier et la glisser dans votre portefeuille en cuir — juste à côté de vos cartes bancaires et de votre permis de conduire. Ce bout de papier est l’argent. Montrez-le à quelqu’un : il le scanne, change la serrure, et le billet est à lui. Vous ne détenez plus de clé qui fonctionne. Le papier que vous avez en poche ne vaut plus rien — la valeur est passée entre ses mains.

Ce n’est pas une métaphore. Le QR code imprimé contient la clé elle-même. Le perdre, c’est comme perdre un billet de cent dollars : celui qui le trouve peut le dépenser. Le garder en sécurité est exactement la même responsabilité que garder de l’argent liquide en sécurité. Il n’y a pas de numéro d’assistance, pas de bouton « signaler un vol », pas de banque pour annuler la transaction. C’est cela, être au porteur, et c’est tout l’intérêt.

Offrez-le

Une carte d’anniversaire avec un QR code imprimé à l’intérieur ne se distingue en rien d’une carte d’anniversaire contenant un billet de cinquante dollars. Le destinataire le scanne, change aussitôt la serrure, et le billet est irrévocablement à lui. Aucun compte à ouvrir, aucun délai d’attente. Il ouvre l’enveloppe, il a l’argent en main.

Laissez un héritage

Une enveloppe scellée dans un coffre, contenant les QR codes imprimés de plusieurs billets, fonctionne exactement comme une enveloppe de billets de banque. Qui l’ouvre détient les clés. Qui détient les clés détient les billets. Aucun exécuteur testamentaire, aucun tribunal des successions, aucune autorisation d’un tiers n’est nécessaire pour que la valeur change de main — même si, comme avec l’argent liquide, les dispositions juridiques de la succession sont une tout autre affaire, que le système ne règle pas et ne peut pas régler. Le système garantit une seule chose : détenir la clé, c’est détenir le billet.

Payez sur un marché

Vous achetez des tomates. Le marchand affiche un QR code : sa demande de paiement. Vous le scannez avec votre application de portefeuille, vous choisissez le billet avec lequel vous voulez payer, et votre téléphone change la serrure directement pour la clé du marchand. Moins d’une seconde plus tard, le billet est à lui. Vous empochez vos tomates. Le marchand n’a jamais vu votre nom, votre adresse ni votre compte. Vous n’avez jamais vu les siens. La transaction est réglée, définitive et oubliable — comme avec de l’argent liquide.

Être payé en votre absence

Publiez une seule clé — sur votre carte de visite, dans votre vitrine, sur votre profil — et n’importe qui peut vous payer à toute heure. Chaque paiement arrive sous une clé neuve que seul votre portefeuille sait déduire de celle que vous avez publiée ; la chaîne ne montre donc jamais deux paiements arrivant au même endroit. Un paiement vers cette clé peut porter une échéance, de sorte que l’expéditeur sait que l’argent lui revient si vous ne l’encaissez jamais. Votre portefeuille encaisse ce qui l’attend la prochaine fois qu’il tourne.

Rangez-le hors ligne

Les pirates vous inquiètent ? Imprimez vos billets sous forme de QR codes, rangez-les dans une boîte ignifugée et supprimez l’application. Les billets existent sur la blockchain. Les clés existent sur papier. Aucun appareil connecté à Internet ne les détient. Le jour où vous voulez dépenser, rescannez le QR code dans une application de portefeuille, changez aussitôt la serrure (au cas où quelqu’un aurait copié le papier pendant qu’il dormait là) et payez normalement.

Changez de portefeuille

Comme les billets sont des clés indépendantes, qui ne dépendent d’aucune phrase de récupération ni d’aucun compte, vous pouvez déplacer un billet d’une application de portefeuille à une autre quand bon vous semble. Exportez la clé d’une application, importez-la dans une autre. Aucune transaction sur la chaîne, aucun frais, aucune interaction avec le réseau. Votre billet fonctionne de la même façon dans tous les portefeuilles compatibles avec Marigold — choisissez l’application qui vous plaît, changez quand vous voulez, votre argent vous suit.

Le fil conducteur : un billet Marigold est une clé, et une clé peut s’imprimer, s’envoyer par SMS, se plier dans une enveloppe, s’aimanter sur un frigo ou s’apprendre par cœur. Le système se moque de la façon dont la clé passe d’une personne à l’autre, parce qu’il ignore que les personnes existent. Il ne connaît que des clés et des billets — et c’est pourquoi chaque manière de faire circuler un billet de banque a ici un équivalent numérique direct.

Et rien de tout cela n’exige de connexion. Le bitcoin peut être conservé hors ligne sous forme de code QR, mais pas dépensé ainsi : payer avec, c’est diffuser une transaction, donc quelqu’un doit être en ligne, et un portefeuille qui ne l’est jamais ne peut pas payer. Un billet Marigold est la clé elle-même : il peut passer de main en main hors ligne, exactement comme un billet de banque ; le réseau n’est touché que lorsque le nouveau détenteur décide de changer la serrure. Pas besoin d’être connecté pour payer, ni d’un portefeuille en ligne en permanence.

sur votre téléphoneVotre téléphone est une télécommande, pas un portefeuille

Tout ce que vous faites à votre clavier, vous pouvez le faire depuis votre téléphone, dans une conversation Telegram : consulter votre solde, payer quelqu’un, recevoir un billet, émettre une demande de paiement, relire votre historique, vérifier que votre mineur tourne. Ce qui change, ce n’est pas ce que vous pouvez faire. C’est l’endroit où se trouve l’argent — et l’argent n’est pas sur le téléphone.

Votre portefeuille tourne chez vous, sur ce qui reste allumé : un ordinateur portable au fond d’un tiroir, une petite machine posée à côté du routeur. Il se tient à jour avec la chaîne, il garde vos billets et il répond à vos messages. Le téléphone dans votre poche ne contient aucune clé et ne stocke aucun billet. Il ne parle à rien d’autre qu’à Telegram. Perdez-le : vous avez perdu une télécommande.

Le bot est le vôtre, pas le nôtre. Vous le créez dans Telegram en deux minutes environ, vous confiez le jeton à votre portefeuille, et vous appariez les deux avec un code. À partir de là, votre portefeuille répond à ce seul compte Telegram et ignore tous les autres. Aucun serveur Marigold au milieu, aucun compte chez nous, aucun parc de machines que nous ferions tourner et dont votre téléphone dépendrait. Votre portefeuille appelle Telegram ; rien ne l’appelle, et il n’y a aucun port à ouvrir sur votre routeur.

Les dépenses sont protégées comme celles d’une carte bancaire : un code avant toute opération qui déplace de l’argent, un blocage après trois erreurs que seule la machine restée chez vous peut lever, et un plafond quotidien que vous fixez vous-même. Ce compte Telegram peut désormais déplacer de l’argent : il lui faut donc une authentification à deux facteurs — le bot vous le dit dès votre premier échange avec lui.

Le même fil de discussion garde votre sauvegarde. Dès que vous le lui demandez une fois, le portefeuille y dépose une copie chiffrée de lui-même et la tient à jour tout seul — une copie complète chaque semaine, les changements quelques minutes après un paiement — en silence, sans notification. Si la machine à la maison meurt, vous transférez ces messages à un portefeuille neuf et tout est là. La copie est verrouillée par vos 24 mots et par rien d’autre : pas par le mot de passe du portefeuille, que vous tapez chaque jour et que vous avez choisi pour pouvoir le retenir, et que quiconque détient une copie du fichier pourrait essayer à loisir. Les 24 mots, eux, ne se devinent pas. Notez-les quand le portefeuille vous les montre — il vous en redemandera deux pour s’en assurer — et une sauvegarde sur le serveur de quelqu’un d’autre n’est que du bruit pour tout le monde sauf vous.

Les limites, sans détour. Quand la machine restée chez vous est éteinte, le téléphone ne peut plus rien faire : pas de solde, pas de paiement, pas de réception. Un code de paiement envoyé dans une conversation est une valeur au porteur tant qu’il circule, exactement comme les QR codes imprimés plus haut — le premier qui le lit peut se l’approprier. Quant à une vraie application mobile, qui détiendrait elle-même les clés, c’est un chantier pour plus tard, et sans doute pour quelqu’un d’autre. Ceci est la version qui ne vous demande de faire confiance à personne.

Il y a une seconde façon d’utiliser le téléphone, sans aucun bot et entièrement hors ligne : comme un endroit où garder des billets sous forme d’images. Un billet est une clé, et le code QR de cette clé est l’argent lui-même ; un téléphone qui contient quelques images de ce genre est un portefeuille avec quelques billets dedans — et en remettre un ne demande ni réseau, ni compte, ni application, seulement un écran que l’autre peut scanner. Traitez-les exactement comme des espèces : quiconque en voit, en copie ou en scanne une peut s’approprier le billet en y posant sa propre serrure, si bien qu’une capture d’écran dans un album partagé est un billet oublié sur une table. Marigold n’a pas d’application téléphone autonome, et c’est voulu. Le portefeuille complet tourne sur un ordinateur que vous contrôlez, et le téléphone en est soit la télécommande, soit une poche à billets.

limites assuméesCe qu’un observateur peut voir, et ce qu’il ne peut pas voir

Marigold n’est pas une cryptomonnaie anonyme, et ce document ne prétendra pas le contraire. Voici exactement ce que peut déduire quelqu’un qui observe le système :

Il peut voir : chaque billet, chaque valeur, chaque opération, l’offre totale et l’état courant complet du système. Tout est visible de tous. Rien n’est jamais chiffré.

Il peut voir : l’enchaînement des opérations — quel billet a donné quel nouveau billet, à quel moment les divisions et les fusions ont eu lieu, les rythmes dans le temps. Un analyste déterminé qui étudie les registres publics peut repérer des habitudes : des paiements rapprochés, des séquences « je divise puis je dépense », ou le rythme quotidien d’un commerçant qui reçoit des billets et les fusionne.

Il peut voir : qui a créé et qui a encaissé des billets, s’il parvient à relier une adresse blockchain ordinaire à une identité réelle. Les points où Marigold rejoint le monde blockchain traditionnel sont entièrement visibles.

Il ne peut pas voir : la moindre identité attachée à un paiement à l’intérieur du système. Il n’y a rien à voir, parce que la donnée n’a jamais été enregistrée.

Un billet se fond dans la masse de tous les billets de même valeur — un billet de 100 MAGLD ressemble à tous les autres billets de 100 MAGLD, et rien de plus. Les logiciels de portefeuille peuvent brouiller ces habitudes (varier légèrement le moment des opérations, les regrouper, alterner les coupures utilisées pour les frais), mais ce sont de bonnes pratiques, pas de la magie. Marigold ne promet rien de plus.

l'arithmétiquePourquoi c’est une monnaie honnête

Toutes les quelques secondes, chaque participant vérifie une règle unique :

la règle de conservation

Tous les billets existants + toutes les pièces du côté traditionnel = total des pièces jamais minées.

Si l’égalité ne tient pas, quelque chose ne va pas, et le réseau le voit immédiatement. L’offre est vérifiable à chaque instant — sans faire confiance à un auditeur, sans faire confiance à un système de preuves compliqué, mais avec le genre d’arithmétique que tout le monde sait faire.

Aucune valeur n’est jamais créée ni détruite à l’intérieur du système. Payer des frais retire un billet de l’ensemble, mais sa valeur est créditée au mineur et peut être recréée en un nouveau billet à tout moment. La règle de conservation est absolue et universelle.

la chaîneAssez rapide pour ressembler à de l’argent liquide

La règle de règlement est simple : un billet est à vous quand votre changement de serrure est confirmé par le réseau. Autrement dit, le temps de confirmation est le temps de la remise en main propre. Sur Bitcoin, vous resteriez planté devant l’étal pendant dix minutes. Sur Ethereum, une douzaine de secondes. Sur Marigold, moins d’une seconde.

Marigold tourne sur une blockchain à preuve de travail qui produit environ 10 blocs par seconde, d’où une confirmation en moins d’une seconde. La technologie sous-jacente a été construite par le projet Kaspa — une blockchain rapide, fiable et éprouvée. Marigold ajoute par-dessus le système de billets et son économie, en laissant la couche de base intacte, parce qu’elle fait son travail remarquablement bien.

Un mot sur l’énergie. Ce que Marigold a à dire sur l’énergie, ce n’est pas qu’il en consomme peu — une chaîne à preuve de travail attire autant de minage que ses récompenses le justifient, et un Marigold à succès ne fera pas exception. C’est qu’aucun de ces watts ne sert à vous faire attendre. Une blockchain classique ne peut accepter qu’un bloc par tour ; les blocs minés en parallèle sont jetés, si bien que le réseau ne reste sûr qu’en restant lent. La chaîne sur laquelle tourne Marigold garde tous les blocs — ceux qui sont trouvés au même instant sont tissés ensemble dans le registre, et comptent tous — et c’est ainsi que le même budget de sécurité donne dix blocs par seconde et un règlement en moins d’une seconde, au lieu d’une file d’attente de dix minutes. Rapportée au paiement, la différence d’efficacité est énorme. Au total, c’est la même arithmétique honnête que partout ailleurs ici : de l’énergie dépensée à proportion de la valeur protégée.

