¿Dinero programable? El mapa del euro digital y sus alternativas

Euro digital: soberanía para el Estado, no para el ciudadano​

La Comisión de Asuntos Económicos y Monetarios (ECON) del Parlamento Europeo ha celebrado hoy una sesión sobre el proyecto del euro digital.

Streaming de la sesión de hoy Jueves [10:46-11:37]

Con más de 1400 enmiendas sobre la mesa y posiciones aparentemente irreconciliables, el debate sobre el euro digital ha expuesto una concepción del dinero y la libertad que debería preocuparnos a todos.

La discusión transcurrió en torno a una pregunta que todos asumieron como legítima:

¿Quién debe controlar la infraestructura de pagos europea?

Por un lado, quienes advierten con razón que Europa depende de Visa y Mastercard para el 70% de sus transacciones digitales. El caso de los jueces del Tribunal Penal Internacional, cuyos medios de pago fueron cancelados por sanciones estadounidenses mientras residían en territorio europeo, ilustra dramáticamente esta vulnerabilidad. "No tenemos ese poder aquí", admitió un fruta al comparar la situación con Estados Unidos, donde el presidente puede ordenar bloqueos financieros con una llamada.

Por otro lado el ponente del expendiente, Fernando Navarrete (ex-Banco de España, Tesoro, ICO, FAES), defiende un euro digital mínimo, efectivo tokenizado, argumentando que la soberanía no equivale necesariamente a que una entidad pública gestione el sistema. Su posición, respaldada por veteranos del sector financiero como Markus Ferber, sugiere que crear un competidor público contra un mercado de 400 millones de usuarios sería contraproducente.

Ambas posiciones comparten un axioma que nunca se cuestiona: el dinero debe fluir a través de intermediarios autorizados.

La única fruta es sobre la identidad del intermediario.

(adjunto visible para usuarios registrados)

La cuestión fundamental​

En casi una hora de intervenciones, ningún fruta planteó la cuestión fundamental ¿por qué un ciudadano europeo necesita permiso, del BCE, de Visa, o de cualquier tercero, para transferir valor a otra persona?

Durante milenios, el comercio humano funcionó sin esta premisa. El oro pasaba de mano en mano sin requerir validación externa. El efectivo físico, con todas sus limitaciones, preserva aún esta cualidad porque nadie necesita autorización para entregar un billete.

El debate en ECON asume que esta pregunta carece de relevancia. Para todos los participantes, desde la izquierda que exige un euro digital 100% público hasta la derecha que defiende el statu quo bancario, la única cuestión válida es quién otorga el permiso, no si debería requerirse permiso alguno.

Soberanía, un término secuestrado​

La palabra soberanía apareció decenas de veces durante la sesión. Pero su significado quedó sistemáticamente restringido a la soberanía del Estado europeo frente al Estado americano, o frente a corporaciones americanas.

Cuando un fruta socialdemócrata afirmó que "la soberanía requiere control operacional y rendición de cuentas democrática", estaba definiendo soberanía exclusivamente como poder estatal. Bajo esta lógica, el ciudadano es soberano solo en la medida en que el Estado que lo gobierna sea soberano. El individuo, por sí mismo, queda fuera de la ecuación.

Esta concepción explica el diseño propuesto para el euro digital, con límites de tenencia definidos por el BCE, identificación obligatoria para cualquier transacción significativa, trazabilidad completa incluso en la versión offline, y capacidad técnica para implementar restricciones futuras, aunque hoy se prometa no usarlas.

Lo que ninguna CBDC puede ofrecer​

La soberanía individual, concepto que los economistas clásicos habrían reconocido, requiere condiciones que ninguna moneda digital de banco central cumple ni puede cumplir por diseño:

Dinero cuya oferta no pueda expandirse arbitrariamente por decisión política
El euro digital seguirá siendo euro, su cantidad dependerá de las mismas decisiones del Consejo de Gobierno del BCE que han multiplicado el balance del Eurosistema por cinco desde 2008.

Transacciones que ninguna autoridad pueda bloquear
El euro digital, por definición legal, operará dentro del marco regulatorio europeo de prevención de lavado de dinero. Cada transacción será potencialmente revisable, cada cuenta potencialmente congelable.

Tenencia que ningún poder pueda confiscar
Los límites de tenencia propuestos, cuya cifra exacta aún se negocia, establecen explícitamente que el BCE determinará cuánto dinero digital puede poseer cada ciudadano. Lo que hoy es un límite de 3000 euros mañana puede ser 500, o cero, sin que el ciudadano tenga recurso efectivo.

La descentralización no existe​

Resulta llamativo que en un debate donde se ha invocado repetidamente la autonomía tecnológica europea, nadie mencionara la existencia de alternativas genuinamente descentralizadas. No por desconocimiento, varios intervinientes aludieron a las stablecoins como fenómeno a regular, sino por exclusión deliberada.

El ponente del expediente incluyó en su intervención inicial la necesidad de "un marco regulatorio robusto y proporcional para las stablecoins" como parte de la estrategia europea de pagos. La frase revela la actitud de que las alternativas descentralizadas son un problema a contener, no una solución a considerar.

Esta omisión no es casual. Reconocer que existen sistemas monetarios donde el permiso de terceros es técnicamente innecesario equivaldría a admitir que el debate entero parte de premisas cuestionables.

La decisión detrás del debate​

El próximo 5 de mayo, o incluso antes porque hay prisa, Europa votará sobre el euro digital. Las opciones sobre la mesa van desde una implementación ambiciosa que cubra pagos online y offline con curso legal pleno, hasta una versión minimalista que funcionaría como efectivo digitalizado con uso marginal.

Ninguna opción contempla devolver al ciudadano el control que el efectivo físico aún proporciona parcialmente y que el oro proporcionó durante siglos.

El debate no es sobre si los europeos deben poder pagar libremente. El debate se centra en qué institución gestionará el sistema de permisos:
un banco central europeo, un oligopolio de tarjetas americanas, o una combinación de ambos.

Para quienes entienden la libertad económica como condición de todas las demás libertades, esto no es un avance hacia la soberanía.

Es un incremento y modernización del control.

La pregunta que ningún fruta ha formulado hoy sigue esperando respuesta:

¿Por qué, en pleno siglo XXI, necesitamos pedir permiso para usar nuestro propio dinero?

Euro digital ¿ahora e-cash?

Los legisladores del Parlamento Europeo están luchando por encontrar una posición de compromiso sobre el diseño del euro digital, poniendo en peligro el camino legislativo del proyecto.

Euronews revela que hubo otra reunión ayer martes 3 de febrero (posterior a la del ECON del 28-29) entre los ponentes, y el resultado fue demoledor:

"Acordamos no estar de acuerdo", dijo una persona familiarizada con el asunto a Euronews

Los ponentes señalaron que hay un fuerte desacuerdo sobre la esencia misma de lo que debería ser el euro digital.

Según el orden del día de la reunión del martes, Navarrete hizo una nueva propuesta sobre el concepto de euro digital, llamándolo e-cash. Este modelo solo se utilizaría para pagos fuera de la web y como una forma digital tokenizada de efectivo, sin conceder a los usuarios cuentas minoristas en el libro mayor del BCE.

Es decir, Navarrete ha radicalizado su posición, ya ni siquiera lo llama euro digital, lo rebautiza como e-cash para diferenciarlo conceptualmente del proyecto del BCE. Sin cuentas en el ledger del BCE, ni componente online.

Frente a él, Socialistas y Demócratas (S&D) y Renovar Europa apoyan la propuesta de la Comisión Europea, con usuarios con cuentas minoristas en el libro mayor del BCE y uso del euro digital tanto online como offline.

El socialdemócrata griego Nikos Papandreou respondió con el discurso de soberanía: "Europa debe poseer y controlar sus infraestructuras críticas. En un momento de cambio geopolítico sin precedentes, la soberanía de pagos debe estar anclada en infraestructuras comunes."

Se espera una votación sobre el expediente en mayo en la sesión plenaria del Parlamento Europeo, pero las divisiones entre los legisladores podrían frustrar su aprobación.

Existe el riesgo real de que el Parlamento no alcance la mayoría y el proyecto quede bloqueado o muy […]. La agenda de la semana que viene incluye ya un debate sobre el estado del euro digital con la Comisión, Presidencia del Consejo y BCE, y cómo acelerar su desarrollo legislativo, lo que indica que las instituciones están nerviosas.

El vacío informativo en la prensa española es notable, considerando que el ponente del expediente es español y que esto afecta directamente a 350 millones de ciudadanos de la eurozona.

Son palabras antónimas.

El euro digital controlado por las élites son lo contrario a la soberanía del que posee el dinero.

El primer articulo es para quitarse el sombrero.

Si crearamos una escala 0-10 de moneda controlada vs moneda libre las opciones planteadas actualmente se mueven entre el 1 y el 5. El efectivo actual, que ya tiene sus limitaciones, seria un 7.

Vamos que incluso con la propuesta menos totalitaria perderiamos la mitad de nuestra autonomia vital.

La segunda guerra mundial trataba sobre la lucha entre la libertad del pueblo y esto que vemos ahora dos generaciones después.
Está claro que perdieron los buenos

Un pequeño paso para el ciudadano, y un gran salto hacia la pérdida de libertad.

Si hay que elegir entre eliminar toda posibilidad de "lavado de dinero" y la libertad es preferible asumir el lavado de dinero y conservar la libertad, lo digo por la excusa estrella de estos orate.

Nos jugamos la última partida del control social.

Discordante dijo:

El primer articulo es para quitarse el sombrero.

Si crearamos una escala 0-10 de moneda controlada vs moneda libre las opciones planteadas actualmente se mueven entre el 1 y el 5. El efectivo actual, que ya tiene sus limitaciones, seria un 7.

Vamos que incluso con la propuesta menos totalitaria perderiamos la mitad de nuestra autonomia vital.

Hacer clic para expandir...

Un comentario muy acertado.

Antes de analizar las propuestas de euro digital que están sobre la mesa conviene establecer los criterios de evaluación para clasificarlas y compararlas con otras alternativas de dinero actualmente disponibles.

¿Qué hace que algo funcione como dinero?

¿Y qué hace que quien lo usa sea libre?

