Asset digitali che vivono in un luogo

Internet ha reso ogni oggetto digitale disponibile ovunque nello stesso momento. Era proprio questo lo scopo, e ha funzionato. Ma ha anche privato le cose digitali dell'unica proprietà che fa sembrare preziose quelle fisiche: trovarsi in un posto preciso. Un biglietto per un concerto conta perché ti fa entrare in una sala. Un monumento conta perché devi viaggiare per raggiungerlo.

Seekprotocol riporta la posizione negli asset digitali. Un token, un NFT o una ricompensa possono essere emessi verso un insieme di coordinate invece che verso un wallet, e restano lì finché qualcuno non si trova fisicamente nel loro raggio e lo dimostra. La chiamiamo proof of location, ed è la primitiva su cui si fonda il resto del protocollo.

L'interfaccia per il pubblico è Seekprotocol, un'app mobile per iOS e Android che mostra questi asset in realtà aumentata. Cammini, il telefono ti mostra cosa c'è vicino e raccogli ciò che trovi. Sotto, il regolamento avviene sulla chain dove l'asset già vive, rispettando un unico requisito: costi di transazione abbastanza bassi da far sì che raccogliere una piccola ricompensa non costi più di quanto vale.

Cosa tratta questo documento

Sedici capitoli, in quattro movimenti. I primi tre presentano il problema e la primitiva che lo risolve. I capitoli dal quattro al sette sono la macchina: come viaggia un riscatto, come si incastrano i livelli e cosa ne fa l'app. Dall'otto all'undici c'è l'economia, da chi paga il posizionamento a chi decide i parametri. Gli ultimi cinque sono le cose che un whitepaper di solito tralascia: gli attacchi, il costo in termini di privacy, la posizione normativa e i limiti onesti.

Diverse figure sono interattive. Il modello di verifica, la cronologia del riscatto, il tiro di cattura e il calcolatore di budget eseguono gli stessi calcoli del protocollo, con le stesse costanti, così puoi contestare il design e non un suo diagramma.

Due gruppi hanno un problema che si rivela lo stesso problema visto da estremità opposte.

Brand e locali non possono comprare visite

La pubblicità digitale può mettere un'immagine davanti a qualcuno in pochi millisecondi. Non può convincerlo a camminare per tre isolati. La conversione da impression a visita fisica è l'anello più debole dell'intero funnel del commercio e degli eventi, ed è misurata male, di solito chiedendo alla cassa se si è visto un annuncio.

La risposta del settore è stata la modellazione. Panel di dispositivi che hanno dato il consenso vengono estrapolati su un'intera popolazione, e il dato risultante sulle visite in negozio viene riportato accanto a impression e clic come se provenisse dallo stesso tipo di contatore. Non è così. Un numero è un evento e l'altro è una stima, e le campagne vengono giudicate sulla stima.

I progetti crypto non trovano utenti reali

Gli airdrop sono lo strumento standard di distribuzione, e vengono farmati. Creare un wallet non costa nulla, quindi qualsiasi ricompensa riscattabile da un wallet verrà riscattata da migliaia di wallet appartenenti a una manciata di persone. I progetti rispondono con regole di idoneità sempre più elaborate, che per lo più escludono gli utenti normali mentre i farmer più sofisticati si adattano.

Entrambi i problemi si dissolvono se puoi dimostrare che un essere umano si trovava in un luogo specifico in un momento specifico. Le visite diventano misurabili perché l'arrivo è proprio l'evento registrato. Il farming degli airdrop diventa costoso perché un wallet è gratis ma viaggiare no, e nessuno è in quaranta città contemporaneamente.

Perché ora si può costruire e prima no

Dovevano arrivare tre cose contemporaneamente. I telefoni dovevano avere di serie GNSS a doppia frequenza, fotocamere con percezione della profondità e attestazione basata sull'hardware, non solo sui modelli di punta. Il regolamento doveva diventare abbastanza economico da permettere a una ricompensa di pochi centesimi di sopravvivere al trasferimento, il che escludeva ogni chain finché le commissioni non sono scese sotto il centesimo. E le persone dovevano essere disposte a puntare una fotocamera su una strada e vederci qualcosa di sovrapposto, cosa che un decennio di AR nei giochi ha risolto senza clamore.