économieL’économie en un coup d’œil

Offre : 210 000 000 MAGLD, plafond absolu. Aucun pré-minage, aucun fonds pour les développeurs, aucune attribution d’aucune sorte.
Lancement : lancement équitable dès le premier jour. Logiciel disponible pour tous à l’avance. Tout le monde part à égalité.
Émission : douce et progressive — la récompense de minage est divisée par deux tous les trois ans, sans chute brutale. Environ 21 % est miné la première année, ~90 % au bout de dix ans.
Unité de base : 1 MAGLD = 100 000 000 pétales.
Plus petit billet : 0,01 MAGLD, et les frais sont un billet de cette taille. Si 1 MAGLD venait à valoir plus d’un dollar environ, une mise à niveau du réseau ajoute un billet de 0,001 (ou plus petit) et les frais deviennent ce nouveau plus petit billet ; tous les billets existants restent tels quels.
Coût d’un paiement : 0,01 MAGLD — un centième de pièce — pour tout paiement courant, quel que soit le montant envoyé. Les frais sont un unique petit billet remis avec le paiement : déplacer un café ou une voiture coûte donc la même chose. Seules les opérations inhabituellement lourdes, qui regroupent des dizaines de billets d’un coup, montent à deux ou trois centièmes.
Frais : tous les frais vont aux mineurs. Rien n’est brûlé, rien n’est détourné. Une économie d’argent liquide — où chaque paiement est une transaction sur la chaîne — produit un revenu de frais régulier que les chaînes de réserve de valeur ne peuvent pas égaler.

sécurité au lancementDes petites roues faites pour être enlevées

Une nouvelle chaîne à preuve de travail dispose de peu de puissance de minage, et une faible puissance de minage attire les attaques. Marigold démarre avec une protection temporaire et entièrement divulguée, appelée ancres de finalité : cinq garants publiquement identifiés co-signent périodiquement un bloc récent (il en faut au moins 3 sur 5), ce qui le rend permanent et irréversible. Personne ne peut défaire un bloc ancré.

Les garants ne peuvent pas censurer de transactions, créer des pièces, déplacer les fonds de qui que ce soit, ni produire des blocs. Leur seul pouvoir est d’empêcher qu’une transaction déjà faite soit défaite. S’ils se taisent, la chaîne continue normalement, comme un réseau à preuve de travail ordinaire — un peu moins protégée, mais pleinement opérationnelle.

Cette protection est conçue pour disparaître. Dès que la puissance de minage du réseau devient assez forte pour rendre une attaque hors de prix, les ancres passent d’obligatoires à consultatives, puis expirent tout à fait. Avant cela, le choix des garants suivants doit revenir à une gouvernance des détenteurs de billets — de sorte que même ce qui reste des petites roues passe des fondateurs à la communauté avant d’être retiré pour de bon.

Sur le réseau de test public, la protection tourne dès maintenant : cinq clés de garants, une ancre toutes les trente secondes environ, chaque nœud qui l’applique. Les garants du réseau de test sont des clés jetables faites pour la répétition ; les vrais sont choisis au lancement.

en une phraseCe que Marigold est — et ce qu’il n’est pas

Marigold est de l’argent liquide numérique. Les billets sont des titres au porteur. Détenir la clé, c’est être propriétaire. Transmettre la clé, c’est régler. La chaîne dit tout de la valeur et rien des personnes — exactement comme un billet de banque.

Marigold n’est pas une cryptomonnaie anonyme. Rien n’est chiffré. Rien n’est caché. La distinction n’est pas un euphémisme : les cryptomonnaies anonymes dissimulent par la cryptographie des données enregistrées, tandis que Marigold n’enregistre aucune donnée à dissimuler. Ce qu’il partage avec l’argent liquide est précis et honnêtement délimité — le système dit tout de la valeur, par construction, et rien des personnes, par construction.

Marigold est cinq opérations, une règle de conservation, un état visible de tous, des signatures numériques ordinaires, une offre fixe que tout le monde vérifie à chaque instant, sur un réseau assez rapide pour que remettre un billet Marigold donne la même sensation que remettre un billet de banque.

Tout ce qu’il fait peut être vérifié par ceux à qui il est destiné.

Télécharger le PDF (en anglais)

il problemaIl denaro digitale ha dimenticato quello che il contante faceva bene

Tira fuori dal portafoglio una banconota da un dollaro. Guarda tre cose:

Chi la tiene in mano, la possiede. Non c’è nessun conto, nessun login, nessun intermediario. Il possesso è la proprietà.
Non ha memoria. La banconota non ricorda chi l’ha spesa per ultimo. Non esiste nessuna traccia che ti colleghi al caffè che hai preso stamattina.
Chiunque può controllare che sia vera. La metti in controluce, tocchi la carta. Non serve nessuna competenza particolare.

Nessuna forma diffusa di denaro digitale riproduce tutte e tre queste proprietà insieme.

Bitcoin ti dà la prima e la terza: avere le chiavi significa possedere le monete, e chiunque può verificare che il sistema sia onesto. Sulla seconda però fallisce, e di molto. Ogni Bitcoin mai minato si porta dietro tutta la sua storia, per sempre e in pubblico. Ogni indirizzo da cui hai mandato o su cui hai ricevuto finisce cucito dentro un grafo che chiunque può analizzare. Le tue monete ricordano tutto quello che ci hai fatto. C’è anche una lacuna più silenziosa: Bitcoin si può conservare offline come codice QR, ma non serve a pagare come fa una banconota offline — spenderlo significa trasmettere una transazione. Marigold è progettato apposta perché una banconota possa passare di mano come il contante.

Le privacy coin come Monero e Zcash provano a rimediare cifrando la storia. A nascondere le cose riescono — ma è proprio la crittografia che nasconde a creare due problemi nuovi. Primo: quasi nessuno può verificare di persona che il sistema sia onesto. Ti fidi di esperti che non hai mai incontrato quando ti dicono che nella matematica non c’è nessun difetto, nessuna porta nascosta. Secondo: i regolatori danno un’occhiata a quella crittografia complicata e classificano la moneta di conseguenza — delisting, restrizioni e trattamento ostile arrivano non per quello che la moneta fa, ma per come lo fa.

Il risultato è un panorama in cui devi scegliere tra trasparenza senza privacy o privacy senza fiducia. Il contante offriva entrambe, senza sforzo. Il denaro digitale, chissà come, se n’è dimenticato.

l'intuizioneNon nascondere le tracce — non lasciarne

Immagina di essere alla bancarella di un mercato. Dai al venditore una banconota da cinque dollari. Il venditore la mette in cassa. Più tardi, lo stesso giorno, la spende dal panettiere. Il panettiere la dà di resto al cliente successivo.

Ora chiediti: chi può risalire da quella banconota a te? Nessuno. Non perché il suo viaggio fosse cifrato o nascosto — la banconota è stata in piena vista a ogni passaggio — ma perché la banconota stessa non ha mai registrato chi l’ha passata a chi. Il legame tra te e il venditore non è mai stato messo per iscritto. È esistito solo nell’istante del passaggio, e poi è sparito.

Questa è la differenza tra nascondere un’informazione e non raccoglierla mai. Le privacy coin nascondono. Marigold non raccoglie.

come funzionaBanconote al posto dei conti

Quasi tutte le criptovalute funzionano come conti bancari. Hai un indirizzo (una specie di numero di conto) e le transazioni spostano valore tra indirizzi. Gli indirizzi sono pubblici e ogni movimento tra loro resta registrato per sempre. È il sogno di un contabile e un incubo per la privacy.

Marigold funziona come il contante. Non ci sono conti. Il sistema tiene invece un insieme di banconote — proprio come quelle di carta, ma digitali.

Ogni banconota è un semplice dato pubblico:

Un numero di serie (come il numero di serie su una banconota da un dollaro)
Un valore (0,01, 0,1, 1, 10, 100, 1.000, 10.000 o 100.000 MAGLD)
Una serratura (una chiave pubblica — chi ha la chiave corrispondente può spenderla)

Tutto qui. Nessun nome del proprietario, nessun indirizzo, nessuna identità. La banconota non sa chi la tiene. Sa soltanto che esiste una chiave, e che chi riesce ad aprirla può spenderla.

Fare un pagamento

Pagare qualcuno è come passargli una banconota, con un passaggio in più:

Dai al destinatario la chiave della banconota (con un codice QR, un messaggio o anche a voce — come faresti per condividere una foto).
Il destinatario cambia subito la serratura — registra una transazione che sostituisce la tua chiave con una chiave nuova di zecca che conosce solo lui. La conferma arriva in meno di un secondo.

Una volta confermato il cambio, la banconota è sua in modo irrevocabile. Tu non hai più una chiave che funziona. Il pagamento è chiuso.

In alternativa, se il destinatario può mandarti in anticipo la sua nuova chiave (per esempio con una richiesta di pagamento), puoi cambiare la serratura mettendo direttamente la sua. La tua chiave non viaggia da nessuna parte.

La terza via serve a pagare qualcuno che non c’è. Cambi la serratura mettendo una chiave che solo lui possiede e le dai una scadenza. Fino alla scadenza solo lui può prendere la banconota; dalla scadenza in poi solo tu puoi riprendertela. La incassa quando vuole; se non lo fa mai, il denaro torna tuo da solo. La scadenza la fa rispettare la rete, non il portafoglio di nessuno.

Tutte e tre finiscono allo stesso modo: la banconota sta sotto una chiave che solo il destinatario conosce.

Dividere e unire

Le banconote hanno tagli fissi, esattamente come i soldi di carta. Se devi pagare 30 MAGLD e hai una banconota da 100 MAGLD, la dividi in dieci banconote da 10 MAGLD. Ne passi tre. Ne tieni sette. Dare il resto — come con il contante.

Nel senso opposto, dieci banconote da 10 MAGLD si possono unire in una sola da 100 MAGLD. I tagli vanno di dieci in dieci, così qualsiasi importo si paga con una manciata di banconote.

Che cosa registra il sistema

Ogni operazione — creare, cambiare la serratura, dividere, unire, riscattare — è pubblica e in piena vista. Quello che nessuno può vedere è chi l’ha fatta, perché il sistema non ha nessuna nozione di «chi». Non c’è un campo mittente. Non c’è un campo destinatario. Non c’è una rubrica. Non c’è un conto.

Il sistema registra che una banconota ha cambiato mano. Non registra di chi fosse la mano. Una banconota con scadenza mostra anche le sue condizioni — la scadenza e la chiave a cui torna — finché la scadenza dura.

in praticaUsare Marigold nel mondo reale

Dato che una banconota Marigold non è altro che una chiave, usarla nel mondo reale è semplice quanto usare il contante. Ecco come:

Stampala, spendila

Ogni banconota nell’app del portafoglio può essere mostrata come codice QR. Quel codice QR puoi stamparlo su un foglio, piegarlo e metterlo nel portafoglio di pelle — accanto alle carte di credito e alla patente. Quel pezzo di carta è il denaro. Lo mostri a qualcuno, quello lo scansiona, cambia la serratura e la banconota è sua. Tu non hai più una chiave che funziona. Il foglio che hai in tasca ormai non vale niente — il valore è passato a lui.

Non è una metafora. Il codice QR stampato contiene la chiave vera. Perderlo è come perdere una banconota da cento dollari: chi la trova può spenderla. Tenerlo al sicuro è la stessa responsabilità che hai con i contanti. Non c’è un numero verde per il recupero, non c’è il pulsante «segnala il furto», non c’è una banca che annulla la transazione. Questo vuol dire essere al portatore, ed è tutto il punto.

Regalala

Un biglietto di auguri con dentro un codice QR stampato è indistinguibile da un biglietto di auguri con dentro una banconota da cinquanta dollari. Chi lo riceve lo scansiona, cambia subito la serratura, e la banconota è sua in modo irrevocabile. Nessun conto da aprire, nessuna attesa. Apre la busta e ha i soldi in mano.

Lasciala in eredità

Una busta sigillata in una cassetta di sicurezza, con dentro i codici QR stampati di alcune banconote, funziona esattamente come una busta piena di contanti. Chi la apre ha le chiavi. Chi ha le chiavi ha le banconote. Non serve un esecutore testamentario, non serve un tribunale, non serve il permesso di nessun terzo perché il valore passi di mano — anche se, come per il contante di carta, gli aspetti legali dell’eredità sono un’altra faccenda, che il sistema non affronta e non può affrontare. Il sistema garantisce solo questo: avere la chiave è avere la banconota.

Paga alla bancarella

Stai comprando i pomodori. Il venditore mostra un codice QR: la sua richiesta di pagamento. Lo scansioni con l’app del portafoglio, scegli la banconota con cui vuoi pagare e il telefono cambia la serratura mettendo direttamente quella del venditore. Meno di un secondo dopo, la banconota è sua. Tu ti prendi i pomodori. Il venditore non ha visto il tuo nome, il tuo indirizzo o il tuo conto. Tu non hai visto i suoi. Il pagamento è chiuso, definitivo e dimenticabile — proprio come con il contante.

