为什么数字人民币设计成可控匿名？

“小匿名、大可追溯”数字人民币的设计，在保证有限匿名性、具备打击犯罪能力的前提下，为用户提供了更安全的支付能力。

原题：数字人民币为何要采用“小匿名、大可追溯”的设计？》
：数字硬币研究学会

目前，数字人民币试点工作正在稳步推进。

根据移动支付网络，数字人民币坚持中央银行的中心化管理。其设计基于密码学，采用安全技术保证数字货币的流动性、可存储性、可控匿名性、可追溯性、不可伪造性、不可重复交易性和不可抵赖性。

其中，关于数字人民币“可控匿名”的讨论颇多。从移动支付网络的角度来看，数字人民币的用户身份认证采用前自愿、后实名的原则。用户信息和交易记录将完全由央行掌握，而其他机构和个人将是匿名的。央行可以通过大数据识别具体的交易特征，快速比对锁定账户的真实姓名和真实身份，既保证了用户隐私，又避免了洗钱、恐怖融资等犯罪活动。

那么什么是可控匿名呢？如何更清楚地理解它？3月20日，中国人民银行数字货币研究所所长缪长春在中国发展论坛2021年年会上就数字人民币的“可控匿名”做了详细的思考报告。

为了保护用户隐私，可控匿名的第一个含义是“匿名”

有人担心央行会控制用户的交易信息，侵犯用户隐私；也有人认为数字人民币的匿名性会使其成为犯罪工具。

事实上，“可控匿名”作为数字人民币的一个重要特征，一方面体现了M0的定位，保护公众合理的匿名交易和个人信息保护；另一方面也是防范和打击洗钱、恐怖融资、逃税等行为的客观需要犯罪行为，维护金融安全。

缪长春说，可控匿名的第一个含义是匿名，即满足合理匿名支付和隐私保护的需要。

目前的支付工具，无论是银行卡还是微信、支付宝，都与银行账户系统捆绑在一起。银行账户实行实名制，不能满足匿名要求。

他解释说，由于数字人民币和银行账户之间的松散耦合，从技术上可以实现小额匿名。钱包是根据不同级别的KYC设计的，以满足公众不同的支付需求。其中，KYC实力最弱的钱包是匿名钱包，只能用手机号码打开。当然，这类钱包的余额和日交易限额也是**的，只能满足日常小额支付的需求。如果你想付一大笔钱，你需要升级你的钱包。随着KYC的增强，您钱包的余额和支付限额将增加。这种设计的考虑一方面是为了满足公众合理的隐私保护需求，另一方面也是为了防范大额可疑交易的风险。

有人说，央行可以通过查询电信运营商的手机号码，获取用户的真实身份信息。他说这其实是个误会。虽然电信运营商的支付部门也参与了数字人民币的研发，但根据目前国家相关法律法规，电信运营商不得向央行等第三方披露手机客户信息，当然，他们也不允许向自己经营数字人民币的部门提供。因此，用手机号码打开的钱包对于中国人民银行和各运营机构来说是完全匿名的。

另一方面，数字人民币采用推子钱包的设计，可以保护个人隐私。缪长春说，传统的电子商务平台购物采用**支付或卡绑定方式开通快捷支付，电子商务平台会知道你所有的信息。数字人民币将用户的支付信息打包加密，并以子钱包的形式推送到电子商务平台。平台不知道用户的个人信息，从而保证用户核心信息的隐私保护。

此外，数字人民币还采用多种技术和系统，确保用户的隐私和安全。他说，数字人民币钱包采用身份匿名技术处理，钱包之间的所有个人信息数据都被匿名提供给交易对手、运营商和其他商业组织。数字人民币严格按照《网络安全法》、《民法典》、《信息安全技术》、《个人信息安全标准》等相关法律法规和技术标准，建立个人信息保护制度和内控管理机制，对所有客户信息进行去识别，实施客户信息保护管理流程，确保个人信息安全。总之，数字人民币对用户隐私的保护是目前支付工具中**的。

可控匿名的第二个含义是打击犯罪行为的“可控性”

缪长春说，可控匿名的第二个含义是可控的。在保护匿名合理需求的同时，还要保持打击犯罪行为的能力。

一方面，在风险可控的前提下，央行数字货币的匿名性是有限匿名的，完全匿名是不可行的。

国际清算银行行长阿古斯丁·卡斯滕斯在《数字货币和货币系统的未来》一书中明确指出，完全匿名的概念是不现实的，不会有这样的系统。他认为，绝大多数用户都会接受，银行或公共服务部门等受信任的机构会保留基本信息。保持一定的身份对于支付系统的安全、反腐败、反洗钱、反恐怖融资等具有十分重要的意义。需要在方便性和可追溯性之间保持平衡。

无独有偶，国际清算银行与欧洲央行、美联储等三家央行联合编制并发布的《央行数字货币：基本原则与核心特征》报告也拒绝了完全匿名的可能性。报告指出，“虽然有人认为央行数字货币的主要好处可能在某种程度上是电子支付的匿名性，但完全匿名是不合理的。尽管反洗钱和反恐怖融资的要求不是央行的核心目标，也不会成为央行发行数字货币的主要动机，但央行数字货币的设计应该符合这些要求。」

另一方面，他表示，央行对数字货币的匿名探索不能违反反洗钱、反恐怖融资和反逃税的监管规定。

金融行动特别工作组（FATF）还强调，央行数字货币应履行“三反”义务。FATF向G20财长和央行行长提交的稳定币报告指出，“与现金相比，央行的数字货币可能带来更大的洗钱和恐怖融资风险。因为央行的数字货币可以提供给公众用于零售支付或账户使用，理论上允许匿名点对点交易。在这种情况下，央行数字货币可以提供接近现金的流动性和匿名性，这比现金更便于携带。由于中央银行的数字货币将得到其辖区内中央银行的支持，因此有可能被广泛接受和广泛使用。匿名性、便携性和广泛使用性的结合对犯罪分子和非法人员洗钱和资助非法人员非常有吸引力。」

FATF明确表示，“一旦央行数字货币成立，与央行数字货币交易的金融机构，包括指定的非金融机构和虚拟资产提供商，将承担与法定货币或现金相同的反洗钱和反恐怖融资义务。使用中央银行数字货币的客户交易将遵守与使用法定货币的电子交易相同的客户尽职调查义务。」

因此，总的来说，中央银行在数字货币中从未考虑过完全匿名。只有在满足“三害”等监管要求的前提下，有限匿名才是国际共识。

嗯，央行在打开带有手机号码的数字钱包时并不知道用户的真实身份。如何保持打击犯罪的能力？

缪长春解释说，将采用大数据分析。如果所有证据都显示用户有电信诈骗行为，但我们不知道该人的真实身份，我们将向主管部门提交证据线索，执法部门将到电信运营商和银行依法获取该用户的真实身份信息。这样就达到了一种平衡，既能满足大多数人日常生活中合理的匿名需求，又能保持打击犯罪的能力。

因此，数字人民币采用“小额匿名、大额可追溯”的设计，在保证有限匿名性、具备打击犯罪能力的前提下，为用户提供更安全的支付能力。

因此，他表示，各国央行在风险可控的基础上实现匿名是国际共识。为了维护金融安全与稳定，各国央行和国际组织在探索央行数字货币的匿名性时，都将风险防范作为重要前提。不符合反洗钱、反恐怖融资、反逃税要求的设计将一票否决。