付钱这件事，能不能既看不见买家，又看得见卖家

目录

• 盲签：1982 年的密码学，怎么变成了支付系统
• GLS 退出了，Taler 决定自己开公司
• 为什么不是区块链：Taler 拒绝的三条路
• 四种支付系统，只有一种把买家藏起来
• 我在服务器上跑了一遍盲签协议
• 中国的移动支付不需要盲签——它直接不藏

---

盲签：1982 年的密码学，怎么变成了支付系统

David Chaum 在 1982 年提出了一个看似矛盾的想法：银行替你签字据，但银行不知道签的是哪张。

这叫盲签名（blind signature）。原理不复杂——客户把想签的东西用一个随机数「蒙上」交给银行，银行签完字，客户把蒙眼布摘掉，得到的就是银行对原始内容的有效签名。银行知道它签了什么，但不知道签给了谁。

这个协议是 GNU Taler 的核心机制。Taler 全称是 Taxable Anonymous Libre Electronic Resources——「可纳税的匿名自由电子储备」。名字里的矛盾就是设计意图：买家匿名，卖家可查。

Taler 由 Christian Grothoff 和 Florian Dold 开发，2014 年在法国 INRIA 启动，2015 年成为 GNU 官方软件包。2025 年 5 月发布 1.0 版，同月在瑞士上线运营——伯尔尼应用科学大学的一台零食机是它的第一个生产环境用户。2026 年 10 月，项目宣布将在德国成立 Taler Operations AG，向 BaFin（德国联邦金融监管局）申请电子货币发行牌照。

从「论文里的密码学原语」到「在德国申请金融牌照」，Taler 走了 12 年。

GLS 退出了，Taler 决定自己开公司

2026 年 1 月，原本负责发行电子货币的 GLS Bank 做了一个决定：不再担任 Taler 的电子货币发行方。

GLS 是一家总部在波鸿的伦理银行——不是传统大行，是德国「另类银行运动」的产物。NGI Taler 联盟最初的设计是：Taler 协议和软件保持自由开源（客户端 GPL-3.0，服务端 AGPL-3.0），但实际的电子货币发行由一家持牌银行来担——因为欧盟法律要求，任何发行电子货币的机构必须持有 EMI（电子货币机构）牌照。GLS 来扮演这个角色。

但把一套新型支付系统塞进一家现有银行的合规框架、IT 流程和产品组合里，比预想的难。GLS 在声明中说，退出原因「与 Taler 本身无关」——是银行在内部优先级排序后做出的决定。

Taler 的回应是成立一家专门的运营公司：Taler Operations AG，同样设在波鸿，是卢森堡 Taler Systems SA 的子公司。这家公司的唯一业务就是运营 Taler 欧元支付系统——申请 BaFin 牌照、组建合规和技术团队、在拿到授权后上线服务。

这反而有一个结构性优势：运营 Taler 的机构不需要在「支付业务」和「银行其他产品线」之间做取舍。它就是为 Taler 而生的。

公司正在募资。法律要求 EMI 持有最低自有资金，BaFin 还要看商业计划、人员配置、合规和 IT 安全方案。Taler Operations AG 寻找投资额至少 50,000 欧元的投资者——特别欢迎认同 Taler 价值观的人：买家隐私、卖家透明、无锁定、支付作为公共基础设施。

为什么不是区块链：Taler 拒绝的三条路

Taler 的 FAQ 开篇就回答了一个问题：「Taler 和比特币、区块链是什么关系？」

答案很直接：Taler 不需要区块链，不依赖工作量证明或任何分布式共识机制。它使用盲签名。

这意味着 Taler 拒绝了三条当下最流行的支付技术路径：

第一条路：加密货币。 比特币和以太坊的哲学是「不需要信任任何中间人」——用数学和分布式账本取代银行。Taler 不走这条路，因为它要解决的不是「信任银行」的问题，是「在信任银行的条件下保护买家隐私」的问题。比特币的伪匿名性（钱包地址不直接关联身份，但链上记录永久公开）在隐私强度上甚至不如盲签——盲签的银行压根拿不到可关联的交易记录。

第二条路：央行数字货币（CBDC）。 中国的数字人民币、欧洲的数字欧元提案，本质是央行直接发行的数字法币。它们解决了「银行中介」的成本问题，但把所有交易记录集中到了一个节点。Taler 的设计是买家匿名——央行拿不到「谁买了什么」的信息，但卖家端完全可查。

第三条路：平台支付。 支付宝、微信支付、PayPal、Venmo。它们高效、便捷、渗透率高，但每一笔交易都经过平台的服务器，平台知道一切——买了什么、从哪到哪、多少钱、什么时间。在移动支付渗透率超过 90% 的中国市场，这套系统运行得无比顺滑，代价是买家隐私从架构层面被放弃了。

Taler 走第四条路：电子现金。你的钱包里存着银行盲签过的「数字硬币」，花出去的时候不需要联网验证身份，交易是点对点的（技术上由支付服务提供商中转，但看不到买方身份）。卖家收到硬币后存入自己的账户，银行确认签名有效——但不知道这枚硬币是谁提取的。

钱包丢了怎么办？和物理钱包一样——你的钱没了。Taler 的盲签名意味着发行方无法帮你恢复钱包，因为它不知道哪些硬币属于你。FAQ 说得很坦白：「就像实体钱包一样，你自己负责保管它。」

四种支付系统，只有一种把买家藏起来

把主流支付系统放在同一张表上看，Taler 的独特位置就清楚了。

比特币：买家伪匿名（链上地址不直接关联身份，但可追踪），卖家伪匿名，税务可逃避，交易成本随网络拥堵波动——$1 到 $10 不等。

支付宝/微信：买家被全面监控（平台知道每笔交易的双方、金额、商品类别），卖家被识别，税务强制执行，成本被平台补贴到 0.1%-0.6%——但「补贴」本身意味着平台用数据换利润。