Farsi pagare mentre non ci sei

Pubblica una sola chiave — sul biglietto da visita, in vetrina, nel tuo profilo — e chiunque può pagarti a qualsiasi ora. Ogni pagamento arriva sotto una chiave nuova che solo il tuo portafoglio sa ricavare da quella pubblicata, così la catena non mostra mai due pagamenti che arrivano nello stesso posto. Un pagamento a quella chiave può avere una scadenza, così chi manda sa che il denaro gli torna se non incassi mai. Il tuo portafoglio incassa ciò che aspetta la prossima volta che è acceso.

Mettila in cassaforte

Hai paura degli hacker? Stampa le tue banconote come codici QR, mettile in una cassetta ignifuga e cancella l’app. Le banconote esistono sulla blockchain. Le chiavi esistono sulla carta. Non le tiene nessun dispositivo collegato a internet. Quando vuoi spendere, riporti il codice QR dentro un’app del portafoglio con una scansione, cambi subito la serratura (nel caso qualcuno abbia copiato il foglio mentre era custodito) e paghi normalmente.

Spostala tra portafogli

Dato che le banconote sono chiavi indipendenti e non sono legate a nessuna frase di recupero né a nessun conto, puoi spostarne una da un’app all’altra quando vuoi. Esporti la chiave da un’app, la importi in un’altra. Nessuna transazione sulla catena, nessuna commissione, nessuna interazione con la rete. La tua banconota funziona allo stesso modo in ogni portafoglio che supporta Marigold — scegli l’app che ti piace, cambiala quando vuoi, i tuoi soldi ti seguono.

Il filo comune: una banconota Marigold è una chiave, e una chiave si può stampare, mandare per messaggio, piegare dentro una busta, attaccare al frigorifero o imparare a memoria. Al sistema non interessa come la chiave viaggia tra le persone, perché il sistema non sa che le persone esistono. Conosce solo chiavi e banconote — ed è per questo che ogni modo in cui puoi far girare una banconota di carta ha qui un equivalente digitale diretto.

E niente di tutto questo richiede una connessione. Bitcoin si può conservare offline come codice QR, ma non si può spendere così: pagare significa trasmettere una transazione, quindi qualcuno deve essere online, e un portafoglio che non lo è mai non può pagare. Una banconota Marigold è la chiave stessa, quindi può passare di mano in mano offline, esattamente come una banconota di carta; la rete si tocca solo quando il nuovo possessore decide di cambiare la serratura. Per pagare non serve essere connessi, né avere un portafoglio sempre online.

sul telefonoIl telefono è un telecomando, non un portafoglio

Tutto quello che fai dalla tua tastiera lo puoi fare dal telefono, in una chat di Telegram: controllare il saldo, pagare qualcuno, incassare una banconota, emettere una richiesta di pagamento, leggere lo storico, vedere se il tuo miner sta girando. Quello che cambia non è ciò che puoi fare. È dove stanno i soldi — e i soldi non sono sul telefono.

Il tuo portafoglio gira a casa, su qualunque cosa resti accesa: un portatile in un cassetto, un computerino accanto al router. Si tiene al passo con la catena, custodisce le tue banconote e risponde ai tuoi messaggi. Il telefono che hai in tasca non contiene chiavi e non conserva banconote. Non parla con nient’altro che Telegram. Se lo perdi, hai perso un telecomando.

Il bot è tuo, non nostro. Lo crei in Telegram in un paio di minuti, dai il token al tuo portafoglio e li accoppi con un codice. Da quel momento il tuo portafoglio risponde a quell’unico account Telegram e ignora tutti gli altri. Non c’è nessun server Marigold in mezzo, nessun account con noi, nessuna flotta di macchine gestita da noi da cui il tuo telefono debba dipendere. È il tuo portafoglio a chiamare Telegram; niente chiama dall’esterno, e non c’è niente da aprire sul router.

La spesa è protetta come con una carta bancaria: un PIN prima di qualsiasi cosa muova denaro, il blocco dopo tre tentativi sbagliati che solo la macchina di casa può togliere, e un limite giornaliero che imposti tu. Quell’account Telegram adesso può muovere denaro, quindi gli serve l’autenticazione a due fattori — il bot te lo dice la prima volta che ci parli.

La stessa chat custodisce anche il tuo backup. Appena glielo chiedi una volta, il portafoglio vi pubblica una copia cifrata di sé stesso e la tiene aggiornata da solo — una copia completa ogni settimana, le modifiche entro pochi minuti da un pagamento — in silenzio, senza notifiche. Se la macchina di casa muore, inoltri quei messaggi a un portafoglio nuovo ed è tutto lì. La copia è chiusa con le tue 24 parole e con nient’altro: non con la password del portafoglio, che digiti ogni giorno e che hai scelto per poterla ricordare, e che chiunque abbia una copia del file potrebbe provare con calma. Le 24 parole non si indovinano. Scrivile quando il portafoglio te le mostra — poi te ne chiederà due per esserne certo — e un backup sul server di qualcun altro è solo rumore per tutti tranne che per te.

I limiti, detti chiaramente. Quando la macchina di casa è spenta, il telefono non può fare proprio niente: niente saldo, niente pagamenti, niente incassi. Un codice di pagamento mandato in chat è valore al portatore finché è in viaggio, esattamente come i codici QR stampati di cui sopra: chi lo legge per primo se lo prende. E un’app per telefono vera e propria, che tenga lei le chiavi, è un lavoro per dopo e probabilmente per qualcun altro. Questa è la versione che non ti chiede di fidarti di nessuno.

C’è un secondo modo di usare il telefono, senza alcun bot e completamente offline: come posto in cui tenere banconote sotto forma di immagini. Una banconota è una chiave, e il codice QR di quella chiave è il denaro stesso, quindi un telefono con qualche immagine del genere è un portafoglio con qualche banconota dentro — e consegnarne una non richiede rete, né account, né app, solo uno schermo che l’altra persona possa scansionare. Trattale esattamente come contanti: chiunque ne veda, copi o scansioni una può prendersi la banconota mettendoci la propria serratura, così uno screenshot in un album condiviso è una banconota lasciata su un tavolo. Marigold non ha un’app per telefono a sé stante, di proposito. Il portafoglio completo gira su un computer che controlli tu, e il telefono è il suo telecomando oppure una tasca per banconote.

limiti dichiaratiChe cosa vede e che cosa non vede un osservatore

Marigold non è una privacy coin, e questo litepaper non farà finta che lo sia. Ecco esattamente che cosa può ricavare chi osserva il sistema:

Possono vedere: ogni banconota, ogni valore, ogni operazione, l’offerta totale e lo stato attuale completo del sistema. Tutto è in piena vista. Non c’è mai niente di cifrato.

Possono vedere: la catena delle operazioni — quale banconota è diventata quale banconota nuova, quando sono avvenute divisioni e unioni, i ritmi temporali. Un analista ostinato che studia i registri pubblici può individuare schemi di comportamento: pagamenti rapidi uno dietro l’altro, sequenze dividi-e-spendi, o il ritmo quotidiano di un negoziante che incassa e unisce.

Possono vedere: chi ha creato e chi ha riscattato le banconote, se riescono a collegare un normale indirizzo blockchain a un’identità reale. I punti in cui Marigold si collega al mondo blockchain tradizionale sono del tutto visibili.

Non possono vedere: nessuna identità legata a un pagamento dentro il sistema. Non c’è niente da vedere, perché quel dato non è mai stato registrato.

Una banconota si confonde con tutte le altre dello stesso valore: una da 100 MAGLD è uguale a ogni altra da 100 MAGLD, e oltre quel gruppo non dice nulla. Il software del portafoglio può sfumare gli schemi di comportamento (variando un po' i tempi, raggruppando le operazioni, alternando i tagli usati per le commissioni), ma sono buone abitudini, non magia. Marigold non promette di più.

l'aritmeticaPerché è denaro onesto

Ogni pochi secondi, ogni partecipante verifica una sola regola:

la regola di conservazione

Tutte le banconote esistenti + tutte le monete sul lato tradizionale = tutte le monete mai minate.

Se il conto non torna, qualcosa non va e la rete se ne accorge subito. L’offerta è verificabile in ogni istante — non fidandosi di un revisore, non fidandosi di un sistema di prove complicato, ma con il tipo di aritmetica che sa fare chiunque.

Dentro il sistema non si crea né si distrugge mai valore. Pagare una commissione toglie una banconota dall’insieme, ma il suo valore viene accreditato al miner e può tornare a essere una banconota nuova in qualsiasi momento. La regola di conservazione è assoluta e vale per tutti.

la catenaAbbastanza veloce da sembrare contante

Il pagamento si chiude con una regola semplice: una banconota è tua quando il tuo cambio di serratura è confermato sulla rete. Vuol dire che il tempo di conferma è il tempo del passaggio di mano. Su Bitcoin resteresti fermo alla bancarella dieci minuti. Su Ethereum, circa dodici secondi. Su Marigold, meno di un secondo.

Marigold gira su una blockchain proof-of-work che produce circa 10 blocchi al secondo, con conferme sotto il secondo. La tecnologia di base è stata costruita dal progetto Kaspa — una blockchain veloce, affidabile e collaudata. Marigold aggiunge su quelle fondamenta il sistema delle banconote e la sua economia, e lascia intatto lo strato di base, perché il suo lavoro lo fa benissimo.

Una parola sull’energia. La storia energetica di Marigold non è che consuma poco: una catena proof-of-work attira tanto mining quanto valgono le sue ricompense, e se Marigold avrà successo non farà eccezione. La storia è che niente di quell’energia serve a farti aspettare. Una blockchain classica può accettare un solo blocco per turno; i blocchi minati in parallelo vengono buttati via, così la rete resta sicura solo restando lenta. La catena su cui gira Marigold tiene ogni blocco — i blocchi trovati nello stesso istante vengono intrecciati insieme nel registro, e contano tutti — ed è così che lo stesso budget di sicurezza dà dieci blocchi al secondo e pagamenti chiusi in meno di un secondo, invece di una coda di dieci minuti. Per ogni singolo pagamento la differenza di efficienza è enorme. Nel complesso è la stessa aritmetica onesta di tutto il resto: energia spesa in proporzione al valore che protegge.

economiaL’economia in breve

Offerta: 210.000.000 MAGLD, tetto invalicabile. Nessuna moneta coniata in anticipo, nessun fondo per gli sviluppatori, nessuna assegnazione di alcun tipo.
Lancio: equo dal primo giorno. Software a disposizione di tutti in anticipo. Si parte tutti alla pari.
Emissione: regolare e graduale — la ricompensa di mining si dimezza ogni tre anni, senza cali improvvisi. Circa il 21% viene minato nel primo anno, il ~90% entro il decimo.
Unità base: 1 MAGLD = 100.000.000 petali.
Banconota più piccola: 0,01 MAGLD, e la commissione è una banconota così. Se 1 MAGLD arrivasse a valere più di un dollaro circa, un aggiornamento della rete aggiunge una banconota da 0,001 (o più piccola) e la commissione diventa quella nuova banconota più piccola; ogni banconota esistente resta com’è.
Costo di un pagamento: 0,01 MAGLD — un centesimo di moneta — per qualsiasi pagamento quotidiano, qualunque sia la cifra che mandi. La commissione è una sola piccola banconota che passa insieme al pagamento, quindi spostare un caffè e spostare un’auto costa uguale. Solo le operazioni insolitamente grandi, che mettono insieme decine di banconote in un colpo, salgono a due o tre centesimi.
Commissioni: vanno tutte ai miner. Niente viene bruciato, niente viene dirottato. Un’economia di contante — dove ogni pagamento è una transazione sulla catena — produce un flusso costante di commissioni che le catene pensate come riserva di valore non possono eguagliare.

sicurezza al lancioRotelle che poi si tolgono

Una catena proof-of-work nuova ha poca potenza di mining, e poca potenza di mining invita gli attacchi. Marigold parte con una protezione temporanea e dichiarata per intero, chiamata ancore di irreversibilità: cinque garanti identificati pubblicamente firmano insieme, a intervalli regolari (ne bastano almeno 3 su 5), un blocco recente, e lo rendono permanente e irreversibile. Un blocco ancorato non lo può annullare nessuno.

I garanti non possono censurare transazioni, creare monete, spostare i fondi di qualcuno o produrre blocchi. Il loro unico potere è impedire che si annullino transazioni già concluse. Se tacciono, la catena va avanti normalmente come una rete proof-of-work qualsiasi — un po' meno protetta, ma perfettamente funzionante.

La protezione è fatta per andare in pensione. Quando la potenza di mining della rete sarà cresciuta abbastanza da rendere un attacco proibitivamente caro, le ancore passeranno da obbligatorie a consultive, e poi scadranno del tutto. Prima che accada, la scelta dei garanti successivi dovrebbe passare al voto di chi detiene le banconote — così anche quel che resta delle rotelle passa dai fondatori alla comunità, prima di essere tolto del tutto.

