央行數位貨幣（CBDC）：數位貨幣基礎設施實用指南

人們常常把央行數位貨幣（CBDC）簡單地理解為「手機上的現金」。但實際上，其技術層面遠比這複雜。一個可用的CBDC需要發行和結算層、存取權限規則、銀行和支付服務提供者的介面、用戶錢包或其他支付工具、隱私控制、反詐欺措施、運作彈性，以及——在某些設計中——離線功能。因此，將CBDC理解為一個支付生態系統，而非單一的應用程式或帳本，更為恰當。

央行數位貨幣（CBDC）的研發工作仍在廣泛進行。國際清算銀行（BIS）於2025年8月發布的2024年調查報告顯示，在接受調查的93家央行中，有85家（佔91%）表示正在探索零售型CBDC、批發製CBDC或兩者兼有。批髮型CBDC的研發工作整體進展更為順利。請參閱BIS 2024年CBDC調查結果。

央行數位貨幣基礎：究竟哪些內容數位化了？

央行數位貨幣（CBDC）是指以數位形式存在的央行貨幣。其最重要的差異不在於是否使用區塊鏈技術，而在於貨幣的用途以及如何組織債權、記錄和存取權限。

實際意義很簡單：「數位化」並不意味著「區塊鏈」。國際清算銀行長期以來一直指出，央行數位貨幣（CBDC）基礎設施可以使用傳統的集中式資料庫或分散式帳本技術（DLT）。正確的選擇取決於政策目標、營運模式、彈性需求、吞吐量和治理，而不是對某個流行詞的偏好。

CBDC基礎設施堆疊

1. 發行、贖回和核心帳本

核心系統必須體現央行數位貨幣（CBDC）的總量、有權轉移CBDC的主體或實體，以及轉移何時生效。即使面向客戶的服務由私人中介機構處理，中央銀行仍負責CBDC的發行和贖回。

國際清算銀行創新與數位經濟諮詢小組提出的一個實用參考模型描述了零售領域的四個核心流程：用戶註冊、透過「現金充值」創建央行數位貨幣 (CBDC)、透過「現金贖回」銷毀 CBDC 以及在帳本內轉移價值。模型所提出的架構採用混合模式，將中央銀行和私人中介機構的責任劃分出來。請參閱國際清算銀行零售 CBDC 架構提案。

帳本設計必須能夠解決諸如交易排序、防止重複支付、結算最終性、故障復原、對帳和可審計性等操作性問題。無論最終採用的是傳統資料庫、授權型分散式帳本技術 (DLT) 或其他架構，這些要求都至關重要。

2. 中介機構與雙層模式

許多零售型央行數位貨幣（CBDC）設計方案並不期望中央銀行成為數百萬用戶的日常服務中心。相反，銀行或支付服務提供者可以負責客戶註冊、電子錢包分發、詐欺監控、帳戶恢復和第一線支持，而中央銀行則負責營運或控制貨幣核心。

這種雙層結構既為私部門競爭留出了空間，也使底層資金成為中央銀行的負債。它還減少了中央銀行收集所有客戶資訊的必要性。然而，這也帶來了介面和治理方面的工作：中介機構需要製定統一的規則，用於身份驗證、制裁篩選、交易資訊、錯誤處理、爭議解決流程和服務可用性。

3. 身分、存取和合規服務

央行數位貨幣（CBDC）基礎設施必須決定個人或機構如何證明其有權開設、充值、使用、找回或關閉錢包或帳戶。在零售系統中，這通常與了解你的客戶（KYC）、反洗錢（AML）、制裁、詐欺和消費者保護要求密切相關。

識別並不一定意味著中央銀行能夠看到每個用戶的真實身份。架構可以將支付提供者持有的身份資料與結算系統使用的交易識別碼分開。具體的隱私權模型既是政策和法律選擇，也是密碼學選擇。

4. API 和服務層

應用程式介面 (API) 是連接貨幣核心系統和使用者實際使用的服務的橋樑。精心設計的 API 層可讓多家銀行、電子錢包、商家和金融科技供應商連接起來，而無需各自對中央銀行帳本進行客製化整合。

