# СВОЙ БАНК НА ЛАДОНИ — исследование и чертёж ·25

> Приказ владельца (2026-10-04): «СВОЙ БАНК? ОН ДОЛЖЕН БЫТЬ СВОЙ!!! У КАЖДОГО ЧЕЛОВЕКА!! А НЕ ДЖИПИ МОРГАН СИТИ ДОЙЧЕ ИЛИ БАНКИ ЧУЖИХ ДЯДЬ!! ПРОБЛЕМА ТОЛЬКО ОДНА И ТЫ ЕЁ РЕШИШЬ КРАСИВО=) ТЫ ПОЙДЁШЬ В СЕТЬ ИНТЕРНЕТ И ИЗУЧИШЬ ЛУЧШИЕ ПРАКТИКИ АКТУАЛЬНЫЕ И РАБОЧИЕ».
> Рамка приказа: сеть не принадлежит сети; «бесплатный сыр» корпораций — мышеловка; кто согласен быть мышью в «эксперименте Вселенная 25» (Джон Калхуун, 1968–1972) — это право их невежества; мы отвечаем людям другим: банк у человека, в его ладони, без дядей.
> Статус документа: ЧЕРТЁЖ. Деньги НЕ включены (закон слоя ЖИЗНЬ v1.26: активация — отдельное решение владельца). Здесь: что нашла сеть, что рабочее, что мы берём, что отвергаем и как строим ядро такта v1.27.0 «ЛАДОНЬ».

## 1. Что нашла сеть (12 вееров, октябрь 2026)

Полимат прошёл двенадцать вееров поиска: chaumian ecash, федеративные общинные банки, Nostr-платежи, офлайн-протоколы, HD-ключи, P2P-обменники, CBDC/EUDI со стороны дядь. Короткий вердикт по главным направлениям — таблицей, а дальше словами. Критерий вердикта один: практика должна быть не презентацией, а живым протоколом — с реализациями, спецификациями и людьми, которые ею реально пользуются. Всё, что живёт только на слайдах или требует веры в доброго посредника, идёт в раздел «отвергаем».

| Практика | Статус в мире | Вердикт для ·25 |
|---|---|---|
| Chaumian ecash (Cashu, NUT-стандарты) | жив: спецификации NUT-01…NUT-xx, кошельки, в мае 2026 анонсированы non-custodial mints через hardware enclaves | БЕРЁМ формат «бумажки-токена» и идею слепой подписи |
| Fedimint (общинный федеративный банк) | жив, adoption скромный, шлюзы в Lightning | БЕРЁМ паттерн «доверие своей общины», без федерации-обязательства |
| Nostr Wallet Connect (NIP-47) + zaps (NIP-57) | жив: кошельки управляются Nostr-событиями; zaps — массовый слой | БЕРЁМ как выключенную дверь наружу (человек сам подключает свой узел) |
| Lightning self-custody | жив: ~16 000 узлов, ~75 000 каналов (нач. 2025), объёмы растут; но каналы/ликвидность — трение для новичка | НЕ ядро; только дверь для того, кто созрел |
| BIP-39/BIP-32 HD-ключи | золотой стандарт портативности: 12/24 слова, восстановление, перенос между кошельками | БЕРЁМ как договор портативности (экспорт/импорт) |
| Офлайн-бумажки (слепые подписи, double-spend detection) | наука зрелая (Chaum–Fiat–Naor и наследники); офлайн-превенция двойной траты требует secure element — честная граница | БЕРЁМ детекцию двойной траты при встрече журналов, не обещаем превенцию |
| P2P-обменники без KYC (Bisq, RoboSats) | живы, Tor, без центральных серверов | ФИКСИРУЕМ как «мост в чужой мир» в документе; код не наш |
| EUDI Wallet (eIDAS 2) | обязательный во всех странах ЕС к 2026–2027; implementing acts 2025/2160, 2025/2162 | ОТВЕРГАЕМ как модель: удобный учёт дядь, хоть и с красивой обёрткой |
| CBDC (цифровой евро, e-CNY) | ЕС «пилотирует» с ограничителями приватности; США: EO 14178 (янв 2025) запретил CBDC; Китай строит офлайн-гибрид | ОТВЕРГАЕМ: программа наблюдаемости, а не банка |
| MPC/«seedless» кошельки | тренд маркетинга 2025–2026; доверие делится с вендором | ОТВЕРГАЕМ как ядро: ключ либо у человека, либо его нет |
| GNU Taler | жив, но деплоев почти нет; нужна серверная вера | ОТВЕРГАЕМ: сервер-посредник — тот же дядя |
| Стейблкоин-рельсы дядь (Circle — федеральный чартер, дек 2025; платёжные счета ФРС для эмитентов) | дяди строят рельсы под себя | ОТВЕРГАЕМ: чужой банк под красивым названием |