Las propiedades clásicas del dinero: escasez, durabilidad, divisibilidad, portabilidad, fungibilidad y verificabilidad, están bien establecidas desde Jevons (1875) y Menger (1892), y sirven para clasificar la idoneidad de diferentes formas de dinero.

Sin embargo, esas propiedades asumen implícitamente que el dinero es emitido y controlado por un estado o banco central.

Desde 2009 existen formas de dinero cuya emisión no depende de ninguna autoridad central, lo que obliga a añadir una segunda clasificación con las propiedades que determinan la soberanía del individuo sobre su propio dinero.

Cualquier estado justo debería basar su soberanía en la de sus ciudadanos libres. Pero las nuevas propuestas de dinero digital, algunas ya funcionando, como el e-yuan, lejos de preservar los derechos y libertades de la ciudadanía, añaden capas adicionales de control estatal.

La narrativa oficial lo presenta como modernización monetaria y soberanía financiera. Lo es, pero la soberanía es la del emisor, no la del ciudadano.

Propiedades del dinero como concepto económico​

Estas propiedades vienen de la teoría monetaria clásica, desde Aristóteles hasta Menger, y no son arbitrarias porque emergen del problema que el dinero resuelve. El dinero existe porque el trueque directo exige una doble coincidencia de necesidades que raramente se produce. Para eliminar esa fricción, el bien que funcione como dinero necesita cumplir tres funciones y poseer unas propiedades técnicas específicas.

Las tres funciones del dinero​

Medio de intercambio. La función primaria. Que cualquier persona lo acepte a cambio de bienes o servicios sin necesidad de que ambas partes coincidan en sus necesidades. Esto requiere aceptación generalizada, que a su vez requiere confianza en que el siguiente receptor también lo aceptará.

Unidad de cuenta. Permite expresar el valor de cualquier bien en una métrica común. Sin esto, necesitas una tabla de conversión entre cada par de bienes posible, el problema combinatorio del trueque.

Depósito de valor. Lo que ganas hoy y no gastas, puedes gastarlo mañana. Esto exige que el dinero mantenga su poder adquisitivo en el tiempo, lo que conecta directamente con la escasez y la política monetaria.

Siete propiedades técnicas​

Para cumplir esas tres funciones, el bien que funcione como dinero necesita:

Escasez. Si cualquiera puede producirlo, no mantiene valor. El oro funciona porque extraerlo es costoso; el billete funciona porque falsificarlo es difícil (en teoría); Bitcoin funciona porque el suministro está limitado por protocolo a 21 millones de unidades.

Durabilidad. No puede degradarse con el uso. El pescado es mal dinero; el oro es excelente; un token digital no se degrada.

Divisibilidad. Tiene que poder fraccionarse para transacciones de distintos tamaños sin perder valor proporcional. El oro es divisible; un diamante no, porque al cortarlo pierde valor desproporcionadamente; un bitcoin es divisible hasta 100 millones de satoshis.

Portabilidad. Alto valor por unidad de peso y volumen. El oro es mejor que el cobre; un billete de 500€ es mejor que monedas equivalentes; un token digital es superior a cualquier forma física.

Fungibilidad. Cada unidad es indistinguible e intercambiable por cualquier otra del mismo valor. Un billete de 20€ vale lo mismo que cualquier otro billete de 20€, independientemente de su historia. Esta propiedad es fundamental y frecuentemente atacada. Cuando los billetes tienen número de serie rastreable, o cuando ciertos bitcoins son marcados como contaminados (tainted) por haber pasado por direcciones sancionadas, la fungibilidad se erosiona y con ella la función de medio de intercambio.

Verificabilidad. El receptor puede confirmar rápidamente que el dinero es auténtico y tiene el valor que aparenta. Las marcas de agua en billetes, la prueba de mordida en monedas de oro, la verificación criptográfica en blockchain.

Resistencia a la falsificación. Directamente ligada a la escasez. Si es fácil de falsificar, la escasez es artificial y se colapsa.

Propiedades del efectivo: la capa de soberanía​

Las propiedades anteriores determinan si algo puede funcionar como dinero. Las siguientes determinan si quien lo usa es soberano sobre su propio dinero.

Son las propiedades que el efectivo físico posee y que lo separan de otras formas de dinero como depósitos bancarios, dinero electrónico y CBDCs. No son propiedades técnicas sino que definen la relación de poder entre el usuario y el sistema.

Instrumento al portador. Quien lo posee físicamente, lo posee legalmente. No hay registro externo que determine la propiedad. No necesitas que un tercero confirme que es tuyo. Esto es radicalmente diferente de un depósito bancario, donde tu dinero es en realidad un crédito que el banco te debe, y que puede congelar.

No requiere permiso para intercambiar. Puedes entregar un billete a quien quieras, cuando quieras, por el motivo que quieras, sin pedir autorización a nadie. Ningún intermediario puede bloquear, retrat o condicionar la transferencia.

Anonimato en el intercambio. El billete no sabe quién lo usa. No hay registro de quién pagó a quién, cuándo ni por qué. Esta es la propiedad que el estado lleva décadas erosionando con límites al pago en efectivo, regulaciones AML/KYC y la narrativa de que la privacidad financiera es sospechosa.

Liquidación final instantánea. Cuando entregas el billete, la transacción está completada. No hay estado pendiente, no hay posibilidad de reversión unilateral por un tercero, no hay riesgo de contraparte. Esto es lo que en finanzas se llama firmeza de la liquidación, y es algo que ningún sistema de pagos electrónico replica completamente: siempre hay un periodo de liquidación, una posibilidad de devolución del cargo, o una dependencia de confirmación.

Sin límites de uso. No hay tope en cuánto puedes tener ni cuánto puedes gastar en una transacción. Los límites que existen (en España, 1.000€ para pagos a profesionales) son restricciones legales externas, no propiedades del instrumento. El billete en sí no tiene límite.

Funciona sin infraestructura. No necesita electricidad, internet, servidores, hardware especializado ni software. Funciona en un apagón, en una zona sin cobertura, en un país en guerra. Es el sistema de pagos más resiliente que existe.

No programable. Un billete de 50€ es siempre un billete de 50€. No puede condicionarse a que lo gastes en un plazo, en un tipo de comercio, o en una categoría de producto. No puede expirar. No puede restringir su propio uso. Esta propiedad, que parece obvia, es exactamente lo que las CBDC amenazan, porque la infraestructura técnica de pagos condicionales convierte el dinero en un instrumento con reglas de uso dictadas por el emisor.

Resistente a censura. Esta propiedad está estrechamente ligada a las anteriores, pero no se deduce automáticamente de ellas. Su cara fuerte sí es emergente: si nadie sabe que lo tienes, nadie necesita autorizarte para usarlo y no hay intermediario en la transacción, entonces, en el momento del intercambio, ningún actor puede impedir que lo uses. Esa resistencia en la transacción es el mejor indicador de que las demás propiedades funcionan de verdad y no solo sobre el papel.

Pero resistencia en la transacción no es resistencia total. Un instrumento puede cumplir todas las propiedades al portador y seguir siendo censurable en los bordes: el estado no necesita interceptar la entrega de un billete si puede limitar cuánto puedes pagar en efectivo, vigilar el ingreso en el banco o estrangular los puntos por donde el dinero entra y sale del sistema.

El efectivo es soberano en la mano y vulnerable en la frontera, y por eso, aun cumpliendo casi todas las propiedades de soberanía, no alcanza la nota máxima en este criterio. La resistencia a censura sigue siendo la prueba de fuego del sistema, pero es una prueba que puede perderse sin que ninguna propiedad técnica se rompa: basta con que el control se desplace al perímetro, el único lugar donde el instrumento todavía es vulnerable.

Existen propiedades adicionales relevantes para el análisis de dinero digital que no se incluyen en esta clasificación base. Propiedades de usabilidad práctica como respaldo y recuperación, latencia, throughput y eficiencia energética se evaluarán en un análisis posterior.

Lo mismo aplica a propiedades más especializadas como la capacidad de generar intereses, prueba de reservas, mensurabilidad de la oferta monetaria, reversibilidad, contratos inteligentes, transparencia opcional, fruta del emisor y coste de cambio de divisa.

La propiedad de curso legal queda excluida deliberadamente al ser un atributo conferido por el estado, no una propiedad inherente del dinero.

El debate del euro digital se centra casi exclusivamente en la primera capa, cómo hacer que el euro funcione en formato digital.

La segunda capa, las propiedades que definen la libertad del usuario, se sacrifica sistemáticamente en cada propuesta, porque preservarla significaría diseñar un instrumento sobre el cual el emisor pierde control tras la emisión. Y eso es exactamente lo que ningún banco central ni ningún legislador está dispuesto a conceder.

Las propiedades del efectivo no son un fallo de diseño, son la última frontera de soberanía individual que el sistema financiero no ha conseguido eliminar...hasta ahora.

La propuesta e-cash de Navarrete

Fernando Navarrete Rojas (PPE, España), ponente de la Comisión ECON del Parlamento Europeo desde diciembre de 2024, presentó su borrador de informe el 5 de noviembre de 2025.

El concepto, entender el euro digital offline como una mera tokenización del efectivo, lo articuló en el debate de ECON del 29 de enero de 2026. La etiqueta e-cash como propuesta formal llegó algo después, en la reunión de ponentes del 3 de febrero de 2026, donde la presentó como modelo solo offline y sin cuentas en una plataforma central del BCE. La propuesta toma el componente offline de la propuesta del BCE y elimina todo lo demás.

Qué es el e-cash

La propuesta e-cash es una versión tokenizada del efectivo para pagos por proximidad. No hay componente online, no hay registro central de las transacciones de los ciudadanos, no hay plataforma centralizada de liquidación (DESP) para pagos minoristas.

En palabras de Navarrete en el debate ECON del 29 de enero de 2026: "El euro digital offline debe entenderse como una tokenización digital del efectivo. Ni más, ni menos. Efectivo para la era digital. No un sistema de pagos, no una bala de plata, simplemente billetes digitales que pueden usarse en la economía digital."

El componente online solo se introduciría condicionalmente, si la Comisión, trás una fase de investigación del BCE, determina que "no existe una solución soberana paneuropea de pago minorista adecuada". Esto hace que el online dependa de que EPI/Wero, ya con más de 46 millones de usuarios, fracase en resolver la soberanía de pagos europea.