Il capitolo precedente diceva che due gruppi hanno lo stesso problema. Questo parla dello strumento a cui entrambi ricorrono per primo, e del perché fallisce in un modo che spendere di più non risolve.

Ogni metrica sul mercato è un indicatore indiretto

Un'impression, un clic, una visualizzazione, un follow, un indirizzo di wallet: nessuno di questi è una persona. Ognuno è un segnale che si correla a una persona in condizioni controllate da chi vende il segnale. Quando la ricompensa per produrre il segnale supera il costo di produrlo senza una persona, viene prodotto senza una persona, e la correlazione su cui si basa l'intero mercato si stacca silenziosamente da ciò che rappresentava.

I filtri non ripristinano il segnale

La risposta standard sono le regole di idoneità: saldi minimi, attività precedente, finestre di snapshot, captcha, impronte del dispositivo. Ognuna aumenta di una certa quantità il costo di un riscatto falso e di un'altra quantità il costo di uno reale, e il rapporto tra le due è l'unica cosa che decide se il filtro è servito. In pratica il farmer sofisticato assorbe il costo e l'utente normale rinuncia, quindi i filtri finiscono per selezionare proprio la popolazione che dovevano escludere.

La presenza non è un filtro migliore. È una cosa di natura diversa, perché il costo che impone non è computazionale. Non si può parallelizzare su un rack, non scende quando l'hardware costa meno e non esiste un proxy residenziale per una strada.

La richiesta resta al publisher

Verificare che qualcuno sia stato da qualche parte non dice nulla su cosa debba fare mentre è lì, e il protocollo sceglie deliberatamente di non decidere. Un riscatto può essere legato a un follow, un'iscrizione, la scansione di un prodotto sullo scaffale, un mint sulla coordinata, un acquisto alla cassa, o a nient'altro che l'arrivo. La verifica sottostante è identica in ogni caso, quindi un publisher può cambiare la richiesta tra una campagna e l'altra senza cambiare nulla della garanzia.

Questo conta per un motivo facile da non vedere. Un canale di distribuzione che impone la call to action si adatta solo alle campagne per cui è stato progettato, e ogni publisher che esce da quello schema deve piegare la propria offerta al canale. Ciò che vendiamo qui è la prova, non il funnel.

Cosa non risolve

Un arrivo verificato è la prova che un dispositivo si trovava su una coordinata, non che la persona che lo teneva volesse essere lì o che tornerà mai. Qualcuno pagato per passare davanti a una porta è un arrivo reale e un pessimo cliente. Il protocollo rende l'arrivo costoso da falsificare e semplice da contare. Se valesse la pena comprarlo resta una questione di marketing, e nessuna chain risponde a questo.

La proof of location è l'affermazione che un certo dispositivo si trovava entro un certo raggio durante una certa finestra temporale, resa abbastanza credibile da poter sbloccare qualcosa di valore sulla sua base.

Nessun segnale è affidabile da solo. Il GPS grezzo può essere falsificato da qualsiasi dispositivo con root e un fornitore di posizione fittizia. Per questo il protocollo valuta un riscatto su più segnali indipendenti e richiede che l'insieme sia coerente, perché falsificare un segnale è facile e falsificarli tutti in modo coerente no.

I segnali che combiniamo

• Posizione GNSS, la posizione satellitare grezza con la sua precisione dichiarata, più la costellazione e il numero di satelliti, che chi falsifica sbaglia spesso.
• Ambiente radio, l'insieme delle reti Wi-Fi e delle celle vicine, confrontato con ciò che il protocollo si aspetta di vedere su quelle coordinate. Gli ambienti radio sono difficili da fabbricare e cambiano lentamente.
• Attestazione del dispositivo, Play Integrity su Android e DeviceCheck o App Attest su iOS, che confermano che l'app è autentica e il sistema operativo non è compromesso.
• Continuità del movimento, la traccia dell'accelerometro tra la posizione confermata precedente e quella attuale. Un riscatto secondo cui ti sei spostato di 400 km in 90 secondi senza un profilo di movimento corrispondente viene rifiutato.
• Plausibilità temporale, per cui gli orari di arrivo vengono confrontati con il tempo di viaggio implicito nella tua ultima posizione confermata.