Sulla rete di prova pubblica la protezione è in funzione adesso: cinque chiavi di fiduciari, un’ancora ogni trenta secondi circa, ogni nodo che la fa rispettare. I fiduciari della rete di prova sono chiavi usa e getta fatte per la prova generale; quelli veri si scelgono al lancio.

in una fraseChe cos’è Marigold — e che cosa non è

Marigold è contante digitale. Le banconote sono strumenti al portatore. Avere la chiave è essere proprietario. Passare la chiave è chiudere il pagamento. La catena è completa sul valore e muta sulle persone — esattamente come una banconota da un dollaro.

Marigold non è una privacy coin. Niente è cifrato. Niente è nascosto. La distinzione non è un eufemismo: le privacy coin nascondono con la crittografia dati che comunque registrano, e Marigold non registra nessun dato da nascondere. Quello che ha in comune con il contante è preciso e onestamente delimitato — il sistema è completo sul valore per scelta, e muto sulle persone per scelta.

Marigold è cinque operazioni, una regola di conservazione, uno stato in piena vista, normali firme digitali, un’offerta fissa che tutti controllano in ogni momento, su una rete abbastanza veloce che passare una banconota è come passarne una di carta.

Tutto quello che fa può essere controllato dalle persone per cui è fatto.

Scarica il PDF (in inglese)

o problemaO dinheiro digital esqueceu o que o dinheiro vivo acertou

Tire uma cédula de dólar da carteira. Repare em três coisas:

Quem está com ela é o dono. Não existe conta, não existe login, não existe intermediário. A posse é a propriedade.
Ela não tem memória. A cédula não lembra quem a gastou por último. Não existe registro nenhum ligando você ao café que você comprou hoje de manhã.
Qualquer um consegue conferir se é verdadeira. Levante contra a luz, sinta o papel. Não precisa de perícia nenhuma.

Nenhuma forma de dinheiro digital em uso hoje reúne as três coisas ao mesmo tempo.

Bitcoin entrega a primeira e a terceira: ter as chaves é ser dono das moedas, e qualquer pessoa pode verificar que o sistema é honesto. Mas falha feio na segunda. Cada Bitcoin já minerado carrega o histórico inteiro, para sempre e à vista de todos. Cada endereço de onde você já mandou ou onde já recebeu fica costurado num grafo que qualquer um pode analisar. Suas moedas lembram de tudo o que você já fez com elas. Há também uma falha mais silenciosa: Bitcoin pode ser guardado offline como um código QR, mas não serve para pagar do jeito que uma cédula offline serve — gastá-lo significa transmitir uma transação. O Marigold foi feito de propósito para que uma cédula possa passar de mão em mão como dinheiro vivo.

Moedas de privacidade como Monero e Zcash tentam resolver isso criptografando o histórico. Elas conseguem esconder — mas a própria criptografia que esconde cria dois problemas novos. Primeiro, quase ninguém consegue verificar por conta própria que o sistema é honesto. Você está confiando em especialistas que nunca viu para garantir que a matemática não tem falha nem porta dos fundos. Segundo, os reguladores dão uma olhada na criptografia complicada e classificam a moeda de acordo — remoção das corretoras, restrições e tratamento hostil vêm não do que a moeda faz, mas de como ela faz.

O resultado é um cenário em que você escolhe entre transparência sem privacidade ou privacidade sem confiança. O dinheiro vivo oferecia as duas coisas, sem esforço nenhum. O dinheiro digital, de algum jeito, esqueceu como se faz.

a ideiaNão esconda o rastro — não deixe rastro

Imagine que você está numa barraca de feira. Você entrega uma cédula de cinco dólares ao vendedor. O vendedor põe a cédula no caixa. Mais tarde, no mesmo dia, ele gasta essa mesma cédula na padaria. A padaria dá a cédula de troco para o próximo cliente.

Agora pergunte: quem consegue rastrear essa cédula até você? Ninguém. Não porque o trajeto da cédula tenha sido criptografado ou escondido — a cédula esteve à vista em cada etapa do caminho —, mas porque a própria cédula nunca registrou quem a entregou a quem. A ligação entre você e o vendedor nunca foi anotada. Existiu só no instante da entrega e depois acabou.

Essa é a diferença entre esconder informação e nunca coletá-la. As moedas de privacidade escondem. Marigold não coleta.

como funcionaCédulas em vez de contas

A maioria das criptomoedas funciona como conta bancária. Você tem um endereço (parecido com um número de conta), e as transações movem valor entre endereços. Os endereços são públicos, e cada movimento entre eles fica registrado para sempre. É o sonho de qualquer contador e o pesadelo da privacidade.

Marigold funciona como dinheiro vivo. Não existem contas. Em vez disso, o sistema mantém um conjunto de cédulas — pense nelas como o dinheiro de papel da sua carteira, só que digital.

Cada cédula é um registro público simples:

Um número de série (como o número de série de uma cédula de dólar)
Um valor (0,01, 0,1, 1, 10, 100, 1.000, 10.000 ou 100.000 MAGLD)
Uma fechadura (uma chave pública — quem tiver a chave correspondente pode gastá-la)

É só isso. Nenhum nome de dono, nenhum endereço, nenhuma identidade. A cédula não sabe quem está com ela. Sabe apenas que existe uma chave e que quem conseguir abrir a fechadura pode gastá-la.

Fazer um pagamento

Pagar alguém é como entregar uma cédula, com um passo a mais:

Você entrega a chave da cédula a quem vai receber (por QR code, mensagem de texto ou até de viva-voz — do mesmo jeito que você compartilharia uma foto).
Quem recebe troca a fechadura na hora — registra uma transação que substitui a sua chave por uma chave novinha que só essa pessoa conhece. Isso é confirmado em menos de um segundo.

Confirmada a troca, a cédula é irrevogavelmente de quem recebeu. A sua chave não abre mais nada. A liquidação está feita.

Se quem recebe conseguir mandar a chave nova para você antes (numa cobrança, por exemplo), dá para fazer diferente: você troca a fechadura direto para a chave dessa pessoa. A sua chave não viaja para lugar nenhum.

O terceiro jeito é para pagar alguém que não está ali. Você troca a fechadura por uma chave que só essa pessoa tem e coloca um prazo. Até o prazo, só ela pode pegar a cédula; a partir do prazo, só você pode pegá-la de volta. Ela recebe quando quiser; se nunca receber, o dinheiro volta a ser seu sozinho. Quem faz valer o prazo é a rede, não a carteira de ninguém.

Os três caminhos terminam do mesmo jeito: a cédula fica sob uma chave que só quem recebe conhece.

Dividir e juntar

As cédulas vêm em valores fixos, igual ao dinheiro de papel. Se você precisa pagar 30 MAGLD e tem uma cédula de 100 MAGLD, você a divide em dez cédulas de 10 MAGLD. Entrega três. Fica com sete. Troco — igual ao dinheiro vivo.

No sentido contrário, dez cédulas de 10 MAGLD podem ser juntadas em uma cédula de 100 MAGLD. Os valores andam de dez em dez, então qualquer quantia se paga com um punhado de cédulas.

O que o sistema registra

Toda operação — criar, trocar fechadura, dividir, juntar, resgatar — é pública e está à vista. O que ninguém consegue ver é quem fez, porque o sistema não tem a noção de "quem". Não existe campo de remetente. Nem campo de destinatário. Nem agenda de endereços. Nem conta.

O sistema registra que uma cédula mudou de mãos. Não registra de quem eram as mãos. Uma cédula com prazo mostra também as suas condições — o prazo e a chave para a qual ela volta — enquanto o prazo durar.

na práticaMarigold no mundo real

Como uma cédula Marigold não passa de uma chave, usá-la no mundo real é tão simples quanto usar dinheiro vivo. Veja como:

Imprima e gaste

Toda cédula do seu aplicativo de carteira pode ser exibida como um QR code. Você pode imprimir esse QR code num pedaço de papel, dobrar e guardar na carteira de couro — bem ao lado dos cartões de crédito e da carteira de motorista. Esse pedaço de papel é o dinheiro. Mostre a alguém: a pessoa escaneia, troca a fechadura, e a cédula é dela. A sua chave não funciona mais. O papel que continua no seu bolso agora não vale nada — o valor passou para quem escaneou.

Isso não é metáfora. O QR code impresso guarda a chave de verdade. Perdê-lo é como perder uma cédula de cem dólares: quem achar pode gastar. Guardá-lo bem é a mesma responsabilidade de guardar dinheiro vivo. Não existe central de recuperação, não existe botão de "informar roubo", não existe banco para estornar a transação. É exatamente isso que quer dizer ser ao portador, e é justamente esse o ponto.

Dê de presente

Um cartão de aniversário com um QR code impresso dentro não se distingue de um cartão de aniversário com uma cédula de cinquenta dólares dentro. Quem recebe escaneia, troca a fechadura na hora, e a cédula é irrevogavelmente dessa pessoa. Nenhuma conta para abrir, nenhum prazo de espera. Abriu o envelope, está com o dinheiro.

Deixe de herança

Um envelope lacrado no cofre do banco, com os QR codes impressos de várias cédulas, funciona exatamente como um envelope de dinheiro vivo. Quem abre está com as chaves. Quem está com as chaves está com as cédulas. Não é preciso inventariante, nem inventário, nem autorização de terceiros para o valor passar adiante — embora, como acontece com o dinheiro vivo, os arranjos jurídicos da herança sejam um assunto à parte, que o sistema não resolve e não tem como resolver. O sistema garante apenas que estar com a chave é estar com a cédula.

Pague na feira

Você está comprando tomate. O vendedor mostra um QR code — a cobrança dele. Você escaneia com o aplicativo de carteira, escolhe a cédula com que quer pagar, e o seu celular troca a fechadura direto para a chave do vendedor. Menos de um segundo depois, a cédula é dele. Você guarda os tomates. O vendedor nunca viu o seu nome, o seu endereço nem a sua conta. Você nunca viu os dele. A transação está liquidada, é final e pode ser esquecida — igual ao dinheiro vivo.

Receba enquanto estiver fora

Publique uma única chave — no cartão de visita, na vitrine, no seu perfil — e qualquer pessoa pode pagar você a qualquer hora. Cada pagamento cai sob uma chave nova que só a sua carteira sabe derivar da que você publicou, então a cadeia nunca mostra dois pagamentos chegando ao mesmo lugar. Um pagamento para essa chave pode ter prazo, e assim quem manda sabe que o dinheiro volta se você nunca receber. A sua carteira recebe o que estiver esperando na próxima vez que estiver ligada.

Guarde a frio

Preocupado com hackers? Imprima as suas cédulas como QR codes, guarde numa caixa à prova de fogo e apague o aplicativo. As cédulas existem no blockchain. As chaves existem no papel. Nenhum aparelho conectado à internet está com elas. Quando quiser gastar, escaneie o QR code de volta para um aplicativo de carteira, troque a fechadura na hora (vai que alguém copiou o papel enquanto ele estava guardado) e transacione normalmente.

Troque de carteira

Como as cédulas são chaves independentes e não estão amarradas a nenhuma frase-semente ou conta, você pode levar uma cédula de um aplicativo de carteira para outro quando quiser. Exporte a chave de um app, importe no outro. Nenhuma transação no blockchain, nenhuma taxa paga, nenhuma interação com a rede. A sua cédula funciona igual em toda carteira que aceita Marigold — escolha o app de que você gosta, mude quando quiser, o seu dinheiro vai junto.

O fio condutor: uma cédula Marigold é uma chave, e uma chave pode ser impressa, mandada por mensagem, dobrada dentro de um envelope, presa na porta da geladeira ou decorada de cabeça. O sistema não se importa com o caminho que a chave faz entre as pessoas, porque o sistema não sabe que pessoas existem. Ele conhece só chaves e cédulas — e é por isso que toda forma de passar uma cédula de papel adiante tem aqui um equivalente digital direto.

E nada disso precisa de conexão. Bitcoin pode ficar guardado offline como um código QR, mas não pode ser gasto assim: pagar com ele é transmitir uma transação, então alguém precisa estar online, e uma carteira que nunca está online não consegue pagar. Uma cédula Marigold é a própria chave, então pode passar de mão em mão offline, exatamente como uma cédula de papel; a rede só é tocada quando o novo dono resolve trocar a fechadura. Você não precisa estar conectado para pagar, nem de uma carteira permanentemente online.

no seu celularSeu celular é um controle remoto, não uma carteira

Tudo o que você faz no seu próprio teclado, você faz pelo celular, numa conversa do Telegram: ver o saldo, pagar alguém, receber uma cédula, emitir uma cobrança, consultar o histórico, ver se o seu minerador está rodando. O que muda não é o que você pode fazer. É onde o dinheiro está — e o dinheiro não está no celular.