Arquitectura técnica

La tecnología base es la misma que el componente offline del BCE, tokens almacenados en Secure Elements, transferencia dispositivo a dispositivo por NFC, la solución de Giesecke+Devrient.

La diferencia no está en cómo funciona el offline, sino en lo que existe alrededor que es nada.

Sin cuentas, sin ledger central, sin infraestructura online del BCE.

El flujo sería el siguiente:
Cargas euros digitales desde tu cuenta bancaria al Secure Element de tu dispositivo (requiere conexión, el PSP ve el importe, es el funding). Los tokens se almacenan localmente. Para pagar, acercas tu dispositivo al del receptor por NFC. La transacción ocurre dispositivo a dispositivo, sin servidor intermediario. El BCE actúa solo como emisor, exactamente como con los billetes físicos, no como operador de una plataforma de pagos.

Qué consigue el e-cash

Eliminando el componente online, Navarrete logra algo sustancial en términos de arquitectura de poder:

- Sin componente online ni plataforma central de liquidación para pagos minoristas, lo que elimina el registro central de las transacciones de la eurozona y la capacidad técnica de imponer programabilidad en el futuro.

- Sin plataforma de liquidación operada por el banco central para pagos de ciudadanos.

- Sin infraestructura técnica que permita pagos condicionales ni programabilidad futura.

- Reduce el rol del BCE al que tiene hoy de emisor, no operador.

La autoridad para fijar límites de tenencia se traslada del BCE a la Comisión mediante actos delegados, requiriendo propuesta legislativa completa para revisiones al alza, un mecanismo significativamente más restrictivo que la discrecionalidad del BCE.

Conviene precisar que ni siquiera el modelo completo de la Comisión prevé que el BCE opere cuentas nominales de ciudadanos. El euro digital es un pasivo directo del BCE, como el efectivo, pero se distribuye a través de intermediarios privados (PSP), que gestionan el alta, el KYC y el monedero; el BCE, por diseño, dice no ver quién paga a quién. Por eso el peligro no es "el BCE te lleva la cuenta", sino que el online crea un registro central de liquidación y deja instalada la capacidad técnica para condicionar el dinero más adelante. El e-cash, al no tener ni online ni ledger central de ciudadanos, cierra esa puerta por arquitectura, no por confianza en el emisor.

Qué no consigue

No resuelve ninguna de las limitaciones técnicas inherentes al modelo offline:

- KYC obligatorio en el onboarding. El usuario debe identificarse ante su PSP.

- Los momentos de carga (funding) y descarga (defunding) quedan registrados y vinculados a tu identidad.

- Límites de tenencia previstos en torno a 3.000€.

- Proximidad no verificable, vulnerable a ataques de relay (como el robo de coches con repetidores de señal del llavero).

- Requiere reconciliación periódica con infraestructura central.

- Depende de la seguridad del Secure Element, algo que la historia de la seguridad hardware sugiere que es cuestión de tiempo, no de posibilidad, que se comprometa.

Navarrete ha hecho la mitad del trabajo intelectual correcto, identificando que el peligro está en el componente online y en el BCE como operador. Pero se detiene exactamente donde empezaría la verdadera soberanía del ciudadano, eliminando el KYC en la carga, los límites de tenencia, y la dependencia de hardware controlado por terceros.

Es la mejor propuesta políticamente viable dentro de la UE, pero sigue siendo un sucedáneo del efectivo, un cash lite.

Estado político en febrero 2026

Actualmente la situación es un bloqueo declarado. Los insiders declararon "haber acordado estar en desacuerdo" el 3 de febrero de 2026. S&D y Renew quieren el euro digital completo (online + offline) con el BCE como operador.

El Consejo respaldó ambas modalidades el 19 de diciembre de 2025, alineándose con la propuesta original de la Comisión.

La posibilidad de voto en plenario en mayo de 2026 depende de que se resuelva esta fractura.

La propuesta Offline del BCE

El componente offline es el segundo pilar de la propuesta original de la Comisión Europea, diseñado para coexistir con el componente online.

Es la pieza que el BCE presenta como equivalente digital del efectivo, su argumento de que el euro digital preservará la privacidad descansa fundamentalmente sobre este componente.

Arquitectura técnica

En lugar de cuentas en un ledger central, se usan tokens almacenados en un Secure Element (SE), un chip especializado resistente a manipulaciones, la misma tecnología que hay en tu tarjeta SIM, en el chip de tu DNI electrónico, o en el módulo NFC de tu teléfono para pagos contactless. El SE almacena claves criptográficas y saldos de forma que ni el propio usuario pueda extraerlos o manipularlos.

El BCE contrató a Giesecke+Devrient como proveedor principal en octubre de 2025, con Nexi para tecnología POS y Capgemini para interfaces, en el mayor contrato del proyecto euro digital, con un valor estimado de 220,7 millones de euros y un máximo 662,1 millones.

El proveedor de respaldo es equensWorldline. Todos los proveedores son nacionales de la UE, con autonomía europea garantizada en la cadena de suministro.

Cuatro formatos de dispositivo evaluados:

- Smartphones: app offline instalada en el eSE o eSIM del teléfono.

- Tarjetas inteligentes simples: tipo débito con chip, requieren cajero o terminal para la carga.

- Tarjetas inteligentes con batería: permiten pagos P2P de tarjeta a tarjeta sin terminal.

- Dispositivos puente: gadgets de bolsillo con batería que establecen comunicación entre dos tarjetas sin alimentación propia.

El flujo es el siguiente:
Cargas euros digitales desde tu cuenta bancaria al SE de tu dispositivo (funding que requiere conexión, el PSP ve el importe y el identificador del dispositivo, análogo a una retirada de efectivo en cajero).
Los tokens se almacenan localmente. Para pagar, acercas tu dispositivo al del receptor por NFC. La transacción ocurre dispositivo a dispositivo sin servidor intermediario. Los datos del pago permanecen en los dispositivos de ambas partes. Cuando el usuario se reconecta, la descarga (defunding) devuelve valor a la cuenta online, y el Eurosistema realiza controles anti-falsificación y anti-doble gasto.

Privacidad: tipo efectivo pero no efectivo

Cipollone del BCE dijo el 17 noviembre 2025: "La funcionalidad offline del euro digital ofrecerá privacidad tipo efectivo: cuando el dinero se mueva de una cartera a otra, los detalles de la transacción solo serán conocidos por el pagador y el beneficiario."

La privacidad es mayor que en el modo online, el BCE no ve las transacciones individuales entre dispositivos. Pero hay tres brechas críticas respecto al efectivo real:

1. KYC obligatorio en el onboarding: te identificas ante tu PSP al abrir la cuenta.
2. Funding/defunding rastreado: tu PSP ve cuándo cargas, cuánto cargas y desde qué cuenta, y lo mismo al descargar; eso ata tu identidad a los extremos del circuito. Conviene precisar qué filtra y qué no. Los pagos dispositivo a dispositivo entre la carga y la descarga sí son privados: el sistema no ve quién pagó a quién en el medio. Lo que queda al descubierto es el sobre, cuánto efectivo digital metes y sacas, con qué frecuencia y desde qué cuenta. No reconstruye el grafo de pagos, pero sí permite un perfilado grueso (volumen, ritmo, momentos), que en inteligencia financiera suele bastar para inferir comportamiento sin conocer cada transacción. Es más privado que el online, pero deja de ser efectivo en el momento en que esos extremos llevan tu nombre.
3. Reconciliación periódica: el dispositivo debe reconectarse, momento en que el sistema puede verificar integridad. Esto rompe la independencia total de infraestructura.

El informe pericial del CEPD (European Data Protection Board, septiembre 2025, elaborado por el profesor Tibor Jager) planteó preocupaciones fundamentales y concluyó que existen ideas y conceptos básicos para soluciones técnicas que podrían habilitar un euro digital offline 'tipo efectivo', siempre que se acepten limitaciones y trade-offs fundamentales. Advirtió que la seguridad del hardware no puede garantizarse incondicionalmente dado el historial de vulneraciones de Secure Elements, y que la verificación de proximidad física es vulnerable a ataques relay NFC.

La diferencia clave con el e-cash de Navarrete

Dentro de la propuesta completa del BCE, el offline es complementario al online. El usuario tendría ambos, una cuenta en el ledger para pagos remotos y tokens en el dispositivo para pagos presenciales. Comparten el mismo ecosistema regulatorio, los mismos límites de tenencia, y la misma infraestructura del BCE como paraguas institucional.

El BCE es emisor y operador del sistema completo. La tecnología offline es idéntica. Lo que Navarrete elimina es todo lo que la rodea: el ledger, las cuentas, la plataforma de liquidación, y el rol del BCE como operador.

La propuesta Online del BCE

El euro digital online es el componente más ambicioso y más invasivo de la propuesta original de la Comisión.

Técnicamente es un sistema de pagos electrónico convencional con una diferencia fundamental: el operador de la plataforma de liquidación es el BCE en lugar de una empresa privada.

Arquitectura técnica

Cada usuario tendría una cuenta en el ledger del BCE, gestionada a través de un PSP (Payment Service Provider, tu banco o una fintech autorizada). El PSP realiza el KYC/AML en el onboarding con verificación de identidad, comprobaciones contra listas de sanciones, todo el aparato regulatorio habitual. Una vez verificado, puedes hacer pagos online, comercio electrónico y transferencias remotas.

Las transacciones pasan por el DESP (Digital Euro Service Platform), operado por el Eurosistema.

El sistema está diseñado para cubrir todos los casos de uso de pagos digitales: punto de venta (POS), comercio electrónico, transferencias P2P remotas y pagos gubernamentales. Es la infraestructura que convertiría al BCE de emisor de moneda en operador de la mayor plataforma de pagos minoristas de Europa.

Privacidad: pseudonimización, no anonimato

El BCE sostiene que solo procesará identificadores pseudonimizados, un código que sustituye tu nombre pero que tu PSP puede vincular a tu identidad real. El BCE argumenta que no puede conectar transacciones con personas físicas.

Pero un grupo de investigadores de cinco universidades europeas (Groningen, Berna, Dresde, la Libre de Berlín y Hamburgo), en un análisis crítico del FAQ del euro digital, ha señalado que esto es estructuralmente peor que el sistema actual. Hoy, tu banco ve tus transacciones pero no las de clientes de otros bancos; con el DESP, una única entidad, el BCE, ve todas las transacciones de todos los usuarios de la eurozona en un solo lugar, aunque pseudonimizadas.

