Un mot dans le premier paragraphe

Bitcoin commence par un diagnostic. Dès son premier paragraphe, avant tout bloc et toute preuve de travail, le livre blanc affirme : « Completely non-reversible transactions are not really possible, since financial institutions cannot avoid mediating disputes. » Des transactions totalement irréversibles ne sont pas vraiment possibles, puisque les institutions financières ne peuvent éviter d’arbitrer les litiges. Tout ce qui a suivi a été construit pour répondre à cette phrase. Cet essai porte sur un seul de ses mots : puisque.

La phrase tire une conclusion. Parce que les banques doivent arbitrer les litiges, les paiements ne peuvent pas être définitifs. La conclusion ne suit pas.

Un litige n’existe que parce qu’un paiement ne peut pas être défait. Si un acte pouvait vraiment n’avoir jamais eu lieu, il n’y aurait rien à disputer ; on l’effacerait, tout simplement. Personne ne l’a jamais fait. Une rétrofacturation n’efface pas un paiement ; elle le présuppose, et ajoute un second paiement qui répond au premier. Un remboursement, un rappel, une décision de justice : chacun est un acte nouveau qui cite l’ancien. La comptabilité le sait depuis cinq siècles : une erreur se corrige par une écriture de contrepassation, jamais par une gomme.

Les transactions n’ont jamais été réversibles. On leur a toujours répondu.

Les banques ne peuvent donc éviter d’arbitrer les litiges, les transactions sont irréversibles, et ces deux faits ne se contredisent pas. Le second cause le premier. Parce que ce qui est fait ne peut être défait, quelqu’un doit décider de ce qui sera fait ensuite.

Ce que décrit en réalité le premier paragraphe est autre chose : un registre que son gardien peut réécrire. Le grand livre d’une banque peut être modifié par la banque. C’est là le défaut, et c’est pourquoi la banque devient à la fois juge, partie et archive.

Le problème n’a jamais été l’arbitrage. C’était la plume.

À quoi servait la décentralisation

Le livre blanc dit clairement pourquoi la banque devait disparaître. Dans l’ancien modèle, « the mint was aware of all transactions and decided which arrived first » : l’émetteur voyait toutes les transactions et décidait laquelle était arrivée la première. Sans lui, les participants doivent « agree on a single history of the order in which they were received », s’accorder sur une histoire unique de l’ordre dans lequel elles ont été reçues. La décentralisation était le moyen. Les buts étaient trois : un ordre que personne ne peut réécrire, une histoire identique pour tous, et personne qui puisse refuser votre transaction.

Bitcoin les a atteints en rendant la plume trop coûteuse à soulever. Cela a fonctionné, et rien ici ne le diminue : Bitcoin a résolu la double dépense sans banque, et Recognitium inscrit chaque jour sa propre histoire dans Bitcoin. Mais Bitcoin a payé la permanence en énergie et l’a cotée dans son propre jeton, une confirmation après l’autre, trop lentement et trop cher pour un paiement d’un centime. Chaque chaîne construite depuis a perfectionné cette réponse : des blocs plus rapides, des frais plus bas, des registres plus programmables, tous posés sur le même mur.

Les trois mêmes buts, sous la chaîne

Recognitium retire au contraire la plume à tout le monde, et atteint les trois buts sans vote.

Un ordre que personne ne peut réécrire. Chaque reçu prend sa place dans un ordre public unique. Chacun garde ses propres registres et ses données ; quand deux parties échangent, chacune engage la position de l’autre dans son propre reçu, et leurs histoires s’entrelacent. L’état de l’ensemble se résume en une seule racine, la chaîne est ancrée chaque jour dans Bitcoin, et n’importe qui peut vérifier n’importe quel reçu hors ligne, gratuitement, sans rien nous demander. Sceller coûte un centime et prend quelques millisecondes.

Une histoire identique pour tous. Il n’y a qu’une chaîne publique, et les reçus qui la prouvent sont entre les mains de tous ceux qui ont jamais été servis. Pour montrer deux passés différents à deux parties, l’opérateur devrait faire disparaître l’un d’eux de mains qu’il ne contrôle pas.

Personne ne peut vous refuser. Le moteur reçoit une empreinte et rien d’autre. Il ne sait ni à qui elle appartient ni ce qu’elle représente ; il ne peut donc viser ni une personne ni un contenu, et n’importe qui peut sceller l’empreinte de n’importe qui. Son seul pouvoir de refus est de cesser de servir tout le monde à la fois, et ce pouvoir disparaît à mesure que les opérateurs se multiplient et que l’instrument passe entre les mains du client.

Des inconnus n’ont besoin de rien de plus. Deux personnes qui ne se rencontreront jamais n’ont pas à se connaître pour se régler. Si quelqu’un dépense deux fois la même chose, les deux dépenses prennent place dans le même ordre public, et la plus tardive perd. Aucune identité n’est requise et aucun vote n’a lieu.

