Цифровой рубль офлайн – что это значит для бизнеса и финансовой системы
В октябре ряд сотрудников Минфина впервые получили заработную плату в цифровых рублях. За месяц до этого крупнейшие банки и часть крупных торговых компаний начали предоставлять клиентам доступ к новой платежной инфраструктуре. Онлайн-контур цифрового рубля постепенно переходит к массовому использованию, однако его дальнейшее развитие связано уже с более сложной задачей, поскольку платеж должен проходить и тогда, когда покупатель и продавец временно не могут обратиться к банку или платформе Банка России.
Сам офлайн-режим не стал реакцией на недавние сбои, он был предусмотрен еще в концепции цифрового рубля 2021 года. Однако атаки на крупные центры обработки данных, перебои связи и временная недоступность отдельных цифровых сервисов показали, что речь идет уже не об отдаленном технологическом сценарии, а об устойчивости повседневных расчетов. На этом фоне заявление первого зампреда Банка России Владимира Чистюхина о том, что возможность работать без сети позволит цифровому рублю конкурировать с наличными, звучит вполне практично. Вопрос теперь состоит в том, как обеспечить такой расчет технически, и что для этого потребуется изменить Банку России, банкам и ритейлу.
Сейчас цифровой рубль работает только при доступе к платформе Банка России. Пока это так, для человека он по-прежнему мало отличается от других безналичных денег, потому что платеж зависит от связи, банковского приложения, кассы и внешней инфраструктуры. Офлайн-режим меняет саму модель расчета, позволяя передать цифровые рубли от покупателя продавцу, когда ни один из них не может обратиться к банку или платформе ЦБ.
Потребность в таком механизме уже вышла за рамки теоретических дискуссий. Сбои последнего месяца показали, насколько быстро привычные платежные сервисы могут стать недоступны, даже если сами деньги на счетах остаются в сохранности. Для клиента причина сбоя вторична, потому что в момент оплаты он просто не может воспользоваться своими средствами. Офлайн-режим цифрового рубля не заменит резервные ЦОДы и аварийное восстановление, но позволит сохранить возможность расчета, когда обычная платежная цепочка временно перестает работать.
Настоящий офлайн начинается не там, где без интернета остался только покупатель, а терминал продавца продолжает обращаться во внешнюю систему. Сложнее обеспечить расчет, когда связи нет у обеих сторон, потому что ни банк, ни платформа не видят остаток, не могут провести ни платеж, ни антифрод-проверку и остановить, если надо, подозрительную операцию.
В первоначальной концепции проекта ЦБ была описана модель, при которой человек заранее переводит ограниченную сумму из онлайн-кошелька в отдельный офлайн-кошелек, после чего эти деньги уже нельзя одновременно потратить через платформу. Во время покупки устройства продавца и покупателя обмениваются защищенными данными напрямую, вероятнее всего через NFC, а при появлении связи операции передаются в основной контур. На телефоне хранится не файл с рублями, а состояние кошелька и ключи, подтверждающие право распоряжаться конкретной суммой. Одним из вариантов защищенного элемента может стать специальная SIM-карта, однако окончательная архитектура пока не определена.
Главная техническая проблема состоит не в передаче данных, а в защите от двойного расходования. Владелец не должен иметь возможности скопировать кошелек, вернуть его к прежнему состоянию и несколько раз потратить один остаток, пока платформа не видит операций. Поэтому офлайн-режим почти неизбежно будет ограничен по сумме, числу платежей и времени без синхронизации, а защищенный элемент должен вести счетчики, которые нельзя обнулить обычными средствами. Чем ближе цифровой рубль будет к наличным по свободе обращения, тем сложнее обеспечить такую защиту.
Не менее важна окончательность платежа. Если магазин принял корректное подтверждение, а после синхронизации выяснилось, что устройство покупателя было взломано, продавец не должен остаться без денег. Иначе это не расчет, а «короткий кредит» покупателю, риск которого несет торговая точка. Банку России предстоит определить, когда обязательство считается исполненным, кто покрывает потери, как блокируется потерянное или скомпрометированное устройство и как восстанавливается остаток, если старый кошелек еще находится вне сети. Поскольку онлайн-проверка в момент покупки невозможна, часть контроля придется перенести на пополнение кошелька, а часть выполнять после синхронизации.
Для банков проект не ограничится новой функцией в приложении. Потребуются привязка кошелька к доверенному устройству, выпуск и обновление ключей, управление лимитами, блокировка и восстановление доступа. Приложение должно проводить платеж без обновления сессии и обращения к серверу банка, иначе при инфраструктурном сбое офлайн-режим окажется недоступен именно тогда, когда он нужен. После возвращения связи банк будет участвовать в сверке операций, антифроде и разборе обращений, поскольку клиент с потерянным телефоном или спорным платежом придет прежде всего в свой банк.
Ритейлу понадобится не просто новый способ оплаты на кассе. Терминал должен локально проверить подтверждение, сохранить операцию, связать ее с чеком и передать в платежные и учетные системы после восстановления связи. Отдельно придется отработать возврат до синхронизации, закрытие смены с еще не зачисленными суммами и восстановление данных при поломке кассы. Если прием потребует отдельного дорогого оборудования, технология останется нишевой.
Также держим в голове, что офлайн-кошелек бесполезен, если человек не перевел в него деньги заранее, поэтому практичным решением могла бы стать возможность автоматически поддерживать небольшой резерв в установленном лимите. Наличные такой механизм не заменит, поскольку им не нужны заряженный телефон и совместимая касса, однако цифровой рубль сможет взять на себя часть повседневных платежей во время кратковременных сбоев.
Банк России рассчитывает начать пилот офлайн-платежей в 2027 году, и его главной задачей должна стать не показательная передача денег между двумя устройствами, а проверка работы системы у всех участников процесса при длительном отсутствии связи, потере устройства, поломке кассы, возврате товара и двойном расходовании. Эти сценарии покажут, появился ли резервный платежный инструмент или только еще один интерфейс, который работает, пока доступна привычная инфраструктура.
Автор — бизнес-архитектор департамента «Банки и финансы» ИТ-компании «Рексофт»