La pseudonimización no es anonimato, es un velo técnico que puede levantarse por orden judicial, por cambio legislativo, por vulnerabilidad en la implementación, o simplemente por análisis de patrones. Lo que se crea con el DESP es el mayor repositorio centralizado de datos financieros de ciudadanos en la historia europea. Que hoy esté pseudonimizado no garantiza que mañana lo siga estando.

Capacidades de control

- Límite de tenencia: en torno a 3.000€ por persona. El BCE analizó que incluso bajo escenarios de crisis extrema, este límite no daña la estabilidad financiera.

- No remunerado: no genera intereses, para evitar competencia con depósitos bancarios.

- Pagos condicionales: la infraestructura soporta pagos automatizados según condiciones. El ejemplo que pone el propio BCE es de protección al consumidor e iniciado por el usuario, el reembolso automático si el tren se cancela o se retrat, no una restricción impuesta por el emisor. Conviene no confundirlo con lo siguiente.

- Programabilidad del dinero (cosa distinta): que el emisor pueda condicionar el uso del dinero, caducidad, gasto restringido a ciertos comercios, congelación automática bajo ciertas condiciones. El BCE lo niega y la propuesta de reglamento descarta expresamente el "dinero programable". Pero esa salvaguarda es jurídica, no técnica: una cláusula y una intención declarada se cambian con una reforma o un trílogo; la capacidad, una vez construida la plataforma basada en cuentas, queda instalada. La capacidad técnica presente es la amenaza, no la intención declarada ni la prohibición vigente.

En la práctica, el BCE Online es Bizum o PayPal operado por un banco central con capacidad regulatoria. La soberanía europea que defienden S&D y Renew consiste en que la plataforma está bajo control público europeo en lugar de privado americano.

Para el ciudadano individual, la experiencia de vigilancia y control es funcionalmente equivalente o superior a la que ya ejercen los sistemas privados, con el agravante de que el operador tiene además potestad regulatoria.

Vamos de cabeza al control total.

Curso legal online + monedero de euro digital + límites de tenencia configurables resultan en una infraestructura de control monetario sin precedentes.

Que lo usen o no para vigilancia es una cuestión de confianza institucional, pero la capacidad técnica estará ahí.

El efectivo físico es anónimo por diseño; el euro digital lo será por promesa política, que no es lo mismo.

Señal de respaldo del Parlamento Europeo a la propuesta del BCE (Offline + Online)

El Parlamento Europeo votó a favor de dos enmiendas (la 40 y la 41) al Informe Anual del BCE que apoyan un euro digital en ambas versiones, online y offline, alineándose con la posición del BCE y rompiendo con la del ponente principal, Navarrete, que solo contemplaba la versión offline. La enmienda de soberanía salió con 438 votos a favor y 158 en contra.

Este voto no es la aprobación legislativa. El Informe Anual del BCE es una resolución de propia iniciativa, sin efecto jurídico; lo que hace es enseñar públicamente dónde está la mayoría. Y la mayoría ya no está con Navarrete. La aprobación que el BCE realmente necesita, la votación del reglamento del euro digital en ECON y luego en el pleno, llega después; pero este termómetro la anticipa, y apunta directo al modelo completo del BCE, con su objetivo de debut en 2029.

Quiero pensar que los niveles de pobreza serán tan extremos en 2029 que no se usarán en la práctica los euros digitales. Ha llegado un punto en que prefiero vivir en un estado fallido antes que en lo que nos están preparando.

De lo políticamente viable a lo técnicamente posible​

Las cuatro propuestas que acabamos de examinar, el euro digital online y offline del BCE, el e-cash de Navarrete y el e-yuan, emplean criptografía para seguridad (cifrado de canal, autenticación, prevención de falsificación), pero ninguna utiliza las construcciones criptográficas que existen desde 1982 para hacer la vigilancia matemáticamente imposible para el propio emisor.

En las cuatro, la privacidad del usuario depende de promesas institucionales, no miraremos, en lugar de garantías matemáticas , no podemos mirar.

La diferencia no es semántica, una promesa puede romperse con un cambio de política, una ley de emergencia o una directiva interna; una imposibilidad matemática, no.

Y no es por falta de tecnología.

David Chaum publicó el esquema de blind signatures en 1982, las pruebas de conocimiento cero son prácticas desde 2016, el BIS demostró blind signatures en un entorno CBDC con el Proyecto Tourbillon en 2023, y ETH Zürich demostró privacidad total mediante zk-SNARKs en un ledger centralizado con Platypus en 2022.

Las herramientas existen, están probadas y disponibles.

La decisión de no usarlas es política.

Y hay una prueba de que las alternativas no son solo teóricas. Existe un sistema que opera comercialmente desde mayo de 2025 en Suiza, que usa exactamente la criptografía que el BCE ha descartado como no viable, y que el Banco Nacional de Austria ha señalado como plantilla ideal para el euro digital, y se llama GNU Taler.

GNU Taler​

Taxable Anonymous Libre Electronic Reserves, el acrónimo lo dice todo.

Anónimo para el pagador, tributable para el receptor.

Es la respuesta más directa al falso dilema que los bancos centrales plantean entre privacidad y cumplimiento fiscal, demostrando que no hay por qué elegir.

GNU Taler es un sistema de pago digital basado en blind signatures Chaumianas, desarrollado desde 2016 en la Bern University of Applied Sciences bajo la dirección de Christian Grothoff, con la colaboración directa de David Chaum y Thomas Moser del Banco Nacional Suizo.

No es blockchain.

No usa proof-of-work, ni consenso distribuido, ni tokens especulativos.

Opera sobre moneda fíat existente, francos suizos hoy, euros o cualquier otra divisa mañana, a través de un componente llamado exchange que funciona como intermediario criptográfico entre el sistema bancario convencional y los monederos digitales de los usuarios.

El mecanismo central es una implementación directa del esquema de Chaum. El usuario deposita dinero convencional en el exchange vía transferencia bancaria. A cambio, retira monedas digitales firmadas mediante blind signatures, originalmente RSA, con soporte añadido para Clause Blind Schnorr Signatures sobre curvas elípticas que mejoran el rendimiento y proporcionan agilidad criptográfica.

El exchange firma las monedas sin ver su contenido, no puede saber qué moneda firmó para qué cliente. Las monedas residen exclusivamente en el dispositivo del usuario, su teléfono o su navegador, como un monedero físico.

Cuando el usuario paga a un comerciante, presenta la moneda y el comerciante la deposita en el exchange, que verifica la firma y comprueba que no se haya gastado antes (prevención de doble gasto online). Entonces el comerciante recibe el dinero en su cuenta bancaria ordinaria.

La asimetría deliberada de privacidad es lo que distingue a Taler de todas las demás opciones que hemos examinado. El pagador es completamente anónimo, el exchange no puede vincular una retirada específica con un depósito específico gracias a las blind signatures.

Pero el receptor siempre es identificado, el comerciante tiene que tener una cuenta bancaria, tiene que registrarse en el exchange, y los ingresos son visibles para las autoridades fiscales.

Esto no es un compromiso por debilidad técnica, es una decisión de diseño filosófica. Grothoff lo ha expresado con claridad, la privacidad del comprador es un derecho fundamental; la opacidad fiscal del vendedor, no. El resultado es un sistema que satisface simultáneamente a los defensores de la privacidad (el Estado no sabe qué compras) y a las autoridades tributarias (el Estado sabe cuánto ingresa cada comerciante).

El protocolo de refresh resuelve un problema sutil pero crucial. Cuando un usuario paga con una moneda de 10€ por un artículo de 3€, necesita cambio. Si el exchange simplemente devolviera monedas de 7€ al mismo usuario, podría vincular la compra original con el cambio, rompiendo la privacidad.

Taler resuelve esto con un protocolo de refresh que genera nuevas monedas cegadas a partir del valor residual de una moneda parcialmente gastada, sin que el exchange pueda vincular las monedas nuevas con las antiguas. Este mismo mecanismo impide la evasión fiscal: un comerciante no puede refrescar monedas recibidas para convertirlas en monedas anónimas sin depositarlas primero, lo que haría visible el ingreso.

El despliegue real es lo que separa a Taler de los ejercicios académicos. En mayo de 2025, Taler Operations AG comenzó a operar legalmente el sistema en francos suizos, en colaboración con Maerki Baumann Bank de Zúrich.

La versión 1.0 se lanzó coincidiendo con esta operación comercial, seguida de las versiones 1.1, 1.2 y 1.3 durante 2025. Previamente, la moneda local Netzbon en Basilea ya operaba sobre Taler desde finales de 2024 como moneda regional. En la hoja de ruta de 2025, GLS Bank (el mayor banco ético de Alemania) aparecía como el siguiente operador en la eurozona.

El sistema fue presentado en el 39th Chaos Communication Congress (39C3) en Hamburgo en diciembre de 2025, donde los desarrolladores reportaron experiencia positiva en eventos reales, un PC modesto detrás de un monitor basta como servidor, una tablet como caja registradora, y códigos QR en las neveras para ventas sin dependiente.

La escala proyectada es significativa. En benchmarks, el sistema procesa 28.500 transacciones por segundo, varios órdenes de magnitud más que los 4 TPS de Bitcoin y suficiente para un despliegue nacional.

Los costes de transacción se estiman en 0,001 céntimos por transacción a alto volumen, amortizado sobre miles de millones de operaciones excluyendo costes de migración. El sistema no tiene las limitaciones de throughput inherentes al consenso distribuido porque no lo usa, el exchange es un servidor convencional que verifica firmas y consulta una base de datos de monedas gastadas. La escalabilidad es lineal con la capacidad del hardware.

El respaldo institucional es notable para un proyecto de software libre. El Banco Nacional de Austria (OeNB) publicó en 2022 un informe sobre el futuro del efectivo y el euro digital que concluyó que GNU Taler podría ser un modelo ideal para el euro digital.

Es uno de los poquísimos pronunciamientos favorables de un banco central del Eurosistema hacia un sistema concreto. David Chaum y Thomas Moser, miembro del directorio del Banco Nacional Suizo, publicaron conjuntamente el paper How to issue a privacy-preserving central bank digital currency utilizando la arquitectura de Taler como base.