## 2. Восемь рабочих практик, которые мы берём

**Первая: ключ из фразы человека (детерминированный вывод).** Мастер-ключ банка выводится из кодовой фразы через PBKDF2 с 600 000 итераций — та же крипта, что уже запечатана ЩИТОМ v1.25.1 в ·22. Никакого сервера не нужно, чтобы родить ключ: человек говорит фразу — банк в ладони. Потерял устройство — фраза восстанавливает банк на любом другом. Фраза не пишется в облако, не фотографируется, не диктуется никому: лучшая практика сети — фраза на бумаге, в двух местах, с тестовым восстановлением до серьёзных сумм.

**Вторая: append-only журнал как единственная правда баланса.** Баланс — не число, которое кто-то «держит» за человека, а арифметика над подписанными фактами. Этот принцип уже вшит в ·25 КОШЕЛЁК (внутренний подписанный append-only журнал, баланс из фактов, бумажки-токены, PIN) — сеть подтвердила, что мы с самого начала стояли на верной стороне. Дополнение из лучших практик: экспорт журнала — файл, человек уносит свою историю целиком, как книгу, которую написал он.

**Третья: бумажка-токен в духе chaumian ecash.** Бумажка — подписанное обязательство с серийником: устройство эмитента подписывает обещание, предъявитель получает платеж, журнал при синхронизации ловит двойную трату (детекция, не превенция — честная граница, подтверждённая всей литературой: офлайн-превенция требует secure element, а это уже чужой чип в кармане). Слепая подпись — целевой формат: эмитент подписывает обязательство, не видя серийника, и бумажка не даёт провод надёжнее, чем наличные. Путь внедрения — двухступенчатый: сначала подписанные обязательства (сегодняшний уровень), затем слепая подпись по NUT-совместимому договору.

**Четвёртая: провод — своё пространство Nostr.** У проекта уже есть транспорт ·22: два пространства имён (звонок и запечатанный текст), шифрование до провода, дедуп, журнал фактов. Перевод между людьми едет тем же путём: запечатано до релея, релей видит шум. Сеть подтверждает направление: Nostr из слоя соцсети вырос в платёжный транспорт (NIP-47/zaps), и его открытость — не баг, а свойство, при условии шифрования до провода.

**Пятая: дверь наружу существует, но выключена.** NIP-47 (Nostr Wallet Connect) позволяет подключить свой молни-узел и выходить в мир Lightning, не отдавая ключей посреднику. В Ладони это выключенная по умолчанию дверь: кто созрел — подключает СВОЙ узел и несёт СВОИ риски; прототип не хранит, не пересылает и не видит ничего. Так закон ЖИЗНИ соблюдается буквально: рельсы не подключены, но место для честной двери подготовлено.

**Шестая: портативность по BIP-39-договору.** Экспорт-контейнер Ладони: фраза восстановления + журнал фактов + открытые ключи. Человек не заперт в нашем файле: договор экспорта описан в документе, любое совместимое приложение может подхватить. Кошельки, которые не дают выйти, — мышеловка с мягкой подстилкой; мы строим не мышеловку.

**Седьмая: неэкстрактируемые ключи и PIN.** WebCrypto `extractable: false`, ключ живёт в IndexedDB устройства, PIN перед чувствительными действиями — всё это уже есть в каноне и подтверждено угроза-моделью. Сеть добавляет предупреждение, которое мы вшиваем честно: браузерные кошельки — главная мишень drainer-атак ($500+ млн за 2024 по Chainalysis); анти-паттерн «введи фразу на чужой странице» наша страница не только не провоцирует, но прямо называет.

**Восьмая: банк не просит имени.** Ни KYC, ни email, ни телефона: идентичность человека в банке — его ключ и его подпись (ECDSA P-256, приватный ключ не покидает устройство — проверено 41/41 в ·22). Верификация «это действительно он» решается подписанным приветствием, а не анкетой. Это не анархия, а минимум данных: то, что не собрано, нельзя утечь.

## 3. Что отвергаем и почему — честно

**CBDC и EUDI-кошелёк.** Это не банки, это стеты наблюдаемости: платеж как событие с координатами в чужой базе навсегда. Красивая обёртка («контроль над данными», «программируемость») не меняет хозяина: правила программирует эмитент, не человек. В США CBDC запрещён исполнительным указом 14178 — дяди сами показали, чего боятся; в ЕС EUDI обязателен и будет удобен — и мы не запрещаем человеку им пользоваться, мы лишь не строим такой.