A sua carteira roda em casa, no que quer que fique ligado: um notebook numa gaveta, um computadorzinho ao lado do roteador. Ela se mantém em dia com o blockchain, guarda as suas cédulas e responde às suas mensagens. O celular no seu bolso não guarda chave nenhuma nem cédula nenhuma. Ele só conversa com o Telegram. Se você perder o celular, perdeu um controle remoto.

O bot é seu, não nosso. Você o cria no Telegram em uns dois minutos, entrega o token à sua carteira e pareia os dois com um código. Daí em diante a sua carteira responde àquela única conta do Telegram e ignora todas as outras. Não existe servidor Marigold no meio, não existe conta conosco, não existe um monte de máquinas nossas de que o seu celular dependa. A sua carteira liga para o Telegram; ninguém liga para ela, e não há nada para abrir no seu roteador.

Gastar é protegido do mesmo jeito que um cartão de banco: uma senha antes de qualquer coisa que mexa com dinheiro, um bloqueio depois de três tentativas erradas que só a máquina de casa consegue liberar, e um limite diário que você mesmo define. Aquela conta do Telegram agora move dinheiro, então precisa de verificação em duas etapas — o bot avisa isso na primeira vez que você fala com ele.

O mesmo chat guarda o seu backup. Assim que você pede uma vez, a carteira publica ali uma cópia criptografada de si mesma e a mantém atualizada sozinha — uma cópia completa por semana, as mudanças poucos minutos depois de um pagamento — em silêncio, sem notificação. Se a máquina de casa morrer, você encaminha essas mensagens para uma carteira nova e está tudo lá. A cópia está trancada com as suas 24 palavras e com mais nada: não com a senha da carteira, que você digita todo dia e escolheu para conseguir lembrar, e que qualquer um com uma cópia do arquivo poderia tentar com toda a calma. As 24 palavras não se adivinham. Anote-as quando a carteira mostrá-las — depois ela pede duas delas para ter certeza — e um backup no servidor de outra pessoa não passa de ruído para todo mundo, menos para você.

Os limites, sem rodeios. Com a máquina de casa desligada, o celular não faz absolutamente nada: nem saldo, nem pagamento, nem recebimento. Um código de pagamento mandado por uma conversa é valor ao portador enquanto está em trânsito, exatamente como os QR codes impressos acima — quem ler primeiro fica com ele. E um aplicativo de celular de verdade, que guarde as chaves ele mesmo, é tarefa para depois e provavelmente para outra pessoa. Esta é a versão que não pede que você confie em ninguém.

Há um segundo jeito de usar o celular, sem bot nenhum e totalmente offline: como um lugar para guardar cédulas em forma de imagem. Uma cédula é uma chave, e o código QR dessa chave é o próprio dinheiro; um celular com algumas dessas imagens é uma carteira com algumas cédulas dentro — e entregar uma delas não precisa de sinal, de conta nem de aplicativo, só de uma tela que a outra pessoa possa escanear. Trate-as exatamente como dinheiro vivo: quem vê, copia ou escaneia uma delas pode ficar com a cédula colocando a própria fechadura nela, então uma captura de tela num álbum compartilhado é uma cédula esquecida sobre a mesa. O Marigold não tem um aplicativo de celular independente, e é de propósito. A carteira completa roda num computador que você controla, e o celular é o controle remoto dela ou um bolso para cédulas.

limites honestosO que um observador vê e o que não vê

Marigold não é uma moeda de privacidade, e este litepaper não vai fingir que é. Veja exatamente o que alguém observando o sistema consegue descobrir:

Dá para ver: cada cédula, cada valor, cada operação, a oferta total e o estado atual completo do sistema. Tudo isso está à vista. Nada é criptografado, nunca.

Dá para ver: a cadeia de operações — qual cédula virou qual cédula nova, quando houve divisões e junções, padrões de horário. Um analista determinado, estudando os registros públicos, consegue identificar padrões de comportamento: pagamentos rápidos em sequência, sequências de dividir e gastar, ou o ritmo diário de um comerciante que recebe e junta cédulas.

Dá para ver: quem criou e quem resgatou cédulas, caso consiga ligar um endereço comum de blockchain a uma identidade do mundo real. Os pontos em que Marigold se conecta ao mundo tradicional do blockchain são totalmente visíveis.

Não dá para ver: nenhuma identidade ligada a um pagamento dentro do sistema. Não há o que ver, porque o dado nunca foi registrado.

Uma cédula se confunde com todas as outras cédulas do mesmo valor — uma cédula de 100 MAGLD é igual a qualquer outra cédula de 100 MAGLD, e nada além desse grupo. Os aplicativos de carteira podem embaralhar padrões de comportamento (variando um pouco os horários, agrupando operações, alternando os valores de cédula usados para pagar taxas), mas isso é bom hábito, não mágica. Marigold não promete nada além disso.

a aritméticaPor que é dinheiro honesto

A cada poucos segundos, todos os participantes verificam uma única regra:

a regra de conservação

Todas as cédulas existentes + todas as moedas do lado tradicional = total de moedas já mineradas.

Se isso não bater, alguma coisa está errada e a rede enxerga na hora. A oferta presta contas a todo momento — não por confiar num auditor, não por confiar num sistema de provas complicado, mas pela aritmética que qualquer um sabe fazer.

Nenhum valor é criado ou destruído dentro do sistema. Pagar uma taxa tira uma cédula do conjunto, mas o valor dela é creditado ao minerador e pode ser recriado como cédula nova a qualquer momento. A regra de conservação é absoluta e vale para tudo.

a cadeiaRápido o bastante para parecer dinheiro vivo

A regra de liquidação é simples: a cédula é sua quando a sua troca de fechadura é confirmada na rede. Ou seja, tempo de confirmação é tempo de entrega. No Bitcoin, você ficaria parado na barraca da feira por dez minutos. No Ethereum, uns doze segundos. No Marigold, menos de um segundo.

Marigold roda em um blockchain de prova de trabalho que produz cerca de 10 blocos por segundo, o que dá confirmação em menos de um segundo. A tecnologia de base foi construída pelo projeto Kaspa — um blockchain rápido, confiável e bem testado. Marigold acrescenta o sistema de cédulas e a economia dele por cima dessa fundação, deixando a camada de base intacta porque ela faz o trabalho dela excepcionalmente bem.

Uma palavra sobre energia. A história energética do Marigold não é que ele gasta pouco — um blockchain de prova de trabalho atrai tanta mineração quanto valem as suas recompensas, e um Marigold bem-sucedido não será exceção. A história é que nada dessa energia é gasto para você esperar. Um blockchain clássico só aceita um bloco por rodada; os blocos minerados em paralelo são jogados fora, então a rede só se mantém segura mantendo-se lenta. O blockchain em que Marigold roda guarda todos os blocos — os encontrados no mesmo instante são tecidos juntos no registro, todos eles contando —, e é assim que o mesmo orçamento de segurança entrega dez blocos por segundo e liquidação em menos de um segundo, em vez de uma fila de dez minutos. Por pagamento, isso é uma diferença enorme de eficiência. No total, é a mesma aritmética honesta de todo o resto aqui: energia gasta na proporção do valor que está sendo protegido.

economiaA economia em resumo

Oferta: 210.000.000 MAGLD, teto fixo. Sem pré-mineração, sem fundo de desenvolvimento, sem alocação de espécie alguma.
Lançamento: lançamento justo desde o primeiro dia. Software disponível para todo mundo com antecedência. Todos começam em pé de igualdade.
Emissão: suave e gradual — a recompensa de mineração cai pela metade a cada três anos, sem quedas bruscas. Cerca de 21% é minerado no primeiro ano, e uns 90% até o décimo.
Unidade base: 1 MAGLD = 100.000.000 de pétalas.
Menor cédula: 0,01 MAGLD, e a taxa é uma cédula dessas. Se 1 MAGLD vier a valer mais do que cerca de um dólar, uma atualização da rede acrescenta uma cédula de 0,001 (ou menor) e a taxa passa a ser essa nova menor cédula; toda cédula existente fica como está.
Custo para pagar: 0,01 MAGLD — um centésimo de moeda — para qualquer pagamento do dia a dia, por maior que seja a quantia que você está mandando. A taxa é uma única cédula pequena entregue junto com o pagamento, então mover um café e mover um carro custa a mesma coisa. Só operações fora do comum, que empacotam dezenas de cédulas de uma vez, sobem para dois ou três centésimos.
Taxas: todas as taxas vão para os mineradores. Nada é queimado, nada é desviado. Uma economia de dinheiro vivo — em que cada pagamento é uma transação no blockchain — gera uma receita constante de taxas que as redes de reserva de valor não conseguem igualar.

segurança no lançamentoRodinhas que saem depois

Um blockchain de prova de trabalho novo tem pouco poder de mineração, e pouco poder de mineração é convite para ataque. Marigold é lançado com uma proteção temporária e totalmente divulgada, chamada âncoras de finalidade: cinco curadores publicamente identificados assinam em conjunto, de tempos em tempos (com no mínimo 3 de 5), um bloco recente, tornando-o permanente e irreversível. Ninguém consegue desfazer um bloco ancorado.

Os curadores não podem censurar transações, criar moedas, mover o dinheiro de ninguém nem produzir blocos. O único poder deles é impedir que transações concluídas sejam desfeitas. Se ficarem em silêncio, o blockchain segue normalmente como uma rede comum de prova de trabalho — um pouco menos protegida, mas plenamente operacional.

A proteção foi feita para se aposentar. Quando o poder de mineração da rede crescer a ponto de tornar os ataques proibitivamente caros, as âncoras deixam de ser obrigatórias, passam a ser apenas consultivas e depois expiram de vez. Antes disso, a escolha dos curadores sucessores deve passar para a governança de quem tem cédulas — de modo que até o que resta das rodinhas sai das mãos dos fundadores para as da comunidade antes de ser retirado por completo.

Na rede de testes pública a proteção já está funcionando: cinco chaves de curadores, uma âncora a cada trinta segundos mais ou menos, todos os nós fazendo valer. Os curadores da rede de testes são chaves descartáveis feitas para o ensaio; os de verdade são escolhidos no lançamento.

em uma fraseO que Marigold é — e o que não é

Marigold é dinheiro vivo digital. As cédulas são títulos ao portador. Estar com a chave é ser dono. Passar a chave adiante é liquidar. O blockchain é completo sobre o valor e silencioso sobre as pessoas — exatamente como uma cédula de dólar.

Marigold não é uma moeda de privacidade. Nada é criptografado. Nada é escondido. A distinção não é eufemismo: as moedas de privacidade escondem, com criptografia, dados que registraram; Marigold não registra dado nenhum para esconder. O que ele tem em comum com o dinheiro vivo é específico e honestamente delimitado — o sistema é, deliberadamente, completo sobre o valor e, deliberadamente, silencioso sobre as pessoas.

Marigold é cinco operações, uma regra de conservação, estado à vista de todos, assinaturas digitais comuns, uma oferta fixa conferida por todo mundo a todo momento, numa rede rápida o bastante para que entregar uma cédula digital pareça entregar uma cédula de papel.

Tudo o que ele faz pode ser conferido pelas pessoas para quem ele existe.

Baixar o PDF (em inglês)

проблемаЦифровые деньги забыли то, что наличные делали правильно

Достаньте из кошелька долларовую банкноту. Обратите внимание на три вещи:

Кто её держит, тот ею и владеет. Нет ни счёта, ни логина, ни посредника. Держать — значит владеть.
У неё нет памяти. Банкнота не помнит, кто потратил её в прошлый раз. Нигде нет записи, которая связала бы вас с утренним кофе.
Любой может проверить, что она настоящая. Посмотрите на просвет, потрогайте бумагу. Никаких особых знаний не нужно.

Ни одни массовые цифровые деньги не воспроизводят все три свойства сразу.

Bitcoin даёт первое и третье: пока ключи у вас, монеты ваши, и любой может убедиться, что система работает честно. А вот со вторым всё плохо. Каждая когда-либо добытая монета Bitcoin навсегда и у всех на виду несёт на себе всю свою историю. Все адреса, с которых вы отправляли деньги или на которые получали, сшиты в граф, доступный для анализа кому угодно. Ваши монеты помнят всё, что вы с ними делали. Есть и более тихий изъян: биткойн можно хранить офлайн в виде QR-кода, но им нельзя заплатить так, как офлайн платят купюрой, — потратить его значит отправить транзакцию. Marigold нарочно устроен так, чтобы купюру можно было передать из рук в руки, как наличные.

Приватные монеты вроде Monero и Zcash пытаются это исправить, зашифровав историю. Прятать у них получается — но та самая криптография, которая прячет, порождает две новые проблемы. Во-первых, почти никто не может лично убедиться, что система честна. Вы доверяете экспертам, которых никогда не видели: верите им на слово, что в математике нет ни ошибки, ни закладки. Во-вторых, регуляторы смотрят на сложную криптографию и классифицируют монету соответственно — делистинги, ограничения и враждебное отношение следуют не из того, что монета делает, а из того, как она это делает.