La Comisión Europea financia el proyecto NGI TALER a través de Horizon Europe, con 11 socios en 8 países y convocatorias abiertas de financiación, la undécima se cerró en febrero de 2026.

Las limitaciones son reales y conviene ser preciso. Es un sistema online, requiere conexión para prevenir el doble gasto, igual que la arquitectura Chaumiana de la que deriva.

El exchange es centralizado. Si cae, el sistema se detiene, aunque los fondos están custodiados en una cuenta bancaria de garantía separada.

No soporta transacciones peer-to-peer anónimas en ambas direcciones, el receptor siempre es identificado, lo cual es una limitación deliberada pero limitación al fin para quien busca privacidad total.

Las monedas tienen fecha de caducidad (el monedero las renueva automáticamente, pero si está offline demasiado tiempo, se pueden perder).

Y la adopción comercial en Suiza es todavía incipiente, en el momento del lanzamiento no había comercios aceptando el sistema; el primer establecimiento fue el P15 CoNetWorking Space de Biel, junto a la BFH.

Si Suiza puede operar un sistema de pagos con anonimato del pagador garantizado por matemáticas, denominado en su moneda nacional, con soporte de su banco central y cumpliendo la legislación vigente ¿por qué el BCE dice que no es viable desde una perspectiva de política pública?

GNU Taler quedó relegada por varios motivos y todos políticos:

- El BCE eligió arquitectura primero, justificaciones después. El modelo cuenta/PSP se decidió antes de que la privacidad entrara seriamente en la discusión.

- La industria de pagos capturó el proceso de diseño. Los socios técnicos del BCE son empresas cuyo modelo de negocio depende de ver las transacciones.

- La privacidad real elimina una capacidad que las autoridades no quieren perder. Con blind signatures, el emisor literalmente no puede rastrear los pagos; no es que prometa no mirar, es que no puede. Cipollone declaró a El País (enero de 2026) que el euro digital debe ser un sistema "fully under our control". Lo decía en clave de soberanía europea, control de los raíles frente a la dependencia de Visa/Mastercard, no vigilancia del ciudadano, e incluso añadió que la gente puede decidir por sí misma si lo usa. Pero la frase es reveladora del marco mental del proyecto: un sistema "completamente bajo nuestro control" es, por arquitectura, un sistema en el que el operador conserva la capacidad de ver y condicionar, aunque hoy prometa no ejercerla. Las blind signatures eliminarían esa capacidad de raíz. Por eso no se eligieron.

- No hay lobby institucional por Taler. Es software libre desarrollado en una universidad suiza con financiación modesta de Horizon Europe. No tiene la maquinaria de influencia de Visa, Mastercard o la banca europea.

Pero GNU Taler sigue más vigente que nunca. Está operativo en Suiza, la UE lo financia, el EDPB lo cita implícitamente como referencia técnica, y cada vez que el debate sobre privacidad del euro digital se intensifica, GNU Taler es el ejemplo concreto de que la alternativa existe y funciona.

Pronto sabremos si el proceso legislativo europeo finalmente lo incorpora o si se consolida el modelo de pseudonimización que el BCE ya tiene avanzado.

Digital euro: The central bank of Austria recommends the GNU Taler system

Las siete propiedades del efectivo físico

Recordamos las propiedades del efectivo físico que establece el estándar de referencia. Cualquier sistema de dinero digital debe medirse contra estas propiedades, que en conjunto definen lo que hace al efectivo únicamente resistente a la vigilancia y el control:

Instrumento al portador: La posesión equivale a la propiedad. No se requiere cuenta, registro ni validación de terceros. No existe ningún libro mayor que registre quién posee qué billete específico.

Sin permiso: Cualquiera puede usar efectivo sin aprobación, verificación crediticia ni relación institucional: un niño, un turista, una persona indocumentada o un individuo políticamente desfavorecido.

Anonimato: No se necesita ningún proceso KYC para poseer, recibir o gastar moneda física, y las transacciones no dejan huella digital. No hay registro de quién pagó a quién, cuándo ni por qué. Los números de serie existen para la lucha contra la falsificación, pero no se rastrean sistemáticamente en el comercio.

Sin límites de tenencia: No existe un tope inherente sobre cuánto efectivo puede poseer una persona. Los límites que existen (en España, 1.000 euros para pagos a profesionales) son restricciones legales externas, no propiedades del instrumento.

Liquidación final instantánea: Cuando el efectivo cambia de manos, el pago está completo. Sin intermediario, sin demora de liquidación, sin riesgo de contracargo.

Funciona sin infraestructura: El efectivo no requiere internet, electricidad ni servidores. Funciona durante desastres, apagones y en zonas desconectadas.

No programable: Un billete de 50 euros es siempre un billete de 50 euros. No puede condicionarse a un plazo, a un tipo de comercio ni a una categoría de gasto; no puede caducar ni restringir su propio uso. El emisor pierde todo control sobre el billete en el instante en que lo emite, y esto es exactamente lo que las CBDC amenazan.


Estas siete propiedades no son independientes, en conjunto producen una octava, emergente, la resistencia a la vigilancia y el control. Si nadie sabe que lo tienes, nadie necesita autorizarte y no hay intermediario, ningún actor puede impedir que lo uses. Es una resistencia que opera en la transacción, aunque el Estado la erosione por los bordes: límites de pago, AML en el ingreso, y control de los puntos donde el efectivo entra y sale del sistema.


Ninguna arquitectura digital replica completamente las siete propiedades. Los compromisos fundamentales son:

- privacidad vs prevención de doble gasto, la verificación online rompe la capacidad offline.

- descentralización vs velocidad de liquidación

- capacidad offline vs seguridad, que requiere hardware resistente a manipulación.

Comprender dónde se sitúa cada arquitectura en estos ejes es esencial para evaluar propuestas de dinero digital.

Cuatro arquitecturas de dinero digital con preservación de privacidad

1. Blind signatures - mint centralizado (Chaum, GNU Taler)
2. Blind signatures - confianza distribuida sobre Bitcoin (Fedimint, Cashu)
3. Pruebas ZK - ledger centralizado (Platypus, Drex)
4. Pruebas ZK y firmas de anillo- ledger descentralizado (Zcash, Monero)

Empezamos por definir los conceptos de mint y ledger utilizados en estas arquitecturas:

Mint o casa de moneda es la entidad que emite el dinero digital. Igual que una casa de moneda física acuña billetes y los pone en circulación, un mint digital crea monedas electrónicas y las firma criptográficamente.

En la Arquitectura 1 hay un solo mint que puede ser un banco central o un operador como en GNU Taler.

En la Arquitectura 2 hay varios mints que operan conjuntamente, una federación, de modo que ninguno por sí solo puede emitir moneda ni acceder a la información completa.

Ledger o libro de cuentas es el registro donde se anotan todas las transacciones. Es el equivalente digital del libro mayor de un banco, donde consta quién tiene qué y quién pagó a quién.

En la Arquitectura 3 ese libro lo mantiene una autoridad central, que puede ser un banco central o una empresa.

En la Arquitectura 4 el libro se distribuye entre miles de nodos independientes que nadie controla, lo que comúnmente se llama blockchain.

La diferencia clave es que en un mint el dinero son objetos (monedas digitales que se transfieren, como billetes), mientras que en un ledger el dinero son anotaciones (saldos que se actualizan, como una cuenta bancaria). Las pruebas de conocimiento cero permiten actualizar esas anotaciones demostrando que la transacción es válida sin revelar qué dice.

GNU Taler demuestra que las firmas ciegas (blind signatures) Chaumianas funcionan en producción, sobre moneda fíat, con respaldo de un banco central y cumplimiento regulatorio.

Pero GNU Taler es una implementación con decisiones de diseño específicas, con exchange centralizado, anonimato solo del pagador, verificación online obligatoria y denominación en moneda soberana.

Estas decisiones lo hacen desplegable hoy dentro del marco regulatorio existente, y también lo limitan.

En GNU Taler el pagador es anónimo pero el receptor nunca lo es, el exchange es un punto único de fallo, sin conexión no hay transacción, y la privacidad, aunque matemáticamente garantizada, solo cubre una dirección del flujo de dinero.

¿Qué pasaría si se relajaran estas restricciones?

¿Si en lugar de un exchange centralizado, la confianza se distribuyera entre múltiples guardianes que no pueden conspirar entre ellos?

¿Si en lugar de proteger solo al pagador, las pruebas de conocimiento cero ocultaran toda la información transaccional, importes, remitentes, receptores, incluso del propio operador del sistema?

¿Y si se eliminara por completo la necesidad de confiar en un operador, desplegando esas mismas pruebas sobre un ledger que nadie controla?

Cada una de estas preguntas define una arquitectura diferente, y cada una de estas arquitectura ya existe hoy, no como propuesta teórica, sino como software funcional con usuarios reales.

Lo que sigue es un análisis de las cuatro arquitecturas fundamentales para dinero digital con preservación de privacidad. No forman un espectro lineal sino una matriz de dos ejes: la técnica criptográfica, firmas ciegas sobre objetos, o criptografía de ocultación sobre anotaciones, y la distribución de la confianza, de un operador único a ninguno. Las recorremos emparejadas por técnica, y dentro de cada par de más a menos confianza concentrada:

- e-Cash Chaumiano con mint único, la base teórica de la que GNU Taler es la implementación más exitosa.

- confianza distribuida sobre Bitcoin, Fedimint mediante una federación de guardianes con criptografía de umbral; Cashu mediante la redundancia entre mints de operador único que compiten en un mercado abierto. Ambos sin abandonar las blind signatures.

- pruebas de conocimiento cero sobre ledger centralizado, donde Platypus demostró viabilidad con zk-SNARKs, el caso Drex en Brasil probó múltiples construcciones ZK, y ambos revelan la tensión fundamental entre privacidad y control estatal.

El Banco Central do Brasil probó sobre su ledger permisionado (Hyperledger Besu) múltiples construcciones de conocimiento cero, Anonymous Zether, el Starlight de EY, Rayls, la ZKP Nova de Microsoft, y llegó a una conclusión incómoda: cuanta más privacidad criptográfica añadía, menos podía supervisar.