Il reste à l’opérateur deux verbes : allumer et éteindre.

Voilà pourquoi ce travail se situe sous Bitcoin, et non au-dessus. Les chaînes de blocs et les jetons perfectionnent une seule réponse à la double dépense, un mur payé en énergie. Recognitium descend sous cette réponse, jusqu’au problème qu’elle devait résoudre.

Ce qui reste

Demandons ce qu’un faussaire devrait faire. Pour modifier un reçu que quelqu’un d’autre détient déjà, il lui faudrait soit trouver une seconde préimage de SHA-256 à cette position exacte, la forme la plus difficile de le casser, soit atteindre chaque main qui détient la chaîne et en remplacer chaque copie. La première tâche dépasse tout ordinateur que nous savons construire. La seconde dépasse le calcul lui-même. Et l’instrument est conçu pour n’avoir que deux comportements : un reçu honnête, ou le silence.

Dans cet instrument, le secret qui fonde chaque reçu est tiré d’un événement physique que nul ne pouvait prédire, il est plus grand que l’empreinte qu’il laisse, et il est effacé avant que le reçu puisse être lu. Il n’a aucune copie avant, aucune trace dans le résultat, aucune existence après. Rien ne repose nulle part qui puisse être volé, et personne, l’opérateur compris, ne l’a jamais connu.

Cet instrument est la destination de Recognitium, et il est en construction. Les reçus d’aujourd’hui sont scellés en logiciel. Les garanties physiques deviendront des affirmations lorsqu’elles auront été mesurées, et leur résultat sera publié, quel qu’il soit.

Ce qui change

Puisqu’une transaction ne peut être défaite, tout litige doit se conclure par un acte nouveau, et cet acte est scellé comme le premier : définitif, ordonné, visible de quiconque détient le paiement auquel il répond. L’arbitrage ne disparaît pas. Il devient obligatoire, parce qu’il est la seule manière qui reste de répondre à un paiement, et irrévocable, parce que sa réponse entre dans le même ordre que tout le reste.

L’arbitre n’a plus besoin de tenir le registre. Quiconque a qualité peut décider ; personne ne peut réécrire.

Le registre qui détient l’actif

Il faut encore que quelqu’un détienne ce qui s’échange : les titres, la monnaie, la propriété. Recognitium ne le détient pas, et n’en a pas besoin. Il lui suffit d’une règle : le registre qui détient un actif ne peut le déplacer que selon les reçus. À chaque changement d’état, le registre scelle la racine de Merkle de son nouvel état. N’importe qui peut rejouer les reçus dans leur ordre public à partir de la racine précédente, et doit retrouver la nouvelle. Un registre qui déplace un actif sans reçu scelle une racine que personne ne peut reproduire, et tout le monde le voit.

La règle tient à deux degrés. Aujourd’hui, en logiciel, le registre peut encore bouger de lui-même, mais jamais sans que cela se voie. Lorsque l’instrument se trouve sur le chemin d’écriture du registre, celui-ci ne peut inscrire aucun état qu’un reçu ne lie : il suit les reçus, ou il se tait. Le dépositaire garde l’actif et perd le pouvoir de le déplacer seul.

L’échange d’un actif contre un paiement découle de la même règle. Les deux jambes citent le même reçu, et la prochaine racine du registre des actifs comme celle du registre des espèces doivent chacune contenir sa jambe. Si l’une bouge sans l’autre, deux racines publiques contredisent un ordre public unique. Chaque institution garde ses livres privés ; seul l’ordre est partagé.

Le registre peut détenir l’actif. Il ne peut plus le déplacer sans que cela se voie.

Ce qui précède

Rien de tout cela ne part de rien. Stuart Haber et Scott Stornetta ont enchaîné les empreintes de documents en 1991, et Bitcoin repose sur leur idée. Certificate Transparency fait fonctionner depuis 2013 des journaux publics et vérifiables tenus par des opérateurs identifiés, afin que chacun puisse surprendre un journal qui montrerait deux histoires. Eric Budish a montré en 2018 que la sécurité de la preuve de travail doit suivre la valeur qu’elle protège, ce qui est le prix d’une permanence liée à un jeton. Les rollups prouvent déjà qu’un état suit une liste ordonnée de transactions, et les plateformes d’échange publient leurs réserves sous forme d’arbres de Merkle à sommes. Ce qui est nouveau ici est plus étroit et plus profond : la prémisse du premier paragraphe levée, un moteur trop aveugle pour refuser qui que ce soit, un ordre conçu pour lier chaque position à un événement physique que nul ne pouvait prédire, et des registres qui ne peuvent déplacer un actif que selon cet ordre.

---

Satoshi demandait comment payer sans faire confiance à une banque. La question qui se trouve dessous est plus ancienne : comment des gens qui ne se font pas confiance peuvent-ils partager un passé que personne ne peut réécrire ? Bitcoin a répondu par l’énergie. Recognitium répond par l’ordre.