Ogni segnale contribuisce a un punteggio di affidabilità. Gli asset stabiliscono il punteggio richiesto: una ricompensa di missione di basso valore può accettare un punteggio moderato, mentre un drop di alto valore a un evento con biglietto può esigere l'attestazione del dispositivo e un ambiente radio corrispondente. I riscatti sotto la soglia vengono rifiutati, e rifiuti ripetuti dallo stesso dispositivo alzano la soglia per quel dispositivo.

Perché i segnali sono pesati e non obbligatori

Una regola che esige ogni segnale è una regola che respinge gli utenti onesti. Nelle stazioni della metro il GNSS si perde. Gli edifici nuovi hanno ambienti radio che la mappa non ha mai visto. Un telefono indietro di due versioni del sistema operativo può fallire l'attestazione per motivi che non hanno nulla a che fare con la frode. Il sistema a pesi permette a un asset di dire quante prove merita il suo valore, e permette a un riscatto onesto di sopravvivere a un segnale negativo senza che un riscatto falso ne sopravviva a quattro.

Il capitolo precedente descrive le prove. Questo segue un singolo riscatto dal momento in cui tendi la mano verso un asset a quando è nel tuo wallet, perché è nell'ordine delle operazioni che si trovano la maggior parte delle decisioni di design.

Il confine che conta

Guarda dove le fasi cambiano macchina. Tutto ciò che è sensibile avviene nelle prime tre: la posizione, la scansione radio, la traccia di movimento, l'attestazione. Nulla di tutto questo lascia il telefono in forma grezza. Al verificatore arriva un riscatto firmato, e dal verificatore alla chain arriva un'attestazione firmata che il riscatto ha raggiunto la sua soglia.

Ecco perché la verifica è off-chain. Non è un compromesso di scalabilità. Mettere la valutazione on-chain significherebbe pubblicare gli input, e gli input sono una descrizione di dove ti trovi e di quali reti wireless hai intorno.

Cosa succede quando fallisce

• Sotto la soglia: il riscatto viene rifiutato, l'asset resta sulla mappa e sulla chain non viene scritto nulla. Il rifiuto viene registrato sul dispositivo.
• Rifiuti ripetuti: il punteggio richiesto per quel dispositivo aumenta. Un dispositivo che ha fallito sei riscatti in un'ora non viene trattato come uno che non ne ha fallito nessuno.
• Errore di regolamento: il riscatto viene trattenuto e ritentato, non scartato. Un asset vinto e non consegnato è un bug che costa fiducia, quindi la coda è progettata per mettere da parte un pagamento bloccato invece di bloccare quelli dietro.
• Scadenza durante il riscatto: gli asset hanno una finestra temporale, e un riscatto che arriva dopo la chiusura viene rifiutato anche con un punteggio perfetto. La finestra fa parte dell'asset, non è una condizione della rete.

Il protocollo ha quattro livelli. Ognuno si può analizzare, e sostituire, da solo.

La separazione conta soprattutto al confine tra posizione e regolamento. La verifica della posizione è probabilistica e avviene off-chain, perché dipende da dati dei sensori che non hanno motivo di essere pubblici. Sulla chain arriva un'attestazione firmata che un riscatto ha raggiunto la sua soglia, non la cronologia dei tuoi spostamenti.

Cosa viene memorizzato, e dove

• On-chain: definizioni degli asset, relative coordinate e raggi, registri dei riscatti e trasferimenti di token. Pubblici e permanenti.
• Off-chain: letture grezze dei sensori, impronte radio e attestazioni dei dispositivi. Conservate solo per il tempo necessario a valutare un riscatto e risolvere eventuali contestazioni, poi eliminate.
• Sul dispositivo: la cronologia delle tue posizioni e i dati delle ancore AR. Restano sul telefono a meno che tu non scelga esplicitamente di condividerli.