Lo formuló como un trilema entre supervisión, programabilidad y privacidad, y lo resolvió a favor de la supervisión. El propio banco central lo escribió sin eufemismos: las autoridades necesitan visibilidad y control sobre el token para cumplir sus obligaciones legales y regulatorias. La consecuencia llegó en otoño de 2025, cuando el BCB desmanteló el componente DLT de Drex alegando costes de mantenimiento y problemas de privacidad sin resolver. Es la prueba de que privacidad fuerte y control estatal no son dos posiciones de un mismo dial sino objetivos incompatibles: cuando un banco central tiene que elegir, elige el control. Por eso esta arquitectura, ZK sobre un ledger que el emisor controla, es técnicamente posible pero políticamente inestable: la criptografía permite la privacidad, pero la institución que opera el sistema tiene todos los incentivos para no usarla.

- Criptografía de privacidad sobre un ledger que nadie controla, Zcash con pruebas de conocimiento cero (zk-SNARKs) y Monero con firmas de anillo, direcciones sigilosas y RingCT. Dos caminos criptográficos distintos hacia el mismo resultado: ni la vigilancia ni el control son posibles por diseño.


Las cuatro arquitecturas comparten un principio que las separa de todo lo que hemos examinado hasta aquí: La privacidad no depende de una promesa institucional sino de una imposibilidad matemática.

Estas arquitecturas difieren en quién opera el sistema, en cómo se distribuye la confianza, en qué compromisos aceptan frente a las siete propiedades del efectivo físico, y lo que determina su viabilidad política, en cuánto control retiene la autoridad emisora.

Si hay un eje que recorre esta matriz en diagonal, es el de la soberanía: de un banco central que firma monedas sin poder rastrearlas (Arquitectura 1) a un protocolo donde no existe autoridad emisora alguna que pudiera hacerlo (Arquitectura 4).

Lo que cambia de un vértice al otro no es solo quién opera el sistema, sino cuánta soberanía retiene el individuo frente al Estado.

Arquitectura 1 - eCash Chaumiano con mint único

El esquema de blind signatures de David Chaum, publicado en 1982, sigue siendo la construcción criptográfica más elegante para dinero digital. El mecanismo central es simple y poderoso: una firma RSA ciega permite a un banco firmar un mensaje que no puede ver.

Mecanismo del protocolo

El usuario genera un número de serie aleatorio x, calcula f(x) usando un hash resistente a colisiones, elige un factor de cegamiento aleatorio r, y envía el mensaje cegado m' = f(x) · r^e mod n al banco.

El banco solo ve m', fruta indistinguible de un valor aleatorio, y calcula s' = (m')^d mod n.

El usuario desciega con s = s' · r^(-1) y mod n = f(x)^d mod n.

El resultado es una firma RSA válida sobre un valor que el banco nunca vio.

El banco no puede vincular esta moneda con el evento de emisión porque nunca conoció x ni f(x). Cuando la moneda se gasta, el comerciante verifica la firma, y el banco comprueba el número de serie contra una base de datos de monedas gastadas.

Detección de doble gasto offline
La extensión Chaum-Fiat-Naor de 1988 introdujo la detección offline de doble gasto mediante un mecanismo elegante desde el punto de vista de la teoría de la información. Cada moneda incorpora la identidad del usuario dividida en fragmentos mediante XOR con valores aleatorios: a_i y a_i ⊕ <identidad>.

Durante un gasto, el comerciante emite bits de desafío aleatorios; por cada bit, el usuario revela a_i o a_i ⊕ <identidad> , nunca ambos para el mismo índice. Un gasto único revela solo un fragmento por índice, insuficiente para identificar al gastador.

Un doble gasto revela ambos fragmentos para al menos un índice con probabilidad abrumadora, permitiendo la recuperación retrospectiva de identidad: a_j ⊕ (a_j ⊕ <identidad>) = <identidad>.

Los usuarios honestos mantienen anonimato completo y los defraudadores son detectados a posteriori sin hardware de confianza ni monitorización en tiempo real.

DigiCash

DigiCash Inc, fundada en 1989 en Ámsterdam, comercializó este esquema.

El ensayo con Mark Twain Bank (1995–1998) alcanzó aproximadamente 5.000 usuarios y 300 comerciantes antes de que DigiCash se declarase en quiebra en 1998. El fracaso no fue técnico, se debió a que el comercio electrónico era incipiente, los consumidores no valoraban la privacidad, las tarjetas de crédito ganaron por conveniencia, y errores de gestión (según se reporta, negociaciones fallidas con Microsoft y Visa) sellaron el destino de la empresa.

Limitaciones del mint único

El modelo de mint único tiene limitaciones claras. El mint es un punto único de fallo, si se desconecta o quiebra como DigiCash, todo el e-cash en circulación pierde su valor. Se debe confiar en que el mint no infle la oferta emitiendo tokens sin respaldo, ningún mecanismo criptográfico lo impide. El mint puede denegar selectivamente el servicio en la emisión o la redención.

De manera crítica, aunque las blind signatures hacen que las transacciones sean no vinculables (el mint no puede conectar una retirada específica con un depósito específico), el mint sigue observando volúmenes totales, tiempos de retirada con identidad del usuario, y tiempos de depósito con identidad del comerciante. Si el conjunto de anonimato es pequeño, el análisis temporal puede degradar la privacidad.

Implementaciones modernas

Las implementaciones modernas incluyen el ya descrito GNU Taler, que extiende el esquema de Chaum pero deliberadamente proporciona anonimato del pagador con transparencia del beneficiario: los comerciantes siempre son identificados, satisfaciendo el cumplimiento fiscal.

El propio eCash 2.0 de David Chaum (2022) propone un sistema de grado CBDC que añade redes mix para protección de metadatos y firmas resistentes a fruta cuántica. Su "privacidad inalienable" es doble: no puede arrebatársele al usuario, ni siquiera bajo coacción, y a la vez el usuario conserva la capacidad de revelar voluntariamente sus propios pagos para recibos o fruta. Pero su alcance sigue siendo el de Taler, anonimato del pagador, no del receptor: una mejora en metadatos y resistencia cuántica, no un salto a privacidad total.

Arquitectura 2 - Mints Chaumianos federados sobre Bitcoin

La Arquitectura 1 demostró que las firmas ciegas (blind signatures) permiten dinero digital donde el emisor no puede rastrear al pagador, pero depende de un operador centralizado. Si el mint cae, el sistema se detiene; si el operador es corrupto, los fondos están en riesgo.

La Arquitectura 2 ataca exactamente este problema distribuyendo la confianza entre múltiples partes, sin abandonar las blind signatures que garantizan la privacidad.

Hay una segunda decisión de diseño igualmente fundamental, estos sistemas se construyen sobre Bitcoin, no sobre moneda fíat, y no es accidental.

GNU Taler opera sobre francos suizos porque busca compatibilidad con el sistema bancario existente; necesita cuentas bancarias, cumplimiento regulatorio, identificación del receptor.

Fedimint y Cashu operan sobre Bitcoin porque buscan independencia de ese sistema. No requieren cuentas bancarias, no exigen identificación a ninguna de las partes, y funcionan en cualquier lugar donde haya conexión a internet, incluyendo contextos donde el sistema bancario es inaccesible, hostil o inexistente. Esa decisión define tanto sus fortalezas como sus limitaciones.

Dos implementaciones dominan: Fedimint, que distribuye la custodia entre una federación de guardianes, y Cashu, que mantiene mints de operador único pero en un ecosistema abierto donde los usuarios distribuyen fondos entre múltiples mints competidores. Ambas liquidan contra Bitcoin.

Fedimint, federaciones y criptografía de umbral

Fedimint utiliza una federación de guardianes que ejecutan servidores coordinados mediante criptografía de umbral: cada guardián posee una parte de la clave privada del mint, y ninguno puede firmar monedas ni acceder a los fondos por sí solo.

Una federación de 4 guardianes tolera 1 fallo (o traición) sin perder funcionalidad; una de 7 tolera 2. El consenso entre guardianes se alcanza mediante AlephBFT, un algoritmo tolerante a fallos bizantinos que funciona incluso sin supuestos sobre la velocidad de la red.

El ciclo de vida del e-cash es el siguiente:

-El usuario deposita Bitcoin en una dirección multisig controlada colectivamente por la federación.

-Tras las confirmaciones en la blockchain, el usuario envía mensajes cegados a los guardianes; cada uno produce una firma ciega parcial que, combinada con las demás mediante consenso, genera una moneda válida.

-El usuario desciega la moneda en su dispositivo, obteniendo e-cash que la propia federación no puede vincular con el depósito original.

Las transferencias entre usuarios de la misma federación son instantáneas, gratuitas y privadas: el emisor presenta tokens como entradas, la federación verifica las firmas y las marca como gastadas, y emite nuevos tokens cegados simultáneamente.

Para retirar Bitcoin, la federación firma una transacción on-chain mediante consenso de umbral.

El modelo está diseñado para comunidades con relaciones de confianza preexistentes. El ejemplo más revelador es BitSacco en Kenia, que usa Fedimint para reinventar las chamas, cooperativas tradicionales de ahorro donde los miembros ya se conocen y confían entre sí.

La federación formaliza criptográficamente una confianza que ya existe socialmente.

Cashu, mints individuales en ecosistema competitivo

Cashu adopta un enfoque diferente, en lugar de distribuir la confianza dentro de un mint, la distribuye entre muchos mints independientes que compiten por usuarios.

Cualquiera puede desplegar un mint Cashu con configuración mínima.

La criptografía es más simple que la de Fedimint, ya que utiliza Blind Diffie-Hellman Key Exchange (BDHKE), una variante del cegamiento Chaumiano que opera sobre la misma curva elíptica que Bitcoin (secp256k1).

El resultado es el mismo, tokens al portador que el mint no puede vincular con el usuario que los solicitó.

La disciplina no viene de la criptografía de umbral sino del mercado.

Los usuarios distribuyen fondos entre múltiples mints para limitar la exposición a cualquiera de ellos. La integración con Nostr (protocolo de comunicación descentralizado) permite descubrimiento de mints a través de redes de confianza social donde los usuarios ven qué mints usan sus contactos.

Los mints con mal comportamiento pierden usuarios y los fiables los atraen.

Cashu apunta a un público distinto de Fedimint, no comunidades cerradas con confianza preexistente, sino individuos en ecosistemas abiertos, incluyendo activistas y disidentes.

La app Chorus, lanzada en el Oslo Freedom Forum en mayo de 2025 con monedero Cashu integrado, ilustra este posicionamiento.