В итоге выбирать приходится между прозрачностью без приватности и приватностью без доверия. Бумажные наличные давали и то и другое, безо всяких усилий. Цифровые деньги это каким-то образом забыли.

идеяСлед не прячут — его не оставляют

Представьте, что вы на рынке. Вы протягиваете продавцу пятидолларовую банкноту. Продавец кладёт её в кассу. В тот же день он расплачивается этой банкнотой в пекарне. Пекарня отдаёт её на сдачу следующему покупателю.

Теперь спросите: кто сможет проследить путь этой банкноты до вас? Никто. И не потому, что её путь был зашифрован или спрятан — банкнота всё время была у всех на виду, — а потому, что сама она нигде не записала, кто кому её передал. Связь между вами и продавцом не была зафиксирована нигде. Она существовала только в момент передачи из рук в руки, а потом исчезла.

В этом разница между «спрятать сведения» и «никогда их не собирать». Приватные монеты прячут. Marigold не собирает.

как это устроеноКупюры вместо счетов

Большинство криптовалют устроены как банковские счета. У вас есть адрес (вроде номера счёта), и транзакции переносят деньги с адреса на адрес. Адреса публичны, и каждое движение между ними записывается навсегда. Мечта бухгалтера и кошмар для приватности.

Marigold устроен как наличные. Счетов нет вообще. Вместо них система ведёт общий пул купюр — считайте их цифровыми банкнотами.

Каждая купюра — это простая публичная запись:

Серийный номер (такой же, как на долларовой банкноте)
Номинал (0,01, 0,1, 1, 10, 100, 1000, 10 000 или 100 000 MAGLD)
Замок (открытый ключ — потратить купюру может тот, у кого есть подходящий ключ)

И всё. Ни имени владельца, ни адреса, ни личности. Купюра не знает, у кого она в руках. Она знает лишь, что существует ключ, и что потратить её может тот, кто сумеет открыть замок.

Как заплатить

Заплатить кому-то — почти то же самое, что передать банкноту из рук в руки, только с одним лишним шагом:

Вы передаёте получателю ключ от купюры (через QR-код, сообщение или даже вслух — так же просто, как отправить фотографию).
Получатель тут же меняет замок — он записывает транзакцию, которая заменяет ваш ключ совершенно новым, известным только ему. Подтверждение занимает меньше секунды.

Как только смена замка подтверждена, купюра принадлежит получателю бесповоротно. Ваш ключ больше не работает. Расчёт завершён.

Можно и наоборот: если получатель заранее пришлёт вам свой новый ключ (скажем, в запросе на оплату), вы смените замок сразу на его ключ. Тогда ваш ключ никуда не уходит.

Третий способ — для оплаты тому, кого сейчас нет рядом. Вы меняете замок на ключ, который есть только у него, и ставите срок. До срока забрать купюру может только он; начиная со срока вернуть её можете только вы. Он забирает, когда захочет; если так и не заберёт, деньги сами снова становятся вашими. Срок соблюдает сеть, а не чей-либо кошелёк.

Все три способа заканчиваются одинаково: купюра лежит под ключом, который знает только получатель.

Размен и объединение

Купюры бывают только фиксированных номиналов — как и бумажные деньги. Если нужно заплатить 30 MAGLD, а у вас купюра в 100 MAGLD, вы разменяете её на десять купюр по 10 MAGLD. Три отдадите, семь оставите себе. Сдача — ровно как с наличными.

В обратную сторону: десять купюр по 10 MAGLD можно объединить в одну купюру в 100 MAGLD. Номиналы идут с шагом в десять раз, поэтому любую сумму можно набрать горсткой купюр.

Что записывает система

Каждая операция — создание, смена замка, размен, объединение, погашение — публична и у всех на виду. Чего не видит никто, так это кто её совершил: у системы просто нет понятия «кто». Нет поля отправителя. Нет поля получателя. Нет адресной книги. Нет счёта.

Система записывает, что купюра сменила руки. Чьи это были руки, она не записывает. Купюра со сроком показывает и свои условия — срок и ключ, к которому она возвращается, — пока срок действует.

на практикеMarigold в обычной жизни

Купюра Marigold — это всего лишь ключ, поэтому в жизни ею пользуются так же просто, как бумажными деньгами. Вот как это выглядит.

Распечатайте и потратьте

Любую купюру в приложении-кошельке можно показать на экране как QR-код. Этот QR-код можно распечатать на бумаге, сложить и положить в кожаный бумажник — рядом с банковскими картами и водительскими правами. Этот листок бумаги и есть деньги. Покажите его человеку — он отсканирует код, сменит замок, и купюра станет его. Ваш ключ больше не работает. Бумажка у вас в кармане теперь ничего не стоит — деньги перешли к нему.

Это не метафора. В напечатанном QR-коде лежит настоящий ключ. Потерять его — всё равно что потерять стодолларовую банкноту: кто нашёл, тот и потратил. Хранить его — та же ответственность, что и хранить наличные. Нет ни горячей линии для восстановления, ни кнопки «сообщить о краже», ни банка, который отменит перевод. Вот что значит «на предъявителя», и в этом весь смысл.

Подарите

Открытка ко дню рождения с распечатанным QR-кодом внутри ничем не отличается от открытки с вложенной банкнотой в пятьдесят долларов. Получатель сканирует код, сразу меняет замок — и купюра бесповоротно его. Не нужно заводить счёт, не нужно ничего ждать. Открыл конверт — деньги уже в руках.

Оставьте наследство

Запечатанный конверт в банковской ячейке, а в нём распечатанные QR-коды нескольких купюр, работает ровно так же, как конверт с наличными. Кто его вскроет, у того и ключи. У кого ключи, у того и купюры. Чтобы деньги перешли дальше, не нужны ни душеприказчик, ни суд, ни чьё-либо разрешение — хотя, как и с бумажными деньгами, юридическая сторона наследования остаётся отдельным вопросом, которого система не касается и коснуться не может. Система гарантирует только одно: у кого ключ, у того и купюра.

Заплатите на рынке

Вы покупаете помидоры. Продавец показывает QR-код — свой запрос на оплату. Вы сканируете его приложением-кошельком, выбираете купюру, которой хотите заплатить, и телефон меняет замок сразу на ключ продавца. Меньше чем через секунду купюра принадлежит ему. Вы забираете помидоры. Продавец не увидел ни вашего имени, ни адреса, ни счёта. Вы не увидели его. Платёж завершён, окончателен и забыт — совсем как наличными.

Получайте деньги, пока вас нет

Опубликуйте один ключ — на визитке, в витрине, в профиле — и любой сможет заплатить вам в любой час. Каждый платёж ложится под новый ключ, который только ваш кошелёк умеет вывести из опубликованного, так что цепочка никогда не показывает два платежа, пришедших в одно место. Платёж на такой ключ может иметь срок, и тогда отправитель знает: если вы так и не заберёте деньги, они вернутся к нему. Ваш кошелёк забирает всё, что ждёт, когда в следующий раз работает.

Храните офлайн

Боитесь взлома? Распечатайте купюры в виде QR-кодов, уберите в несгораемый ящик и удалите приложение. Сами купюры остаются в блокчейне. Ключи остаются на бумаге. Ни на одном устройстве с выходом в сеть их нет. Когда захотите потратить — отсканируйте QR-код обратно в кошелёк, сразу смените замок (вдруг кто-то переснял бумагу, пока она лежала) и платите как обычно.

Переносите между кошельками

Купюра — это самостоятельный ключ, не привязанный ни к сид-фразе, ни к счёту, поэтому её можно в любой момент перенести из одного кошелька в другой. Выгрузите ключ из одного приложения, загрузите в другое. Никакой транзакции в блокчейне, никакой комиссии, вообще никакого обращения к сети. Купюра одинаково работает в любом кошельке, который поддерживает Marigold: выбирайте приложение по вкусу, меняйте когда захотите — деньги идут с вами.

Общее во всех этих случаях одно: купюра Marigold — это ключ, а ключ можно распечатать, отправить сообщением, вложить в конверт, прилепить на холодильник или выучить наизусть. Системе всё равно, как ключ путешествует от человека к человеку, — она вообще не знает, что люди существуют. Она знает только ключи и купюры. Поэтому у любого способа передать бумажную банкноту здесь есть прямой цифровой аналог.

И ничему из этого не нужна связь. Биткойн можно хранить офлайн в виде QR-кода, но потратить его так нельзя: заплатить — значит отправить транзакцию, то есть кто-то должен быть в сети, а кошелёк, который никогда не бывает в сети, платить не может. Купюра Marigold — это сам ключ, поэтому она может переходить из рук в руки офлайн, ровно как бумажная купюра; сеть нужна лишь тогда, когда новый владелец решит сменить замок. Чтобы платить, не нужно быть подключённым, и не нужен кошелёк, который постоянно в сети.

в телефонеТелефон — это пульт, а не кошелёк

Всё, что вы делаете за собственной клавиатурой, можно сделать и с телефона, в чате Telegram: посмотреть баланс, заплатить, принять купюру, выставить запрос на оплату, полистать историю, проверить, работает ли ваш майнер. Меняется не то, что вы можете сделать. Меняется то, где лежат деньги, — а на телефоне их нет.

Кошелёк работает у вас дома, на том, что и так включено: ноутбук в ящике стола, маленький компьютер рядом с роутером. Он держится в ногу с блокчейном, хранит ваши купюры и отвечает на ваши сообщения. В телефоне, который лежит у вас в кармане, нет ни ключей, ни купюр. Он разговаривает только с Telegram. Потеряете его — потеряете пульт.

Бот ваш, а не наш. Вы заводите его в Telegram минуты за две, отдаёте кошельку токен и связываете их коротким кодом. С этого момента кошелёк отвечает одному-единственному аккаунту Telegram и не слушает никакой другой. Никакого сервера Marigold посередине, никакой регистрации у нас, никакого парка машин, от которого зависел бы ваш телефон. Кошелёк сам обращается к Telegram; снаружи к нему не обращается никто, и на роутере ничего открывать не нужно.

Траты защищены так же, как банковская карта: PIN перед любой операцией с деньгами, блокировка после трёх неверных попыток, снять которую может только домашняя машина, и дневной лимит, который вы задаёте сами. Этот аккаунт Telegram теперь может двигать деньги, значит, ему нужна двухфакторная аутентификация — бот скажет вам об этом при первом же разговоре.

Тот же чат хранит и вашу резервную копию. Стоит один раз попросить — и кошелёк выкладывает туда зашифрованную копию самого себя и дальше поддерживает её сам: полная копия раз в неделю, изменения — через несколько минут после платежа, тихо, без уведомлений. Если домашняя машина умрёт, вы пересылаете эти сообщения новому кошельку, и всё на месте. Копия закрыта вашими 24 словами и ничем больше: не паролем кошелька, который вы вводите каждый день и выбирали так, чтобы его помнить, — и который любой, у кого есть копия файла, мог бы перебирать сколько угодно. 24 слова угадать нельзя. Запишите их, когда кошелёк их покажет — затем он спросит два из них, чтобы убедиться, — и резервная копия на чужом сервере останется для всех, кроме вас, просто шумом.

Теперь про ограничения, честно и прямо. Пока домашняя машина выключена, телефон не может вообще ничего: ни баланса, ни платежей, ни приёма денег. Платёжный код, отправленный в чат, пока он летит, остаётся ценностью на предъявителя — ровно как распечатанные QR-коды выше: кто прочитал первым, тот и забрал. А настоящее мобильное приложение, которое само хранит ключи, — задача на потом и, скорее всего, для кого-то другого. Эта версия не просит вас доверять никому.

Есть и второй способ использовать телефон, вовсе без бота и полностью офлайн: как место, где купюры хранятся в виде картинок. Купюра — это ключ, а QR-код этого ключа — это и есть деньги, так что телефон с несколькими такими картинками — кошелёк с несколькими купюрами внутри, и чтобы передать одну, не нужны ни сеть, ни аккаунт, ни приложение — только экран, который другой человек может отсканировать. Обращайтесь с ними ровно как с наличными: любой, кто увидит, скопирует или отсканирует такую картинку, может забрать купюру, повесив на неё свой замок, — скриншот в общем альбоме это купюра, забытая на столе. У Marigold нет отдельного приложения для телефона, и это намеренно. Полный кошелёк работает на компьютере, который контролируете вы, а телефон — либо пульт к нему, либо карман для купюр.

честные границыЧто наблюдатель видит, а чего не видит

Marigold — не приватная монета, и этот документ не станет делать вид, что это не так. Вот что именно может выяснить тот, кто наблюдает за системой.

Видно: каждую купюру, каждый номинал, каждую операцию, сколько всего монет существует и всё текущее состояние системы. Всё это у всех на виду. Ничто и никогда не шифруется.

Видно: цепочку операций — какая купюра превратилась в какую новую, когда происходили размены и объединения, как операции распределены во времени. Упорный аналитик, изучая публичные записи, может выделить поведенческие закономерности: быструю череду платежей, связки «разменял и потратил» или ежедневный ритм торговца, который принимает купюры и объединяет их.