Perché il livello di regolamento non è fisso

Il requisito è insolito per una chain: numero altissimo di transazioni, valore bassissimo per transazione e una conferma così veloce che chi è in strada non se ne accorge. Chi raccoglie una ricompensa da venti centesimi non può pagarne dieci per riceverla, e non resterà fermo trenta secondi ad aspettare. Questo esclude buona parte delle chain per il costo e le altre per la latenza. Le esclude però come requisito, non come scelta di una chain fatta una volta e su cui costruire tutto.

Per questo il regolamento è configurazione. Una rete è una riga con il proprio endpoint, explorer e token nativo; un asset indica le reti su cui esiste, con indirizzo del contratto e decimali per ciascuna; e un wallet appartiene a una di due famiglie di indirizzi invece di uno per chain, dato che tutte le reti EVM condividono lo stesso indirizzo. Un publisher finanzia una campagna nel token che già possiede e il riscatto viene regolato dove quel token vive. Aggiungere una rete è una riga, non un rilascio.

Il compromesso va detto. Le chain si fermano, e una chain ferma significa riscatti in coda. Il regolamento è trattato come un passaggio che può fallire ed essere ritentato, non come uno che riesce sempre, ed è il design giusto su qualsiasi rete e non facoltativo su una veloce. Distribuirsi su più reti non elimina quel rischio. Impedisce che il fermo di una rete diventi il fermo dell'intero protocollo, un'affermazione più modesta e quella onesta.

Cosa gira dove

Seekprotocol è il punto in cui il protocollo diventa qualcosa che una persona può usare senza sapere nulla di quanto detto sopra. Si apre su una mappa di ciò che è vicino, e alzando la fotocamera il motore AR mostra quegli asset al loro posto.

Cosa fa l'app

• Scopri, una mappa dal vivo di drop, missioni ed eventi raggiungibili a piedi, filtrata in base a ciò che ti interessa davvero.
• Raccogli, punti la fotocamera, vedi l'asset ancorato nel mondo, allunghi la mano e lo prendi. Il regolamento avviene in background.
• Guida, un compagno AI che legge ciò che ti circonda attraverso la fotocamera, suggerisce percorsi, spiega cosa stai guardando e si adatta a come giochi.
• Conserva, un wallet integrato creato da un login social, così a chi inizia non viene chiesto di trascrivere una seed phrase prima di poter raccogliere qualcosa.

Il vincolo dell'onboarding guida più decisioni di design di qualsiasi altro. La maggior parte delle persone che useranno Seekprotocol non ha mai avuto una chiave privata. Se nei primi trenta secondi compare la parola 'mnemonica', se ne vanno. Per questo il wallet viene creato in silenzio e chi vuole la custodia può esportarlo in seguito.

La camminata verso il drop

Gli asset si trovano da qualche decina a un paio di centinaia di metri di distanza, una distanza per cui basta una mappa e un percorso è eccessivo. Segnare uno spawn traccia una linea retta da te a lui. La linea è tratteggiata di proposito: è una direzione, non un percorso, non sa nulla degli edifici, e su quella distanza la direzione di solito coincide con la camminata. Sparisce da sola quando sei nel raggio di cattura, dove subentra l'anello.

Gli spawn scadono entro l'ora. È una decisione di gioco con una conseguenza per il protocollo: un indicatore ripristinato all'avvio successivo punterebbe al nulla, quindi l'app non lo conserva.

L'ancoraggio, e a cosa serve qui l'AR

La fase con la fotocamera non è decorazione e non è nemmeno la verifica. Fa due cose. Colloca l'asset in un punto credibile del mondo, così prenderlo è un'azione e non la pressione di un pulsante, e dà al segnale di movimento qualcosa con cui essere coerente, perché una persona che gira intorno a un oggetto ancorato si muove come una persona e chi falsifica tenendo fermo un telefono no.

Un protocollo che paga per l'arrivo ha comunque bisogno di un motivo per il primo arrivo. Nessuno cammina per quattro isolati per un meccanismo. Il livello di gioco è il lato della domanda della rete, ed è progettato con la stessa onestà della verifica: le probabilità sono pubblicate, vengono calcolate sul server e al client non viene mai chiesto cosa è successo.