Lightning Network como capa de interoperabilidad

Lightning Network, la red de pagos instantáneos construida sobre Bitcoin, sirve como puente universal entre mints.

En Fedimint, un rol separado de pasarela conecta la federación con Lightning sin que ni la pasarela ni la federación conozcan información innecesaria sobre las operaciones del otro.

En Cashu, el mint ejecuta un nodo Lightning directamente. El resultado es que las transferencias entre mints incompatibles fluyen como e-cash de Lightning a e-cash, creando una red de pagos interoperable a partir de mints independientes.

Desarrollos recientes (2024–2025)

Fedimint lanzó v0.2.1 en enero de 2024 como primera versión con capacidad de producción, seguida de v0.5–v0.7 durante el primer semestre de 2025, añadiendo integración Lightning nativa, soporte LNURL y redes Iroh para despliegue doméstico sin direcciones IP públicas. La superapp Fedi se lanzó en agosto de 2024.

Cashu avanzó en 2025 con pagos multinut (pagar una factura Lightning desde múltiples mints simultáneamente), demostraciones NFC de pago por contacto, integración con BTCPayServer para comerciantes, y un ecosistema de 22 especificaciones técnicas (NUTs) que cubren desde la criptografía básica hasta atomic swaps y autenticación ciega.

Garantías de privacidad y limitaciones críticas

Las garantías de privacidad comparten el mecanismo de la Arquitectura 1, la no vinculabilidad de las blind signatures: el mint o la federación no pueden ver qué usuario posee qué tokens, ni saldos individuales, ni historiales de transacciones; solo observan depósitos totales, retiradas y oferta en circulación, pero su alcance es mayor. En Taler el receptor está siempre identificado; aquí no se identifica ninguna de las partes. La privacidad cubre las dos direcciones del flujo, no solo la del pagador.

Pero esa privacidad tiene una frontera, y está en un ledger público. A diferencia de Taler, donde el funding y el defunding pasan por el sistema bancario, identificado, pero en un registro privado, en Fedimint y Cashu las rampas de entrada y salida son transacciones de Bitcoin on-chain.

Los depósitos y retiradas que la federación "solo" observa como agregados son, en realidad, visibles para cualquiera en la blockchain más transparente que existe, y enlazables por análisis de cadena con el resto de la actividad on-chain del usuario. El e-cash chaumiano es soberano en la mano pero vulnerable en la frontera: la transacción interna es no rastreable, pero quien entra y sale del sistema deja huella pública en las rampas, salvo que aplique higiene on-chain (coinjoin, direcciones nuevas, separación de UTXO) antes de depositar y después de retirar. La privacidad del token no se hereda automáticamente al Bitcoin que lo respalda.

Pero estos sistemas heredan limitaciones fundamentales de sus decisiones de diseño:

1. Volatilidad.

Al estar denominados en Bitcoin, estos e-cash fluctúan con su precio. Un usuario que deposita hoy puede encontrar mañana que sus tokens valen significativamente más o menos, no por fallo del sistema sino por la naturaleza del activo subyacente. Esto los penaliza severamente como reserva de valor y unidad de cuenta frente a GNU Taler o cualquier CBDC. Como medio de pago la fricción es distinta: en una transferencia instantánea la exposición a la volatilidad es mínima, pero mientras la mayoría siga pensando y cobrando en euros, mantener saldos en Bitcoin para el gasto cotidiano es una barrera de adopción más que un defecto transaccional.

2. Riesgo custodial.

Ambos sistemas son custodiales, los usuarios deben confiar en que el mint o la federación no desaparecerá con el Bitcoin ni inflará la oferta de e-cash.

Fedimint mitiga esto distribuyendo la custodia, para robar los fondos haría falta la conspiración de una mayoría de guardianes.

Cashu es más vulnerable, un operador individual puede liquidar lo que en el ecosistema se llama un rug-pull, desaparecer con todos los fondos depositados.

No hay seguro de depósitos, no hay recurso legal, no hay autoridad a la que reclamar. Las pruebas de solvencia (proof of liabilities) son un área activa de desarrollo pero no están resueltas. La mitigación es práctica, no criptográfica, distribuir fondos entre múltiples mints y no depositar en ninguno más de lo que se esté dispuesto a perder.

3. Tensión entre privacidad y cumplimiento regulatorio.

A diferencia de GNU Taler, donde el receptor está siempre identificado y los ingresos son visibles para las autoridades tributarias, en Fedimint y Cashu ninguna de las partes necesita identificarse.

Esto los hace poderosos para contextos de represión financiera y simultáneamente inaceptables para cualquier marco regulatorio que exija conocimiento del cliente. No es un problema técnico por resolver, es una elección de diseño asumida.

Rosso dijo:

Las siete propiedades del efectivo físico

Recordamos las propiedades del efectivo físico que establece el estándar de referencia. Cualquier sistema de dinero digital debe medirse contra estas propiedades, que en conjunto definen lo que hace al efectivo únicamente resistente a la vigilancia y el control:

Instrumento al portador: La posesión equivale a la propiedad. No se requiere cuenta, registro ni validación de terceros. No existe ningún libro mayor que registre quién posee qué billete específico.

Sin permiso: Cualquiera puede usar efectivo sin aprobación, verificación crediticia ni relación institucional: un niño, un turista, una persona indocumentada o un individuo políticamente desfavorecido.

Anonimato: No se necesita ningún proceso KYC para poseer, recibir o gastar moneda física, y las transacciones no dejan huella digital. No hay registro de quién pagó a quién, cuándo ni por qué. Los números de serie existen para la lucha contra la falsificación, pero no se rastrean sistemáticamente en el comercio.

Sin límites de tenencia: No existe un tope inherente sobre cuánto efectivo puede poseer una persona. Los límites que existen (en España, 1.000 euros para pagos a profesionales) son restricciones legales externas, no propiedades del instrumento.

Liquidación final instantánea: Cuando el efectivo cambia de manos, el pago está completo. Sin intermediario, sin demora de liquidación, sin riesgo de contracargo.

Funciona sin infraestructura: El efectivo no requiere internet, electricidad ni servidores. Funciona durante desastres, apagones y en zonas desconectadas.

No programable: Un billete de 50 euros es siempre un billete de 50 euros. No puede condicionarse a un plazo, a un tipo de comercio ni a una categoría de gasto; no puede caducar ni restringir su propio uso. El emisor pierde todo control sobre el billete en el instante en que lo emite, y esto es exactamente lo que las CBDC amenazan.


Estas siete propiedades no son independientes, en conjunto producen una octava, emergente, la resistencia a la vigilancia y el control. Si nadie sabe que lo tienes, nadie necesita autorizarte y no hay intermediario, ningún actor puede impedir que lo uses. Es una resistencia que opera en la transacción, aunque el Estado la erosione por los bordes: límites de pago, AML en el ingreso, y control de los puntos donde el efectivo entra y sale del sistema.


Ninguna arquitectura digital replica completamente las siete propiedades. Los compromisos fundamentales son:

- privacidad vs prevención de doble gasto, la verificación online rompe la capacidad offline.

- descentralización vs velocidad de liquidación

- capacidad offline vs seguridad, que requiere hardware resistente a manipulación.

Comprender dónde se sitúa cada arquitectura en estos ejes es esencial para evaluar propuestas de dinero digital.

Hacer clic para expandir...

El círculo se va cerrando. Como siempre China es el primer país en adoptar esta forma de control (como ocurrió con las medidas ELbichito), porque su población es muy numerosa y disciplinada.

Si en estos momentos ya tienen un control absoluto, quieren que no tengamos nada fuera de su control.

Hasta tal punto que el dinero podrá caducar, no poder ser usado, ser usado en lo que ellos quieran o realizar las quitas que quieran.

La capacidad de control nunca es gratis, tiene una precondición económica.

Mientras la economía china crecía al 6-10% anual, la tolerancia era enorme porque el reparto era favorable. Pero China lleva años de crisis inmobiliaria, deflación y un desempleo juvenil que tocó el 21,3% en 2023, tras lo cual Pekín cambió la metodología para medirlo más bajo, y aun así sigue clavado en el entorno del 16-19%. La generación joven ya expresa un rechazo pasivo al sistema. Añade a ese cuadro que tu dinero pueda caducar, congelarse o condicionarse, y el cálculo de la obediencia cambia. La gente tolera, tolera y tolera hasta que se planta: la tolerancia es alta, pero no infinita, y depende críticamente de que la economía funcione.

Aquí está la paradoja de las CBDC programables: dan al emisor más capacidad de control que nunca y, a la vez, más superficie de ataque. No hace falta que reaccionen 1.300 millones de personas; basta con que los que tienen ahorros que perder empiecen a buscar la salida. Y esa salida hoy existe, con un matiz que conviene no esconder: el mismo aparato que hace temible al e-CNY, prohibición del trading de cripto, Gran Cortafuegos, control de capitales, encarece la huida. No es un clic. Pero el capital determinado encuentra la rendija (P2P, OTC, stablecoins), y el propio intento de salir ya es desestabilizador. El control no elimina la fuga, le sube el precio.

Conviene separar lo que el e-CNY ya hace de lo que podría hacer, porque mezclarlo regala munición al escéptico. La caducidad está demostrada: China pilotó yuan digital con fecha de expiración para forzar el gasto. La congelación es plausible: el e-CNY es programable por smart contract, y un banco central puede congelar. El condicionamiento por puntuación social es proyección: se asevera, pero no está documentado como función desplegada. Las tres importan para el cálculo de confianza, pero solo la primera es un hecho consumado.

Y es que para que una moneda, cualquier CBDC, sea aceptada como reserva, las contrapartes extranjeras tienen que confiar en que el emisor no puede hacer con ella lo que le venga en gana. Esa confianza no descansa en la bondad del emisor sino en sus límites: tribunales independientes, propiedad protegida, un coste político alto por confiscar.

China ofrece control sin esos contrapesos. Pero sería un autoengaño presentar al dólar, o al euro, como inmunes: en 2022 Occidente congeló unos 300.000 millones de dólares en reservas del banco central ruso, y el detalle decisivo es dónde estaban: en torno a 210.000 millones en Europa, casi todo en Euroclear, frente a apenas 5.000 millones en Estados Unidos. En diciembre de 2025 la UE acordó congelarlos de forma indefinida para financiar a Ucrania con sus rendimientos: confiscación de facto. La fricción institucional es real y ralentiza el abuso, pero no es un muro. Y, para este hilo, el dato incómodo es que el precedente más nítido de confiscación de reservas no lo firma China: lo firma Europa, justo cuando se dispone a emitir su euro digital.