國際清算銀行創新中心的「羅莎琳德計畫」採用雙層零售央行數位貨幣（CBDC）模型對這一理念進行了測試。其原型在六大功能類別中開放了33個API接口，並測試了30多個用例。此專案得出結論：API層可以抽象化底層帳本設計的差異，但必須與CBDC的隱私和營運模式保持一致。請參閱“羅莎琳德專案”報告。

5. 錢包、銀行卡、商家支付及其他終端設備

對於零售型央行數位貨幣（CBDC）而言，終端可以是銀行應用程式、專用錢包、智慧卡、功能手機流程、銷售點終端、二維碼或其他形式。終端並非貨幣本身，而是存取CBDC系統的機制。

設計人員必須考慮可訪問性、設備丟失找回、身份驗證、商家接受度、交易收據、限額、殘障人士的無障礙訪問以及對沒有現代智慧型手機的用戶的支援。即使技術上強大的帳本，如果這些終端難以使用，仍然無法作為公共支付系統發揮作用。

6. 線下支付

離線央行數位貨幣（CBDC）面臨的基礎設施挑戰最大，因為系統可能需要在設備無法連接到線上帳本的情況下進行價值轉移。這增加了雙重支付、設備被盜用、餘額過期和狀態不一致的風險。

國際清算銀行北極星計畫手冊強調，不存在一成不變的離線設計方案。解決方案可能包括安全硬體、儲值、設備間傳輸協定、風險限額以及後續與線上系統的同步。請參閱北極星計畫離線央行數位貨幣手冊。國際貨幣基金組織2025年對有限連接解決方案的評估也涵蓋了儲值卡和設備間傳輸方式，並強調了外形尺寸、網路安全、隱私和易用性之間的權衡；請參閱國際貨幣基金組織有限連接央行數位貨幣評估報告。

7. 網路安全、韌性與營運控制

由於央行數位貨幣（CBDC）可能成為關鍵的國家支付基礎設施，因此不能在最後階段才添加彈性機制。該系統需要縱深防禦：強大的金鑰管理、網路分段、安全的軟體開發、漏洞管理、特權存取控制、交易監控、備份和復原、災難復原站點、事件回應以及定期測試。

可用性目標還需要涵蓋中央帳本以外的相依性：電信網路、身分識別服務、雲端或資料中心基礎設施、中介系統、商家收款以及硬體安全模組。如果央行數位貨幣依賴某個脆弱的外部組件，那麼即使其帳本被複製，也無法保證其具有足夠的彈性。

8. 資料架構和隱私

隱私權是一種基礎設施屬性，而不僅僅是一項政策聲明。設計者必須決定創建哪些資料、資料儲存在哪裡、保留多久、哪些方可以將交易記錄與身分關聯起來，以及法律允許揭露哪些資訊。

有效的技術包括資料最小化、匿名識別碼、身分資料與交易資料分離、加密、存取日誌記錄以及基於角色的資料可見性。更高級的隱私增強技術在某些設計中可能適用，但它們仍必須支援詐欺控制、法律義務、效能和營運恢復。

9. 互通性和跨境聯繫

央行數位貨幣（CBDC）很少獨立存在。國內基礎設施可能需要與商業銀行貨幣、即時支付系統、卡片組織網路、證券平台或其他CBDC對接。因此，互通性不僅涉及訊息格式：它還可能需要相容的身份識別規則、營運時間、流動性安排、外匯機制、法律框架和結算模式。

對於批發和跨境應用，諸如BIS的mBridge專案和Icebreaker專案等實驗探索了共享平台和互聯的國內系統。這些是實驗而非通用方案，但它們表明，跨境設計選擇在早期階段比在國家系統建成後進行改造更容易解決。

集中式資料庫還是分散式帳本技術？

關鍵在於，這兩種架構本身並無優劣之分。央行數位貨幣（CBDC）無需使用區塊鏈也能實現技術先進性，而基於分散式帳本技術（DLT）的系統仍需要用於身份驗證、應用程式介面（API）、監控、設備、支援和治理的傳統基礎設施。