La cattura

Raggiungere un asset non te lo consegna. Mentre tieni premuto parte un anello di carica, e la qualità di quella carica alimenta un moltiplicatore. Poi il server tira. Hai due tentativi su uno spawn, e il secondo vale 0,65 del primo, il numero che fa sentire una seconda possibilità come una vera seconda possibilità e non come un premio di consolazione.

I termini che di solito nessuno pubblica

La maggior parte dei giochi nasconde i modificatori. Qui non c'è motivo di farlo, perché la proprietà interessante è che l'abilità influisce ma non decide mai. L'anello di carica è un moltiplicatore tra 0,85 e 1,0, quindi un tocco perfetto su una leggendaria resta una leggendaria, e un tocco maldestro su una comune resta probabilmente una comune.

• Bonus livello, 0,3 punti fissi di probabilità per livello del giocatore, su dieci livelli da Seeker a Legend.
• Serie sfortunata, un pity timer da 2 punti per ogni mancata consecutiva, fino a un massimo di 12, applicato sia al secondo tentativo sia tra monete diverse.
• Penalità di serie, 4 punti per ogni successo consecutivo sulla stessa moneta, fino a un massimo di 20, così farmare un singolo punto di spawn peggiora invece di migliorare.
• Bonus clan, fino a un massimo di 5 punti, guadagnato dal clan e non dal giocatore.
• Power-up, acquistati o vinti, che moltiplicano la probabilità base prima che venga sommato ogni altro termine.

La progressione, e a cosa serve

Livelli, badge, clan, sfide da dodici ore e obiettivi settimanali esistono per dare alla camminata una forma più lunga di un singolo drop. Svolgono anche un lavoro per il protocollo: un giocatore con un livello, un clan e una serie ha un account con una storia, e una storia è costosa da fabbricare su larga scala. La progressione è un secondo costo imposto al farmer che al giocatore onesto non costa nulla, perché avrebbe giocato comunque.

Una rete basata sulla posizione non vale nulla se i luoghi sono vuoti. Per questo il protocollo tratta il posizionamento degli asset come un prodotto di primo piano, non come uno strumento interno.

Tre tipi di publisher

• Brand e locali usano il portale aziende per posizionare offerte nei propri spazi e misurare chi è davvero arrivato. L'unità che comprano è una visita verificata, non un'impression.
• Progetti di token e community NFT distribuiscono a persone invece che a wallet, usando la geografia come filtro che il farming non può aggirare a basso costo.
• Organizzatori di eventi trasformano un festival, una partita o una conferenza in una mappa riscattabile per tutta la durata dell'evento, con asset che scadono quando finisce.

Tutti e tre usano lo stesso generatore di campagne: metti un pin, imposta il raggio, scegli l'asset e la quantità, imposta la soglia di affidabilità e la finestra temporale, finanzia, pubblica. Nessun lavoro di integrazione e nessun contratto da scrivere.

Il problema della densità

Qui domanda e offerta sono geografiche, il che rende inutili i soliti consigli sui marketplace. Mille asset distribuiti uniformemente in un paese sono una mappa vuota ovunque. Gli stessi mille in una sola città sono un motivo per uscire di casa. Il prezzo del posizionamento è quindi pesato in base alla domanda per la zona invece di essere fisso, così una via dello shopping satura costa di più da presidiare di una tranquilla, e il protocollo sostiene le strade che hanno bisogno di passaggio invece di quelle che ce l'hanno già.

$SEEK è l'asset di regolamento e coordinamento del protocollo. Esiste perché la rete deve spostare valore tra parti che non si conoscono, un brand in un paese che finanzia una ricompensa riscattata da uno sconosciuto in un altro, e perché il costo del posizionamento degli asset deve crescere con la domanda per i luoghi utilizzati.