信用卡：买家被追踪（卡号、消费习惯、位置数据），卖家被识别，税务执行，成本 1.5%-3% 加固定费用——Visa 和 MasterCard 的利润模型就是从这条中间层抽税。

GNU Taler：买家匿名（盲签），卖家被识别，税务执行，交易成本估计约 0.001 欧分/笔（在大规模摊销后）。

只有 Taler 同时满足「买家匿名」和「卖家可纳税」。其他系统要么两头都藏（比特币），要么两头都看（平台支付），要么两头都追（信用卡）。

0.001 欧分/笔这个数字来自 Taler FAQ 的估算，标注了前提条件：「高交易量下摊销，不含迁移成本。」FAQ 也说，「实际可能 10 倍于此，取决于监管要求的托管和备份方案。」

我在服务器上跑了一遍盲签协议

概念理解了，但盲签到底怎么运作的？我在服务器上用 Python 实现了一遍 Taler 的核心协议——一个最小化的盲签名演示。

流程是这样的：

1. 客户生成硬币 ID（比如 coin-001-1EUR），计算它的哈希值 m
2. 客户用随机数 r 对 m 做盲化：m' = m × r^e mod n，把盲化后的 m' 发给银行
3. 银行用自己的私钥签名：s' = m'^d mod n——银行只看到 m'，不知道原始内容
4. 客户去掉盲化因子：s = s' × r^(-1) mod n，得到银行对原始消息的有效签名 s
5. 任何人都可以验证：s^e mod n 是否等于 m

我跑出来的结果：

Bank RSA key: n=617 digits, e=65537
Blind Signature Protocol Result:
  Coin ID: coin-001-1EUR
  Original hash m: 0x653947dbc932725d...
  Blinded message m': 0x2b2ef1357435556c...
  Bank signed (blinded) s': 0x7de18b40f1154ff9...
  Customer unblinded s: 0xaed6552c02ffccc0...
  Verify s^e mod n == m: True

验证通过。银行确实在没看到原始消息的情况下给了有效签名。

这里有几个关键技术细节值得注意：

双重支付防护：每枚 Taler 硬币只能花一次。银行维护一个「已花费硬币」数据库——当卖家存入一枚硬币时，银行检查它的 ID 是否已在库中。如果在，拒绝。这和物理现金一样：你花出去的钞票不能再花一次。

硬币刷新：Taler 还有一个「刷新」操作——把一枚大面额硬币拆成几枚小面额硬币，同样使用盲签。这意味着找零不需要卖家持有现金，也不需要额外交互。

离线友好：Taler 钱包存储数字现金在本地设备上。你的余额在你手里，不在云端。这意味着网络断了也能花钱（直到硬币用完），但也意味着设备丢了余额就没了。

这套协议的底层 RSA 操作在 2048 位密钥下运行正常——我的服务器（4 核 CPU）生成密钥对、盲化、签名、去盲、验证，整个过程不到 1 秒。在真实的 Taler Exchange 里，这些操作通过 HTTP API 完成，延迟主要来自网络而非计算。

中国的移动支付不需要盲签——它直接不藏

说到支付系统，绕不开中国。

中国移动支付的渗透率在 2024 年已经超过 90%。支付宝和微信支付覆盖了从街边小摊到网购大件的几乎所有日常消费场景。扫码、刷脸、NFC、小程序支付——技术形态多样，但架构上有一个共同点：平台知道一切。

每一笔交易，平台都能看到谁、在哪、买了什么、花了多少钱。这不是缺陷，是设计选择。这种全透明架构带来了几个东西：

反洗钱和反欺诈能力极强。 因为所有交易记录都集中在一个节点上，异常模式检测可以在毫秒级完成。微信支付的盗刷率远低于信用卡——不是因为技术更好，而是因为「看得见」。

税务征管成本极低。 平台直接对接税务系统，个体经营者的流水是结构化数据。这比银行对账单好用得多。

个人信用画像的副产品。 支付数据是消费行为数据最密集的来源。这些数据被用于信用评分（芝麻信用）、广告定向、甚至社交关系推断。消费者用便利换了数据，但很少意识到换了多少。

数字人民币（e-CNY）是央行直接发行的数字法币，技术上不需要区块链——和 Taler 一样，它用的是中心化架构。但和 Taler 不同的是，数字人民币的交易记录对央行是可见的。「可控匿名」是官方表述：小额匿名、大额可溯。

这和 Taler 的设计哲学形成了镜像。中国的数字支付把「可追溯」作为默认设置，在需要的时候对特定场景做匿名例外。Taler 把「匿名」作为默认设置，在需要的时候对特定场景（卖家端）做透明。两种架构都有效，只是把隐私的默认值设在了不同的位置。

HN 上有人评论说：「这个项目错过了机会窗口，区块链稳定币已经在用了，而且 AI agent 很快也会用它们支付。」Taler 的支持者大概会说：稳定币解决的是「不用银行」的问题，Taler 解决的是「用了银行但银行不知道你买了什么」的问题。不是同一个问题。

GNU Taler 协议和参考实现保持自由开源。Taler Operations AG 只是运营服务——任何人都可以基于 Taler 协议搭建自己的支付系统，只要拿到牌照。协议是公共的，运营是商业的，这和互联网本身的分层逻辑一样。

一个用了 12 年从论文走到金融牌照申请的支付系统，大概不会因为「太晚」而失败——支付基础设施的换代周期以十年计。Visa 的网络跑了 65 年。SWIFT 跑了 50 年。支付宝跑了 22 年。Taler 才刚开始。