零售型央行數位貨幣支付如何進行

1. 註冊：銀行或經批准的付款提供者驗證使用者並建立所需的錢包、帳戶、別名或憑證。
2. 資金：使用者將商業銀行貨幣或現金兌換成 CBDC，從而根據系統規則創建或分配相應的 CBDC 餘額或價值表示。
3. 付款：用戶授權轉帳。中介機構和核心基礎設施驗證請求，應用限額和控制措施，並最終結算轉帳。
4. 通知和記錄：付款人和收款人收到狀態訊息，而係統僅記錄所選架構和法律框架所需的資料。
5. 贖回：使用者可以將 CBDC 兌換回另一種形式的貨幣，並根據需要減少或銷毀相應的 CBDC 表示形式。

離線支付會顯著改變第三步，因為最終的線上驗證可能無法在轉帳時完成。因此，離線功能需要專門的風險、硬體、同步和復原設計，而不僅僅是一個簡單的「離線模式」開關。

評估央行數位貨幣基礎設施的實務清單

• 責任與治理：誰發行央行數位貨幣 (CBDC)？誰運營每個組成部分？出現問題時誰負責？
• 帳簿與結算：最終結算的定義是什麼？如何處理重複項、撤銷和追討？
• 分配模式：中央銀行、銀行和支付服務提供者各自承擔哪些責任？
• 身分和合規性：誰執行 KYC/AML 檢查，哪些資訊會傳達給中央銀行？
• 隱私：資料是否已最小化並按角色進行分離？身分是否可以與交易關聯？如果可以，由誰關聯？
• 效能：系統能否滿足預期的峰值交易量和延遲要求？
• 韌性：是否存在多個故障域、災難復原安排和經過測試的業務連續性程序？
• 離線功能：是否必要？如有需要，需要哪些安全硬體、金額限制、同步和防詐騙控制措施？
• 互通性：央行數位貨幣能否與現有的支付管道、銀行、商家以及可能的外國系統相容？
• 接入管道：目標人群是否支援智慧型手機、銀行卡、功能手機或輔助管道？
• 供應商策略：能否在不將中央銀行鎖定在單一供應商的情況下更換或升級零件？
• 運行可觀測性：監控、稽核日誌、事件偵測、協調和支援流程是否從一開始就經過精心設計？

目前項目揭示了央行數位貨幣基礎設施的發展方向

目前的項目傾向於模組化生態系統，而非單一通用央行的數位貨幣（CBDC）協議堆疊。國際清算銀行（BIS）的技術需求工作強調互通性、可擴展性、以使用者為中心的設計、安全性和資料隱私是高階需求；請參閱BIS高階技術需求。國際貨幣基金組織（IMF）於2025年11月更新的《CBDC虛擬手冊》同樣將CBDC視為一項綜合性的挑戰，涉及政策、營運、技術、隱私、網路韌性和應用等多個面向。

數位歐元計畫是這種模組化思維應用的一個例子。在2025年10月完成準備階段後，歐元體系進入了更深入的技術工作。其已公佈的架構工作涵蓋了離線功能、支付資訊的安全交換、詐欺和風險管理、應用程式和軟體開發工具包、系統彈性以及隱私保護處理等領域。 2026年8月，歐洲央行表示，離線功能方面的工作正在研究智慧型手機中的安全硬件，包括嵌入式安全元件和eSIM卡，為計劃於2027年下半年開展的試點項目做準備。請參閱歐洲央行數位歐元進度頁面以及歐洲央行2026年8月18日發布的離線標準更新。這些計劃仍需經過歐洲立法和決策程序，因此應將其視為專案設計工作，而非最終發布系統的證明。

主要教訓：央行數位貨幣基礎設施是一個系統之系統

帳本固然重要，但它只是其中一層。一個真正投入生產的央行數位貨幣（CBDC）必須協調貨幣發行、結算、中介機構、身份驗證、隱私保護、應用程式介面（API）、用戶設備、商家受理、網路安全、離線風險、追回以及法律治理等各個環節。因此，最可靠的設計方案應從需求和營運角色入手，然後選擇符合這些需求的技術，而不是反過來。

對於正在比較央行數位貨幣（CBDC）方案的讀者來說，最有用的問題往往是具體問題：誰來經營帳本？誰來查看使用者身分？如果銀行或網路無法使用會發生什麼？用戶遺失設備後能否找回資金？系統如何防止離線狀態下的雙重支付？多個提供者能否透過通用介面連接？架構能否在不損害央行貨幣完整性的前提下進行演進？這些問題比專案是否使用「區塊鏈」一詞更能體現CBDC設計的品質。