Видно: кто создавал и погашал купюры — если наблюдателю удастся связать обычный адрес в блокчейне с живым человеком. Места, где Marigold стыкуется с традиционным миром блокчейна, просматриваются полностью.

Не видно: никакой личности за платежом внутри системы. Видеть нечего: эти данные никогда не записывались.

Купюра теряется среди всех остальных купюр того же номинала: купюра в 100 MAGLD выглядит как любая другая купюра в 100 MAGLD, и дальше этой группы круг не сузить. Кошелёк умеет размывать поведенческие следы — слегка разбрасывать операции во времени, собирать их в группы, брать для комиссии разные номиналы, — но это хорошие привычки, а не волшебство. Ничего большего Marigold не обещает.

арифметикаПочему это честные деньги

Каждые несколько секунд каждый участник проверяет одно-единственное правило:

правило сохранения

Все существующие купюры + все монеты на традиционной стороне = все когда-либо добытые монеты.

Если равенство не сходится, значит, что-то не так, и сеть видит это сразу же. Общее количество монет поддаётся проверке в любой момент — не через доверие аудитору, не через доверие сложной системе доказательств, а с помощью арифметики, которую по силам проделать кому угодно.

Внутри системы ценность не появляется из ниоткуда и не исчезает. Уплата комиссии убирает купюру из пула, но её номинал зачисляется майнеру и в любой момент может снова стать новой купюрой. Правило сохранения действует безусловно и для всех.

цепочкаБыстрый настолько, что похож на наличные

Правило расчёта простое: купюра ваша, когда сеть подтвердила смену замка. А значит, время подтверждения — это время передачи денег из рук в руки. В Bitcoin вы стояли бы у прилавка десять минут. В Ethereum — около двенадцати секунд. В Marigold — меньше секунды.

Marigold работает на блокчейне с proof-of-work, который выдаёт примерно 10 блоков в секунду, так что подтверждение приходит быстрее, чем за секунду. Технологию, лежащую в основе, построил проект Kaspa — быстрый, надёжный, хорошо проверенный блокчейн. Marigold добавляет поверх этого фундамента систему купюр и её экономику, а базовый слой оставляет как есть: он прекрасно делает свою работу.

Несколько слов об энергии. История Marigold с энергией не в том, что её тратится мало: блокчейн на proof-of-work притягивает ровно столько майнинга, сколько стоят его награды, и успешный Marigold исключением не станет. История в том, что ни киловатта из этого не уходит на ожидание. Классический блокчейн может принять только один блок за раунд; блоки, добытые параллельно, выбрасываются, и сеть остаётся защищённой лишь потому, что остаётся медленной. Блокчейн, на котором работает Marigold, сохраняет каждый блок — найденные в один и тот же миг вплетаются в общий реестр вместе, и считаются они все. Именно поэтому тот же бюджет безопасности даёт десять блоков в секунду и расчёт быстрее секунды вместо десятиминутной очереди. В пересчёте на один платёж разница в эффективности огромна. А в целом это та же честная арифметика, что и всё остальное здесь: энергия тратится соразмерно тому, что она защищает.

экономикаЭкономика вкратце

Всего монет: 210 000 000 MAGLD, жёсткий предел. Никакого премайна, никакого фонда разработчиков, никаких распределений вообще.
Запуск: честный запуск с первого дня. Программа доступна всем заранее. Все начинают в равных условиях.
Эмиссия: плавная и постепенная — награда за майнинг уменьшается вдвое каждые три года, без резких обвалов. За первый год добывается около 21%, к десятому — около 90%.
Базовая единица: 1 MAGLD = 100 000 000 лепестков.
Самая мелкая купюра: 0,01 MAGLD, и комиссия — одна такая купюра. Если 1 MAGLD станет стоить больше примерно доллара, обновлением сети добавляется купюра 0,001 (или мельче), и комиссией становится эта новая самая мелкая купюра; все существующие купюры остаются как есть.
Стоимость платежа: 0,01 MAGLD — одна сотая монеты — за любой обычный платёж, сколько бы вы ни отправляли. Комиссия — это одна маленькая купюра, которая передаётся вместе с платежом, поэтому перевести стоимость кофе и стоимость автомобиля стоит одинаково. Только необычно крупные операции, в которых разом участвуют десятки купюр, поднимаются до двух-трёх сотых.
Комиссии: все комиссии уходят майнерам. Ничего не сжигается, ничего не отводится в сторону. Экономика наличных, где каждый платёж — это транзакция в блокчейне, даёт ровный поток комиссий, какого не будет у блокчейнов, созданных хранить стоимость.

защита на стартеСтраховочные колёса, которые снимут

У нового блокчейна на proof-of-work мало вычислительной мощности, а малая мощность притягивает атаки. Marigold запускается с временной и полностью открытой страховкой — якорями финальности: пять публично названных доверенных лиц время от времени совместно подписывают (нужны минимум трое из пяти) один из недавних блоков, делая его постоянным и необратимым. Отменить заякоренный блок не может никто.

Доверенные лица не могут ни цензурировать транзакции, ни создавать монеты, ни двигать чужие деньги, ни производить блоки. Вся их власть — не дать отменить уже состоявшиеся платежи. Если они замолчат, блокчейн продолжит работать как обычная сеть на proof-of-work — чуть менее защищённая, но полностью работоспособная.

Эта страховка задумана так, чтобы однажды исчезнуть. Как только мощность сети вырастет настолько, что атака станет непозволительно дорогой, якоря перестанут быть обязательными, потом станут просто рекомендательными, а потом отключатся совсем. Ещё раньше выбор новых доверенных лиц должен перейти к голосованию держателей купюр — так что даже остаток страховочных колёс переходит от основателей к сообществу до того, как их снимут окончательно.

В публичной тестовой сети эта страховка работает уже сейчас: пять ключей доверенных лиц, якорь примерно каждые тридцать секунд, каждый узел его соблюдает. Доверенные лица тестовой сети — одноразовые ключи, сделанные для репетиции; настоящие выберут при запуске.

короткоЧем Marigold является — и чем нет

Marigold — это цифровые наличные. Купюры — инструменты на предъявителя. У кого ключ, тот и владелец. Передан ключ — расчёт состоялся. Блокчейн говорит всё о деньгах и молчит о людях — ровно как долларовая банкнота.

Marigold — не приватная монета. Ничто не шифруется. Ничто не прячется. Это различие — не эвфемизм: приватные монеты криптографически скрывают записанные данные, а Marigold не записывает данных, которые надо было бы скрывать. То, что роднит его с наличными, названо точно и честно ограничено: система по замыслу говорит всё о деньгах и по замыслу молчит о людях.

Marigold — это пять операций, одно правило сохранения, состояние у всех на виду, обычные цифровые подписи, неизменное количество монет, которое каждый проверяет в любой момент, — и всё это в сети, настолько быстрой, что передать купюру — всё равно что передать банкноту из рук в руки.

Всё, что он делает, могут проверить те, для кого он сделан.

Скачать PDF (на английском)

问题数字货币丢掉了现金的长处

从钱包里抽出一张钞票，注意三件事：

谁拿着它，它就是谁的。没有账户，不用登录，没有中间人。持有就是所有权。
它没有记忆。这张钞票不记得上一个花它的人是谁。没有任何记录把你和今早那杯咖啡连在一起。
谁都能验它的真假。对着光照一照，摸一摸纸面。不需要任何专业知识。

没有一种主流的数字货币能同时做到这三点。

比特币给了你第一点和第三点：掌握钥匙就等于拥有币，而且任何人都能验证这套系统是否诚实。但它在第二点上输得很惨。每一枚挖出来的比特币都永久、公开地带着自己的全部历史。你付款用过的、收款用过的每一个地址，都被串进一张任何人都能拿去分析的图里。你的币记得你对它做过的一切。还有一个更隐蔽的缺口：比特币可以离线保存为二维码，却不能像一张离线的钞票那样用来付款——花掉它就意味着要广播一笔交易。Marigold 正是专门为此而设计：一张纸币可以像现金一样直接交到对方手里。

Monero、Zcash 这类隐私币想用加密历史的办法解决这个问题。东西确实藏住了——但负责藏东西的那套密码学又带来两个新麻烦。第一，几乎没有人能亲自验证这套系统是诚实的。你只能相信素未谋面的专家，相信那些数学里没有漏洞、没有后门。第二，监管者看一眼这些复杂的密码学，就照此给这种币定性——下架、限制、被当成对手对待，起因不是这种币做了什么，而是它用什么方式去做。

于是局面变成二选一：要么透明但没有隐私，要么有隐私但无从信任。现金本来毫不费力地两样都有。数字货币不知怎么就把这件事忘了。

关键想法不去藏痕迹——干脆不留痕迹

设想你站在一个菜市场摊位前。你递给摊主一张五块钱的钞票。摊主把它放进钱箱。当天晚些时候，摊主拿这张钞票在面包店花掉了。面包店又把它找给了下一位顾客。

现在想一想：谁能顺着这张钞票查到你？没有人。不是因为它的旅程被加密或被藏了起来——它每一步都明明白白摆在眼前——而是因为钞票本身从不记录谁把它交给了谁。你和摊主之间的那层关系，从来没被写下来过。它只存在于交接的那一瞬间，然后就没了。

这就是「把信息藏起来」和「压根不收集信息」的区别。隐私币选择藏。Marigold 选择不收集。

工作原理用纸币，不用账户

大多数加密货币的运作方式像银行账户。你有一个地址（相当于账号），交易在地址之间搬运价值。地址是公开的，地址之间的每一次流动都被永久记录。这是会计的梦想，隐私的噩梦。

Marigold 的运作方式像现金。这里没有账户，系统维护的是一池纸币——把它们想成数字版的钞票。

每一张纸币都是一条简单的公开记录：

一个编号（就像钞票上的冠字号）
一个面额（0.01、0.1、1、10、100、1,000、10,000 或 100,000 MAGLD）
一把锁（一个公钥——谁持有配对的钥匙，谁就能花掉它）

就这些。没有持有人姓名，没有地址，没有身份。纸币并不知道它在谁手上。它只知道有一把钥匙存在，谁能开锁，谁就能花掉它。

付款

给别人付钱就像递出一张钞票，只多一个步骤：

你把这张纸币的钥匙交给对方（用 QR 码、短信，甚至口头念出来——就像分享一张照片那样）。
对方立刻换锁——他们记一笔交易，把你的钥匙换成一把只有他们知道的全新钥匙。这在一秒之内就会确认。

换锁一经确认，这张纸币就不可撤销地属于他们了。你手上那把钥匙不再管用。结算完成。

另一种做法是：如果对方能提前把新钥匙给你（比如通过一张收款请求），你可以直接把锁换成他们的钥匙。你的钥匙哪儿也不用去。

第三种做法用于付钱给不在场的人。你把锁换成只有对方持有的钥匙，并设一个期限。期限之前，只有对方能取走这张纸币；期限一到，只有你能把它收回。对方想什么时候收就什么时候收；若一直不收，这笔钱会自动重新归你。期限由网络执行，而不是由任何人的钱包执行。

三种做法的结局相同：纸币落在一把只有收款人知道的钥匙之下。

拆分与合并

纸币只有固定的几种面额，和现钞一样。如果你要付 30 MAGLD，手上却是一张 100 MAGLD 的纸币，你就把它拆分成十张 10 MAGLD 的纸币，递出去三张，留下七张。找零——和现金一模一样。

反过来，十张 10 MAGLD 的纸币可以合并成一张 100 MAGLD 的。面额按十倍递进，所以任何金额都能用几张纸币付清。

系统记录了什么

每一次操作——创建、换锁、拆分、合并、赎回——都是公开的，明明白白摆在那里。没人能看到的是谁做的，因为系统里根本没有「谁」这个概念。没有付款方字段，没有收款方字段，没有通讯录，没有账户。

系统记下的是一张纸币易了手，而不是易到了谁手上。带期限的纸币还会显示它的条件——期限，以及到期后回到哪把钥匙——直到期限结束。

实际使用在现实生活中使用 Marigold

一张 Marigold 纸币无非就是一把钥匙，所以在现实生活里用它，和用现金一样简单。具体是这样：

打印出来，直接花

钱包应用里的每一张纸币，都可以显示成一个 QR 码。你可以把这个 QR 码打印在纸上，折好，塞进皮夹——就夹在信用卡和驾照旁边。那张纸就是钱。把它亮给别人看，对方一扫、一换锁，纸币就归他们了。你手上的钥匙不再管用。你口袋里的那张纸这时已经一文不值——价值已经转到了他们那边。

这不是打比方。打印出来的 QR 码里装的就是真正的钥匙。弄丢了，等于弄丢一张百元大钞：谁捡到谁就能花。保管它的责任，和保管现金完全一样。没有挂失热线，没有「举报被盗」的按钮，没有哪家银行能把交易撤回来。这就是不记名的含义，也正是全部要点所在。