El patrón se repite cada vez que un Estado demuestra que puede y quiere confiscar: las reservas rusas en 2022, la quita a los depositantes de Chipre en 2013, la desmonetización india de 2016, el corralito argentino de 2001. La reacción a largo plazo es siempre la misma: el capital busca terreno fuera del alcance del Estado.

Lo que hace distinta esta era no es que la gente desconfíe, siempre desconfió, sino que por primera vez la salida es funcional y accesible. Antes, si no te fiabas de tu moneda, te quedaban el oro físico, los dólares en un cajón o el ladrillo. Ahora los activos digitales cambian la ecuación de poder: la fricción de salida sigue ahí, pero el techo de control del emisor ha dejado de ser el techo del sistema.

De firmas ciegas a pruebas de conocimiento cero

Las Arquitecturas 1 y 2 usan firmas ciegas (blind signatures): el emisor firma monedas digitales sin ver su contenido, lo que impide vincular una moneda con el usuario que la solicitó. El dinero funciona como objetos, tokens al portador que se transfieren como billetes físicos.

Pero las firmas ciegas tienen un límite estructural: garantizan que el emisor no pueda conectar la retirada con el gasto, la moneda es no vinculable, pero no ocultan el resto del flujo. Los extremos, la carga y la descarga, son visibles con identidad, y la protección cubre solo una cara de la transacción.

En la Arquitectura 1 el receptor siempre es visible. En la Arquitectura 2 la privacidad es más amplia, no se identifica a ninguna de las partes, pero a cambio el sistema depende de confianza custodial: hay que fiarse de que el mint o la federación no roben ni inflen.

Las Arquitecturas 3 y 4 cambian de primitiva criptográfica. En lugar de cegar lo que el emisor firma, ocultan el contenido de la propia transacción y demuestran que es válida sin revelar qué contiene. principalmente mediante pruebas de conocimiento cero, aunque algún sistema alcanza el mismo resultado por otra vía.

El dinero ya no son objetos sino anotaciones en un libro de cuentas, un ledger, donde esa criptografía permite actualizar saldos demostrando matemáticamente que las reglas se cumplen, no hay saldo negativo, no se crea dinero de la nada, no se exceden los límites establecidos, sin revelar importes, remitentes ni receptores.

La pregunta que separa las dos arquitecturas es quién mantiene ese libro de cuentas: una autoridad central que opera la infraestructura pero no puede leer lo que procesa (Arquitectura 3), o una red distribuida que nadie controla (Arquitectura 4).

Arquitectura 3 - Pruebas de conocimiento cero sobre ledger centralizado

Esta es la arquitectura menos documentada y menos implementada de las cuatro, y también la que revela con mayor claridad la distancia entre privacidad y soberanía.

El concepto, un banco central opera la infraestructura de procesamiento de transacciones, pero las pruebas de conocimiento cero impiden matemáticamente que extraiga los detalles de lo que procesa.

La autoridad central no puede ver importes, ni remitentes, ni receptores, ni saldos. Solo puede verificar que cada transacción cumple las reglas que él mismo definió.

Esa última frase contiene la tensión que define toda esta arquitectura.



El modelo teórico, Platypus

Platypus (ETH Zúrich/CISPA, publicado en ACM CCS 2022) es el diseño académico más completo para una CBDC con privacidad garantizada por pruebas ZK.

Combina procesamiento de transacciones tipo e-cash con gestión de fondos basada en cuentas usando zk-SNARKs Groth16.

El mecanismo central se basa en que el saldo de cada usuario se almacena como un compromiso de Sensensensensensensen, una construcción criptográfica que sella un valor de forma que pueda verificarse sin abrirse.

Para realizar una transacción, el usuario construye una prueba zk-SNARK que demuestra simultáneamente que conoce la apertura de su compromiso actual, que el nuevo saldo del emisor iguala el saldo anterior menos el monto transferido y es no negativo, que el nuevo saldo del receptor no excede el límite de tenencia, y que los identificadores de transacción se derivan correctamente para prevenir doble gasto.

El banco central verifica la prueba y actualiza el ledger sin aprender nada sobre los valores reales.

Rendimiento demostrado con generación de prueba en aproximadamente un segundo, verificación en unos cinco milisegundos.

Lo que Platypus demuestra no es solo que la privacidad ZK funciona en una CBDC, sino que es posible diseñar circuitos que revelen selectivamente.

El banco central puede verificar que un saldo no excede un límite sin conocer el saldo, o que una transacción cumple reglas de prevención de lavado de dinero sin ver los importes. Este punto medio entre transparencia total y opacidad total es teóricamente posible, la cuestión es si alguna autoridad lo implementará en producción.



El caso Drex, lo que Brasil descubrió

El Drex (Real Digital) de Brasil es el caso más instructivo porque llegó más lejos que cualquier otro banco central en la experimentación real con pruebas ZK para una CBDC.

La Fase 1 probó múltiples soluciones de privacidad: Anonymous Zether (ConsenSys/JPMorgan), Starlight (derivado de Nightfall de EY), ZKP Nova (Microsoft) y Rayls (Parfin).

El hallazgo crítico fue revelador, las pruebas de conocimiento cero funcionaron técnicamente, garantizando la privacidad de las transacciones.

Pero también ocultaron las transacciones a las autoridades. El Banco Central de Brasil concluyó que "es esencial que las autoridades tengan visibilidad y control sobre el token".

Ninguna de las soluciones ZK probadas logró el punto medio que Platypus demuestra en teoría, ocultar detalles a terceros pero permitir supervisión regulatoria selectiva. No porque sea matemáticamente imposible, sino porque las implementaciones disponibles en 2024 no habían alcanzado esa granularidad con calidad de producción.

La respuesta de Brasil fue radical, para mediados de 2025 el proyecto había abandonado la arquitectura blockchain original, reformulando Drex como infraestructura de tokenización de activos con privacidad gestionada por mecanismos convencionales.

La lección no es que las pruebas ZK no funcionen para CBDCs, es que cuando funcionaron demasiado bien, la autoridad emisora prefirió eliminarlas antes que perder visibilidad.



El BIS y otros bancos centrales

El Proyecto Tourbillon del BIS (con el Banco Nacional Suizo) se cita frecuentemente en esta categoría pero es un error de clasificación porque usa blind signatures, no pruebas ZK, y pertenece conceptualmente a la Arquitectura 1.

Demostró que un banco central puede firmar tokens CBDC sin ver los números de serie, logrando anonimato del pagador, exactamente el modelo de GNU Taler con respaldo del BIS.

Más relevantes aquí son el Banco de Israel, uno de los pocos bancos centrales que ha probado pruebas ZK en un laboratorio CBDC, y el estudio conjunto del Banco de Inglaterra con MIT DCI publicado en diciembre de 2024, que evaluó ZKPs, fruta multipartita y pseudonimización para la libra digital.

Su conclusión resume el estado del arte, las pruebas ZK son factibles pero presentan sobrecarga fruta significativa, requieren experiencia especializada escasa y operan en un marco de incertidumbre legal donde ningún regulador ha definido aún qué nivel de privacidad criptográfica es legalmente aceptable.



La tensión fundamental

Las pruebas de conocimiento cero protegen el contenido de las transacciones pero no la soberanía del usuario sobre su dinero.

Incluso con privacidad ZK perfecta, donde el banco central no puede ver qué compras, a quién pagas ni cuánto tienes, el banco central retiene el control sobre los parámetros del circuito ZK, definiendo qué debe demostrarse y qué puede ocultarse.

Controla las actualizaciones de software, pudiendo enviar cambios al monedero que debiliten la privacidad.

Controla la lista de validez, pudiendo congelar cuentas eliminando identificadores criptográficos.

Y puede codificar directamente en el circuito límites de tenencia, límites de transacción, fechas de caducidad y condiciones programables.

El resultado es una forma de privacidad sin precedentes en la historia del dinero estatal, y al mismo tiempo un nivel de control programable sobre el dinero que el efectivo físico jamás permitió.

El banco central no puede ver lo que compras, pero sigue pudiendo determinar si puedes comprar.

Esta combinación no tiene equivalente en ningún sistema monetario anterior, y es precisamente lo que hace de la Arquitectura 3 la más políticamente improbable, ya que ofrece a las autoridades menos vigilancia que el sistema actual y requiere que acepten perderla voluntariamente, a cambio de nada que no tuvieran ya.

El artículo 99 de la Constitución Federal Suiza establecerá ahora que el franco es la moneda nacional y que el Banco Nacional Suizo garantiza la oferta de efectivo

El impulsor de la propuesta inicial es Richard Koller, exsecretario del SVP y activista antivacunas durante el ELbichito.

La desconfianza hacia el control estatal durante la esa época en el 2020 de la que yo le hablo se canalizó después hacia la defensa del efectivo.

El gobierno supo leer la situación y formuló una contrapropuesta que recogía la esencia de la demanda, blindar el efectivo constitucionalmente, sin las exigencias más maximalistas de la iniciativa original que protegía explícitamente el efectivo físico (monedas y billetes) y en cantidad suficiente.

Al usar un término genérico como efectivo, la contrapropuesta aprobada deja teóricamente una ventana abierta para que un futuro e-CHF (CBDC suiza) pudiera considerarse como cumplimiento de esa garantía constitucional.

La protección española es puramente legislativa, una mayoría parlamentaria simple puede modificarla o eliminarla en cualquier momento.

Lo que Suiza acaba de hacer hoy es elevar esa protección a rango constitucional, lo que significa que solo puede modificarse mediante otro referéndum con doble mayoría (pueblo y cantones).

Además, el enfoque español tiene una contradicción inherente, por un lado reconoce el derecho a pagar en efectivo, pero por otro pone el límite en 1.000€ para operaciones con profesionales, y la tendencia regulatoria (especialmente impulsada desde la UE) es ir reduciendo esos límites.

La Constitución española no menciona el efectivo como derecho fundamental, con lo cual la protección depende enteramente de la voluntad política del momento.