# Privacy-модель PQVC для источников, информаторов и чувствительных цепочек поставок

Статус: архитектурная записка, 2026-06-13.

Этот документ точнее определяет privacy-цель PQVC: защищать законные, но чувствительные платежи от public blockchain surveillance, hostile intelligence, commercial espionage, coercive actors и supplier-graph analysis.

PQVC должна подходить для:

- журналистов, оплачивающих источники или защищающих связи с источниками;
- организаций, компенсирующих информаторов, когда публичное раскрытие создаёт опасность;
- оборонных закупок, где payment graphs раскрывают suppliers, subcontractors, routes, timing или production capacity;
- полевых операций, где получатель не должен становиться видимым через blockchain analytics;
- компаний, защищающих commercial secrets от competitors и compromised vendors.

## Threat model

Противники:

- public blockchain analytics firms;
- hostile intelligence services;
- commercial competitors;
- compromised exchange, wallet или supplier records;
- malware на non-CybeReX workstation;
- network observers, correlating wallet activity;
- insiders, которые видят один compartment, но не должны видеть все compartments.

PQVC должна скрывать от этих противников:

- sender;
- recipient;
- amount;
- asset type, когда это практично;
- memo contents;
- supplier/customer graph;
- связь между deposit, internal transfers и redemption;
- validator identity сверх того, что требуется consensus;
- принадлежность конкретного Tails USB к конкретному wallet cluster.

PQVC не должна скрывать от владельца:

- recovery information;
- accounting exports, выбранные владельцем;
- proof that a payment occurred;
- proof that a bridge receipt was backed by reserves;
- voluntary viewing keys для internal audit или contractual reporting.

## Core privacy design

Использовать shielded-note ledger для PQVC и внутренних stablecoin-представлений, таких как `pUSDC`, `pUSDT` или `pqUSD`.

Каждая note должна содержать:

- asset id;
- value;
- recipient diversified address;
- random note secret;
- encrypted memo;
- commitment;
- nullifier key material;
- optional policy tag, encrypted to the owner or organization.

Public chain хранит:

- note commitments;
- nullifiers;
- zero-knowledge proof data;
- encrypted output payloads;
- fee information, ideally decoupled from protected transfer amount;
- block and state roots.

Public chain не должен раскрывать:

- clear sender address;
- clear recipient address;
- clear amount;
- clear memo;
- clear stablecoin deposit source;
- clear redemption destination until user explicitly redeems.

## Controlled disclosure

Privacy должна быть сильной по умолчанию, но не операционно слепой.

Рекомендуемые ключи:

- spend key: authorizes spending;
- incoming viewing key: lets a wallet detect received notes;
- outgoing viewing key: lets the sender prove what was sent;
- audit viewing key: optional organization-held key for selected wallets;
- recovery key: kept offline in PQVault;
- bridge disclosure key: proves a deposit/redemption receipt without revealing unrelated wallet history.

Это даёт журналистам, организациям и оборонным suppliers способ доказать выбранные факты без раскрытия всей financial graph.

## Граница privacy для stablecoins

USDT и USDC во внешних сетях не являются private assets. Их external deposit и redemption transactions остаются видимыми в native chains.

PQVC может обеспечить privacy после законного deposit, minting shielded internal representation:

1. Пользователь deposits USDC/USDT через Stack Wallet или bridge workflow.
2. Bridge node verifies external transaction and policy status.
3. PQVC mints shielded internal note to recipient.
4. Internal PQVC transfers are shielded.
5. Redemption creates a new external-chain transaction and therefore re-enters public-chain visibility.

Важное privacy-правило: нельзя обещать, что PQVC удаляет внешнюю историю USDT/USDC. Честное утверждение: PQVC мешает public observers сопоставлять internal PQVC transfers и чувствительные relationships после входа.

## Compartment model for Tails USB devices

Каждый CybeReX Tails USB должен рассматриваться как compartmented workstation.

Рекомендуемые profiles:

- Journalist/source wallet: small balances, high privacy, no validator role.
- Informant payment wallet: one-way receipt workflow, minimal metadata, no address reuse.
- Defense supplier wallet: organization viewing key, invoice proof export, no public supplier graph.
- Treasury bridge wallet: handles deposits/redemptions and keeps bridge receipts.
- Validator wallet: signs blocks only; never stores source or supplier payment keys.

Не объединять validator keys, bridge custody keys и sensitive recipient keys в одном PQVault container.

## Network privacy

Tails помогает, но поведение приложения всё равно важно.

PQVC должна поддерживать:

- Tor-only P2P mode;
- transaction broadcast through delayed relay;
- decoy relay at the network layer;
- no direct wallet-to-recipient network contact;
- compact block sync without revealing watched addresses;
- local-only signing mode with file export;
- no telemetry;
- no crash reports containing wallet metadata;
- no silent remote updater.

Избегать wallet behavior, создающего linkage:

- address reuse;
- deterministic timing after Stack Wallet deposit;
- redeeming the exact same amount that entered the shielded pool;
- using the same USB profile for unrelated compartments;
- running Stack Wallet, PQVC bridge и sensitive recipient wallet in one visible workflow.

## Smart contracts for privacy

Smart contract layer должен поддерживать privacy как first-class feature, а не как afterthought.

Необходимые primitives:

- shielded asset module;
- confidential transfer verifier;
- nullifier registry;
- note commitment tree;
- encrypted memo routing;
- viewing-key disclosure module;
- bridge receipt module;
- reserve proof module;
- timelocked governance and emergency pause for bridge contracts.

Для безопасности по возможности использовать resource-oriented contract model, например Move. Asset resources, bridge receipts и validator bonds должны быть типами, которые нельзя copy или accidentally duplicate.

## Mining and validator rewards

Для этой privacy-модели не использовать competitive proof-of-work как основной block producer. Он раскрывает operational patterns, вознаграждает powerful infrastructure и не подходит к Tails USB appliance model.

Предпочтительная модель:

- slot-based validators;
- post-quantum block signatures;
- stake or bonded license for validator eligibility;
- small participation rewards for online full nodes;
- signed participation-mining tickets: один bounded ticket на chain/governance/height/previous-hash/slot context, verified by validator set and signature policy, без nonce race и без преимущества мощного железа;
- optional CPU/memory-hard reward tickets only as secondary distribution tool.

"Mining program" на USB поэтому может быть validator/participation client, а не raw hash-race miner.

## Engineering rule

Chain должна делать sensitive relationships невидимыми для public observers, но wallet должен помогать legitimate owner сохранять evidence. Практически это означает: shielded by default, selectively provable by design, compartmented on disk и verifiable offline through PQVault-backed recovery material.