当礼物送

一张里面夹着打印 QR 码的生日贺卡，和一张里面夹着五十元钞票的生日贺卡，没有区别。收到的人扫一下，立刻换锁，这张纸币就不可撤销地属于他了。不用开户，不用等待。信封一拆，钱就在手上。

留作遗产

保险箱里一只封好的信封，装着几张纸币的打印 QR 码，作用和一信封现金完全一样。谁拆开它，谁就拿到钥匙；谁拿着钥匙，谁就拿着纸币。价值的转移不需要遗嘱执行人，不需要遗产法庭，不需要任何第三方点头——不过，和现金一样，继承在法律上的安排是另一回事，系统不处理，也没法处理。系统只保证一件事：持有钥匙，就是持有纸币。

在菜市场摊位付款

你在买西红柿。摊主亮出一个 QR 码——那是他的收款请求。你用钱包应用扫一下，挑一张要付的纸币，手机就直接把锁换成摊主的钥匙。不到一秒，纸币归他了。你拎起西红柿走人。摊主从头到尾没看见你的名字、住址或账户，你也没看见他的。这笔交易结清了，是终局，转头就能忘掉——和现金一样。

人不在也能收款

公开一把钥匙——印在名片上、贴在橱窗里、放在个人资料中——任何人都可以在任何时候付钱给你。每一笔付款都落在一把新钥匙之下，这把钥匙只有你的钱包能从你公开的那把推算出来，所以链上永远不会显示有两笔付款到达同一个地方。付到这把钥匙的款项可以带期限，付款人因此知道：如果你一直不收，钱会回到他那里。你的钱包下次运行时，会把等着的款项一并收下。

离线冷存

担心黑客？把纸币打印成 QR 码，放进防火盒，然后把应用删掉。纸币存在于区块链上，钥匙存在于纸上，没有任何联网设备碰得到它们。想花的时候，把 QR 码扫回钱包应用，立刻换一次锁（万一存放期间有人复印过那张纸），然后照常交易。

在钱包之间搬家

纸币就是一把把独立的钥匙，不绑定任何助记词或账户，所以你随时可以把一张纸币从一个钱包应用搬到另一个。从这个应用导出钥匙，导入那个应用。不需要链上交易，不用付手续费，完全不必和网络打交道。在每一个支持 Marigold 的钱包里，你的纸币用起来都一样——喜欢哪个应用就用哪个，想换随时换，钱跟着你走。

贯穿这些场景的是同一件事：一张 Marigold 纸币就是一把钥匙，而钥匙可以打印、可以发短信、可以折进信封、可以贴在冰箱上，也可以背下来记在脑子里。钥匙怎么在人与人之间流转，系统并不关心，因为系统根本不知道有「人」这回事。它只认识钥匙和纸币——正因如此，现钞能被传递的每一种方式，在这里都有一个直接对应的数字版本。

而这一切都不需要联网。比特币可以离线保存为一个二维码，却没法离线花掉：用它付款就是要广播一笔交易，所以总得有人在线，一个从不上线的钱包是付不了款的。Marigold 纸币本身就是钥匙，所以它可以离线地在人与人之间传递，和一张纸钞一模一样；只有当新的持有人决定换锁时，才会碰到网络。付款不需要联网，也不需要一个永远在线的钱包。

在你的手机上手机是遥控器，不是钱包

在自己键盘前能做的每一件事，你都能在手机上、在一个 Telegram 对话里做完：查余额、给人付钱、收下一张纸币、发起收款请求、翻看历史记录、看看矿机还在不在跑。变的不是你能做什么，而是钱放在哪里——钱不在手机上。

你的钱包跑在家里，随便哪台一直开着的机器都行：抽屉里的一台旧笔记本，路由器旁边的一台小主机。它自己跟上链的进度，保管你的纸币，回复你的消息。你口袋里的手机不存钥匙，也不存纸币，除了 Telegram 什么都不连。丢了，你丢的只是一个遥控器。

机器人是你的，不是我们的。你在 Telegram 里花两分钟做一个，把令牌交给钱包，再用一个配对码把两边连上。从此你的钱包只理会那一个 Telegram 账号，其余一概不理。中间没有 Marigold 的服务器，你不用在我们这儿开户，也没有一批由我们运营、供你手机依赖的机器。是你的钱包主动去找 Telegram；没有任何东西反过来找它，路由器上也不需要开任何端口。

花钱这件事的防护和银行卡一样：任何动钱的操作之前都要输 PIN 码；连错三次就锁死，只有家里那台机器能解开；还有一个由你自己定的每日限额。那个 Telegram 账号现在能动钱了，所以它需要开两步验证——你第一次跟机器人说话时，它就会提醒你。

同一个聊天窗口还替你保管备份。只要你开口一次，钱包就会把自己的一份加密副本发到那里，并且自动保持最新：每周一份完整副本，每次付款后几分钟内补上变动——静悄悄地，不发任何通知。家里那台机器要是坏了，把这些消息转发给一个全新的钱包，一切都还在。这份副本只用你的 24 个单词上锁，别无其他：不用钱包密码——那是你每天都在敲、特意选得好记的东西，而任何拿到文件副本的人都可以慢慢去试。24 个单词是猜不出来的。钱包把它们显示出来的时候就抄下来——随后它会抽问其中两个，确认你抄对了——这样，放在别人服务器上的备份，对除你以外的所有人来说都只是一堆噪音。

把局限说清楚。家里那台机器关着的时候，手机什么也做不了：查不了余额，付不了钱，也收不了钱。通过聊天发出去的付款码，在路上的那段时间就是不记名的价值，和前面说的打印 QR 码完全一样——谁先读到，谁就能拿走。至于真正的手机应用，也就是自己保管钥匙的那一种，是以后的事，多半也该由别人来做。眼下这一版的好处是：它不要求你信任任何人。

手机还有第二种用法，完全不需要机器人，而且完全离线：把纸币当作图片存起来。一张纸币就是一把钥匙，这把钥匙的二维码就是钱本身，所以一部存着几张这种图片的手机，就是一个装着几张钞票的钱包——把其中一张交给别人，不需要信号、不需要账户、不需要应用，只需要一块对方能扫的屏幕。请把它们完全当作现金对待：任何人只要看到、复制或扫描其中一张，就能给它换上自己的锁，把这张纸币据为己有——放在共享相册里的一张截图，就是一张忘在桌上的钞票。Marigold 有意不做独立的手机应用。完整的钱包运行在你自己掌控的电脑上，手机要么是它的遥控器，要么是装纸币的口袋。

诚实的边界旁观者能看到什么，不能看到什么

Marigold 不是隐私币，这份简明白皮书也不会假装它是。一个盯着这套系统看的人究竟能推断出什么，下面说清楚：

他们能看到：每一张纸币、每一个面额、每一次操作、总供应量，以及系统当前的完整状态。全都摆在明面上。任何东西都不加密，从来不。

他们能看到：操作的链条——哪张纸币换成了哪张新纸币，拆分和合并发生在什么时候，时间上的规律。一个下功夫研究公开记录的分析者，能识别出行为模式：连续的快速付款、先拆分再花掉的序列，或者一个商家每天收款并合并的节奏。

他们能看到：谁创建了纸币、谁赎回了纸币——前提是他们能把一个普通的区块链地址对上现实世界里的某个身份。Marigold 与传统区块链世界相接的那几个点，是完全可见的。

他们看不到：系统内部任何一笔付款背后的身份。没什么可看的，因为这些数据从来没被记录过。

一张纸币混在所有同面额的纸币里——一张 100 MAGLD 的纸币，看上去和其他每一张 100 MAGLD 的纸币都一样，能说的也就到这个范围为止。钱包软件可以把行为模式弄模糊（让时间稍微随机、把操作打包在一起、变换手续费用哪种面额的纸币），但这是好习惯，不是魔法。Marigold 不作更大的承诺。

算术它为什么是诚实的钱

每隔几秒，每一个参与者都会验证同一条规则：

守恒规则

现存的所有纸币 + 传统侧的所有币 = 历来挖出的币总量。

只要这条式子不成立，就是出了问题，而且网络立刻就能看见。供应量在任何时刻都对得上账——靠的不是信任某个审计机构，也不是信任某套复杂的证明系统，而是人人都会算的加减法。

系统内部从不凭空产生价值，也从不销毁价值。付手续费会把一张纸币从池子里拿走，但它的价值记到了矿工名下，随时可以重新变成一张新纸币。这条守恒规则是绝对的，没有例外。

这条链快到像现金一样

结算规则很简单：当你的换锁在网络上被确认，这张纸币就是你的了。也就是说，确认时间就是交接时间。换成比特币，你得在菜市场摊位前站上十分钟；换成 Ethereum，大约十二秒；在 Marigold 上，不到一秒。

Marigold 跑在一条工作量证明区块链上，每秒产出约 10 个区块，确认时间因此在一秒以内。底层技术出自 Kaspa 项目——一条快速、可靠、经过充分检验的区块链。Marigold 在这个地基之上加了纸币系统和它的经济规则，底层原样保留，因为它的本职工作做得非常出色。

关于能耗，补一句。Marigold 在能耗上的说法不是「用得少」——一条工作量证明链，奖励值多少就会招来多少算力，Marigold 若是成功了也不会例外。它的说法是：这些电力没有一分花在等待上。传统区块链每一轮只能接受一个区块，同时挖出的其他区块统统作废，于是网络只能靠慢来保住安全。Marigold 所在的这条链把每个区块都留下——同一刻产出的区块会一起织进账本，每一个都算数——正因如此，同样的安全预算换来的是每秒十个区块、一秒以内的结算，而不是十分钟的排队。分摊到每一笔付款上，效率差距是巨大的。总的来说，这和这份文档里的其他部分是同一套诚实的算术：花掉的能量，与它所保护的价值成比例。

经济模型经济模型一览

供应量：210,000,000 MAGLD，硬顶。没有预挖，没有开发者基金，没有任何形式的份额分配。
启动方式：从第一天起就是公平启动。软件提前向所有人开放。每个人站在同一条起跑线上。
发行曲线：平滑渐进——挖矿奖励每三年减半，不会突然掉一截。第一年挖出约 21%，到第十年约 90%。
基本单位：1 MAGLD = 100,000,000 花瓣。
最小面额： 0.01 MAGLD，手续费就是这样一张纸币。倘若 1 MAGLD 的价值超过大约一美元，网络升级会加入 0.001（或更小）的纸币，手续费改为这张新的最小纸币；所有现有纸币保持原样。
付款成本：0.01 MAGLD——一枚币的百分之一——适用于任何日常付款，不管你转的是多少。手续费就是随付款一起递出去的一张小面额纸币，所以买一杯咖啡和买一辆车，搬动的代价一样。只有特别大的操作，一次打包几十张纸币，才会涨到百分之二或百分之三。
手续费去向：全部归矿工。不销毁，不挪作他用。在一个现金型经济里，每一笔付款都是一笔链上交易，由此产生的稳定手续费收入，是价值储存型的链比不了的。

启动期安全会拆掉的辅助轮

一条新的工作量证明链算力低，而算力低会招来攻击。Marigold 启动时带了一项临时的、完全公开的保护措施，叫做终局锚点：五位公开身份的受托人定期共同签名（至少要五分之三），把某个近期区块钉死，使它永久且不可逆转。被锚定的区块，谁也推翻不了。

受托人不能审查交易，不能凭空造币，不能动任何人的资金，也不能生产区块。他们唯一的权力，是阻止已完成的交易被推翻。如果他们集体沉默，这条链会作为一条普通的工作量证明网络照常运行——保护弱一些，但功能完好。

这项保护措施从设计之初就是要退场的。等网络算力壮大到攻击的代价高得不划算，锚点就从「强制」降为「参考」，再到彻底失效。在那之前，后继受托人的推选权计划移交给纸币持有人治理——也就是说，辅助轮在被彻底拆掉之前，连它最后残留的那点作用，也已经从创始团队转到了社区手里。

在公开测试网上，这项保护措施现在就在运行：五把受托人钥匙，大约每三十秒一个锚点，每个节点都在执行。测试网上的受托人是为演练准备的一次性钥匙；正式的一组在上线时选定。

一句话Marigold 是什么——不是什么

Marigold 是数字现金。纸币是不记名票据。持有钥匙就是拥有，交出钥匙就是结算。这条链把价值记得一清二楚，对人只字不提——和一张钞票一模一样。

Marigold 不是隐私币。没有任何东西被加密，没有任何东西被隐藏。这个区分不是修辞上的遮掩：隐私币用密码学把记录下来的数据藏起来，而 Marigold 压根不记录可藏的数据。它与现金相似的地方是具体的，界限也老实——这套系统在设计上对价值一清二楚，对人只字不提。

Marigold 就是五种操作、一条守恒规则、摊在明面上的状态、普通的数字签名、一个由所有人时刻核对的固定供应量，跑在一个足够快的网络上——快到递出一张纸币，就像递出一张钞票。

它做的每一件事，它服务的每一个人都能亲自核验。

下载 PDF（英文）