Utilità

• Finanziamento delle campagne, in cui i publisher esprimono e finanziano le ricompense in $SEEK.
• Commissioni di posizionamento, una commissione per ogni asset posizionato, pesata in base a raggio, durata e domanda per quella zona.
• Staking per la priorità, in cui i $SEEK in staking aumentano la priorità di posizionamento di un publisher quando più campagne competono per le stesse coordinate.
• Ricompense, con la maggior parte delle commissioni del protocollo che torna a chi cammina.
• Governance, che copre le modifiche ai parametri, l'allocazione della tesoreria e le soglie di affidabilità per i riscatti di alto valore.

L'offerta nel tempo

Un grafico di allocazione dice chi detiene cosa e nulla sul quando. Il calendario qui sotto è il dato più utile, perché il rischio di un token raramente sta nella ripartizione: sta nel cliff.

L'intento del design è che il flusso delle commissioni segua l'attività reale e non la speculazione: il protocollo guadagna quando gli asset vengono posizionati e riscattati, cosa che avviene solo quando qualcuno è disposto a pagare per una visita verificata.

Cosa il token volutamente non fa

• Non fissa un tasso tra un'unità di gioco catturata e un token. Il gioco dà valore a una cattura; il mercato dà valore al token; il protocollo non finge di collegare le due cose.
• Non è necessario per giocare. Catture, XP e sfide sono gratuite, e un giocatore che non tocca mai il token genera comunque gli arrivi per cui un publisher paga.
• Non subordina il posizionamento a un possesso minimo. Lo staking compra priorità quando le campagne competono, non il diritto di pubblicare.

Un whitepaper che descrive un token e non un business descrive metà di un sistema. Ci sono due linee di ricavo e arrivano da lati opposti della rete, per scelta: nessuno dei due lati da solo lo terrebbe in piedi.

Il posizionamento, pagato dai publisher

La linea principale. Un publisher finanzia le ricompense e paga in aggiunta una commissione di posizionamento, pesata in base a quanta area occupa l'asset, per quanto tempo e quanto è contesa quell'area. È la commissione che cresce con il valore creato dalla rete, perché viene applicata a ciò che i publisher comprano davvero, cioè l'arrivo.

Il pass e lo shop, pagati dai giocatori

Facoltativi, e limitati di proposito. Un pass stagionale dura novanta giorni e sposta il peso degli spawn verso le monete più rare, con un riscatto raro settimanale e una rivelazione inclusi. I boost si vendono a parte, e nessuno compra probabilità migliori su una moneta: rivelano cos'è un punto interrogativo, ampliano il raggio di cattura, portano più monete vicino a te, moltiplicano gli XP, tengono da parte una moneta mancata, consentono una cattura a distanza o aggiungono un box di carte.

Perché la ripartizione ha la forma giusta

La spesa dei giocatori è elastica, stagionale e limitata da quanto una persona è disposta a pagare per un hobby. La spesa dei publisher è una voce di marketing, valutata su un costo per arrivo che ha una vera alternativa con cui confrontarsi. La prima tiene le luci accese all'inizio, quando ci sono più giocatori che campagne. La seconda è ciò che diventa il business, e funziona solo se la prima non degenera mai in pay-to-win, perché una rete di giocatori paganti che catturano tutto riporta arrivi che per il locale non valgono nulla.

Questo protocollo ha un numero insolitamente alto di costanti regolabili: limiti del raggio, soglie di affidabilità, pesi delle commissioni di posizionamento, la quota di commissioni restituita ai cercatori e la scala di cattura stessa. Ognuna è una decisione politica travestita da valore di configurazione, e fingere il contrario è il modo in cui i protocolli finiscono governati da chi ha modificato un file per ultimo.

La posizione per fasi, detta onestamente

La governance non è attiva. Oggi i parametri sono fissati dal team principale e modificati tramite migrazioni registrate e verificabili. Non lo descriveremo come decentralizzato, perché non lo è.

Il motivo del ritardo non è la riluttanza. Votare su un'economia senza volumi è teatro: l'affluenza è bassa, decide una manciata di detentori, e le decisioni riguardano parametri che nessuno ha abbastanza dati per valutare. La governance acquista senso quando c'è un vero flusso di commissioni, perché allora una modifica a un parametro ha una conseguenza misurabile su cui si può discutere.