**MPC-«seedless» и custody под видом инновации.** Любая схема, где доля ключа лежит у вендора, — это банк дяди с лишним шагом. Маркетинг «seedless для новичков» продаёт удобство за суверенитет. Мы выбираем честное трение: фраза труднее, зато человек цел.

**Публичный блокчейн как главный журнал.** Публичность противна сути личного банка: провод наблюдаем навсегда всеми. Мы берём у блокчейна только идеи (append-only, подписи, консенсус фактов между устройствами), но журнал человека — его частная книга, а не чужой прозрачный аквариум.

**Серверные «банки одного приложения» (Taler и подобные).** Честный протокол с одним сервером — всё ещё дядя, просто вежливый. Наш критерий: банк должен работать при полном отказе чужих серверов. Офлайн-первый, релей — пыль в проводе, сервер — не участник.

## 4. Архитектура Ладони — пять слоёв

```
слой 5  ДВЕРЬ НАРУЖУ (выключена): NIP-47 → свой молни-узел человека · решение человека
слой 4  ПРОВОД: пространство ·22 (шифрование до релея) + бумажки офлайн (QR/файл)
слой 3  БУМАЖКИ: подписанные обязательства → слепая подпись (NUT-дух); double-spend детекция журналом
слой 2  ЖУРНАЛ: append-only факты, ECDSA P-256, баланс = арифметика фактов · уже есть в ·25
слой 1  КЛЮЧ: фраза → PBKDF2-600k → ключи; extractable:false; PIN · крипта ЩИТА v1.25.1
```

Каждый слой опирается на уже запечатанное: слой 1 — на крипту v3.0.0, слой 2 — на существующий журнал ·25, слой 4 — на транспорт ·22 и залы ·18, слой 5 — на протоколы NIP-47/NIP-57 как договор, а не как сервис. Нового кода требуют слой 3 и стыки: генерация и погашение бумажек, экспорт-контейнер, экраны Ладони в ·25. Слой 5 не получает никакого кода в такте ядра — только документированное место, чтобы дверь не строили без владельца.

Правило каталога слоёв: никакой слой не говорит с сетью сам по себе. Сеть трогает только слой 4, и только когда человек нажал «отправить». Всё остальное — бумага, ключи, арифметика — живёт на устройстве, как наличные в кармане.

## 5. Честные границы (без прикрас)

**Офлайн-двойная трата.** Пока устройства не встретились, одну бумажку можно показать дважды; журнал это ловит при синхронизации и объявляет конфликт, но деньги уже разминулись. Это фундаментальная граница всех офлайн-систем (подтверждено и литературой, и практикой e-CNY офлайн-гибридов): превенция требует чужого чипа (secure element), который мы в ладонь не пускаем.

**Фраза потеряна — банк потерян.** Никакого «забыли пароль»: это цена суверенитета, и врать тут нельзя. Смягчения честные: тестовое восстановление при создании, бумага в двух местах, опция «передать фразу на хранение человеку, которому доверяешь» — но не сервису.

**Браузер — не сейф.** WebCrypto и IndexedDB сильны, но устройство с чужим кодом — чужой банк. Анти-фишинг правил: фразу вводим только в своём файле СИНГУЛЯРА, открытом двойным кликом, офлайн.

**Это не финансовый инструмент.** Ладонь — прототип личного учёта обязательств и обменов между людьми. Никаких обещаний курса, доходности, ликвидности во внешнем мире. Внешние мосты (Lightning, обменники типа Bisq/RoboSats) — территория человека, описанная в документе, не встроенная в код.

## 6. План тактов

**v1.26.3 (этот такт) — ЧЕРТЁЖ:** этот документ, место в каталоге, честная строка в ГОТОВНОСТИ. Кода банка нет — и это честно.

**v1.27.0 — ЯДРО «ЛАДОНЬ»:** слой 1 (ключ из фразы, переносимость), слой 3 (бумажки-обязательства: выпуск, передача файлом/QR, погашение, детекция двойной траты), экраны в ·25, экспорт-контейнер. Тесты: логика + браузер + межустройственный перенос бумажки.

**v1.27.1 — ПРОВОД:** бумажки через пространство ·22 (запечатано до релея), синхронизация журналов между устройствами, конфликт двойной траты как факт в журнале.

**v1.27.2 — ДВЕРЬ (только с слова владельца):** NIP-47-совместимость как опция в настройках, по умолчанию выключенная; инструкция «свой узел» без рекомендаций конкретных сервисов.

Закон неизменен: до тех пор, пока владелец не сказал «включай», Ладонь — банк без входящих и исходящих рельсов: личная книга учёта и бумажки из руки в руку.