Cosa sarà governato, e cosa no

• Governato: pesi delle commissioni, quota delle commissioni del protocollo destinata ai cercatori, allocazione della tesoreria, limiti del raggio e soglie di affidabilità disponibili per gli asset di alto valore.
• Governato con un ritardo: tutto ciò che cambia il valore degli asset già posizionati. Una campagna finanziata con un certo schema di commissioni deve concludersi con lo stesso schema.
• Non governato: gli impegni sulla privacy del capitolo quattordici. I limiti di conservazione e il rifiuto di pubblicare dati sugli spostamenti non sono parametri, e un voto non è un modo legittimo per indebolirli.
• Non governato: gli esiti dei singoli riscatti. Un riscatto rifiutato è materia di risoluzione delle controversie, non di votazione.

Un protocollo che paga le persone per essere da qualche parte invita le persone a mentire sull'essere da qualche parte. Essere precisi sugli attacchi è più utile che affermare che il sistema è sicuro.

Gli attacchi da cui ci difendiamo

• Spoofing del GPS, mitigato richiedendo che l'ambiente radio e la traccia di movimento confermino la posizione, e con l'attestazione del dispositivo che rileva sistemi operativi manomessi.
• Farming Sybil, mitigato dal costo fisico dello spostamento e da limiti di riscatto per dispositivo entro un raggio e una finestra temporale.
• Attacchi relay, in cui un dispositivo reale sul posto firma per un utente remoto, mitigati legando l'attestazione all'istanza dell'app e alla sessione e limitando la frequenza dei riscatti per dispositivo.
• Farm di emulatori, mitigate dall'attestazione, che gli emulatori non superano, e da tracce di movimento statisticamente distinguibili da una camminata reale.
• Spawn dichiarati dal client, impediti e non solo mitigati: solo il server annuncia cosa esiste e dove, quindi un client modificato può mentire su ciò che vede senza guadagnarci nulla.
• Doppi riscatti, impediti acquisendo un blocco prima di valutare il riscatto, così a due persone che cercano l'ultima unità non si può dire che l'hanno presa entrambe.

I limiti che accettiamo

Un attaccante abbastanza determinato, con hardware modificato e presenza fisica in un luogo, può estrarre da quel luogo più valore di quanto farebbe un utente onesto. Limitiamo il danno con tetti per luogo invece di fingere che sia impossibile. Il posizionamento al chiuso resta sensibilmente meno preciso di quello all'aperto, quindi gli asset al chiuso usano raggi più ampi e si affidano di più all'impronta radio. E nessun dispositivo consumer può dimostrare che era presente un essere umano e non un dispositivo: un telefono in un furgone per le consegne si muove comunque come un telefono in tasca.

Rischi che non sono attacchi

• Dipendenza dalle piattaforme. L'attestazione è concessa da Apple e Google. Un cambio di policy di una delle due potrebbe indebolire dall'oggi al domani il segnale più forte del sistema, e non esiste una versione di tutto questo che aggiri il sistema operativo.
• Disponibilità della chain. Una chain ferma significa riscatti in coda. Il protocollo ritenta invece di scartare, ma una persona in strada non vive un nuovo tentativo come un successo.
• Sicurezza fisica. Premiare le persone per andare in certi luoghi mette persone in quei luoghi. Gli asset vengono posizionati agli incroci stradali e non dentro il perimetro degli edifici, i drop di alto valore evitano le proprietà private e l'app mostra un avviso di sicurezza. È un vincolo di design, non una clausola di esclusione.

La registrazione di dove va una persona rivela la sua casa, il suo lavoro, la sua salute, la sua religione e le sue relazioni. Costruire una rete basata su riscatti legati alla posizione significa assumersene la responsabilità, e il design responsabile è conservarne il meno possibile.

• Il tracciamento continuo non è mai richiesto. L'app chiede la posizione quando tenti un riscatto, non in background.
• I dati grezzi dei sensori e radio servono a valutare un riscatto e poi vengono eliminati dopo un breve periodo di conservazione.
• Ciò che viene scritto on-chain è che un riscatto su una coordinata pubblica è andato a buon fine, la stessa informazione di un negozio che sa che qualcuno ha usato un voucher.
• La cronologia dei tuoi spostamenti resta sul tuo dispositivo. Il protocollo non ne ha bisogno e non la vuole.
• I publisher ricevono conteggi aggregati, mai tracce individuali.

Il problema che non abbiamo risolto

Poiché i registri dei riscatti sono pubblici e permanenti per la natura stessa della chain, un osservatore determinato può correlare i riscatti effettuati dallo stesso wallet in luoghi diversi. È una debolezza reale ed è insita nel regolamento su un registro pubblico. Chi vuole evitarla dovrebbe usare wallet separati per contesti separati, e l'app lo rende facile invece di nasconderlo, ma un'impostazione predefinita che richiede all'utente di conoscere il problema non è una soluzione.

Tre regimi toccano questo protocollo contemporaneamente, una cosa insolita che vale la pena esplicitare invece di relegarla a una nota a piè di pagina.

Protezione dei dati

Nella maggior parte delle leggi moderne sulla protezione dei dati, la posizione è vicina alle categorie particolari di dati, e il protocollo è costruito secondo l'interpretazione più rigorosa e non quella più comoda. La posizione viene raccolta per una finalità dichiarata nel momento del riscatto, conservata solo per il tempo richiesto dalla valutazione e dalla risoluzione delle controversie, e mai combinata in un profilo degli spostamenti. Dove un regime prevede il diritto alla cancellazione, il registro off-chain può essere cancellato; il registro on-chain del riscatto no, un limite del registro pubblico che viene dichiarato e non minimizzato.

Classificazione del token

$SEEK è progettato come asset di utilità e coordinamento, e l'utilità descritta nel capitolo dieci è reale e non decorativa. È una posizione di design, non una conclusione giuridica. La classificazione varia da giurisdizione a giurisdizione, cambia nel tempo e non è qualcosa che un whitepaper possa stabilire semplicemente affermandolo. La disponibilità è quindi limitata dove le norme locali lo richiedono.

Ricompense, caso e il confine con il gioco d'azzardo

La cattura prevede un tiro, il che la avvicina a un confine che varia da paese a paese. Due proprietà la mantengono dalla parte giusta nella maggior parte dei regimi e sono mantenute di proposito: partecipare non costa nulla, e gli articoli a pagamento modificano probabilità e tassi invece di essere scommesse con una vincita variabile. Un pass compra un peso e un boost compra un moltiplicatore; nessuno dei due è una posta che si può perdere. Dove una giurisdizione la interpreta diversamente, il livello a pagamento viene ritirato invece di contestarla.

Seekprotocol è attivo su iOS e Android con drop basati sulla posizione, rendering AR e il wallet social. Il sistema di verifica usa attualmente i segnali GNSS, di attestazione e di continuità del movimento; l'impronta radio è in fase di rilascio graduale. L'attestazione è applicata dietro un flag, e questo è il suo stato reale: il percorso di rifiuto è costruito, ma l'interruttore di applicazione non è ancora stato attivato su ogni superficie.

Il generatore di campagne drag & drop è pronto. Il prossimo passo è il portale self-service per le aziende, che apre il posizionamento oltre le partnership gestite, insieme all'analisi degli arrivi che lo accompagna. Accanto a questo ci sono il token generation event, la modalità eventi dal vivo, le stagioni e la scansione di oggetti. La governance seguirà quando ci sarà abbastanza flusso reale di commissioni da rendere significative le decisioni sui parametri, per i motivi esposti nel capitolo dodici.

Cosa non promettiamo

• Una data per la governance. Dipende dai volumi, e i volumi non sono una data.
• La parità di precisione al chiuso. È un problema difficile e la risposta onesta, per il prevedibile futuro, sono raggi più ampi al chiuso.
• Una nuova chain fine a se stessa. I requisiti di latenza e costo del capitolo sei sono stretti, e aggiungere una chain che non li rispetta sarebbe una decisione di marketing e non tecnica.

Il dettaglio fase per fase si trova nella pagina della roadmap, che viene aggiornata man mano che le cose vengono rilasciate.

I termini usati in questo documento, con il significato che hanno qui e non quello che hanno in generale.